Check Point VPN na Linuxu: SNX nije datoteka koju instalirate

Tražite Check Pointov klijent za Linux i ne nalazite stranicu za preuzimanje s instalaterom. Taj izostanak nije praznina u pakiranju. Check Pointov klijent za daljinski pristup na Linuxu je SSL Network Extender, SNX, a pristupnik vam ga predaje nakon što se autentificirate u pregledniku. Kad se to posloži, ostatak zbrke ima smisla, uključujući to zašto je gotovo svaki tekst o tome godinama star.

Mit: postoji klijent koji preuzmete i instalirate

Očekivanje dolazi od svakog drugog proizvođača. OpenVPN, WireGuard i većina komercijalnih klijenata objavljuju paket ili repozitorij, a instaliranje je lokalna odluka koju donosite sami. Check Point na Linuxu ne radi tako. U službenim preuzimanjima za trenutne verzije pristupnika nema samostalnog instalatera, pa pretraga vodi samo do starih forumskih tema i zrcala trećih strana.

Ta su ogledala gora od beskorisnih, jer se gradnja mora poklapati s pristupnikom koji ga isporučuje.

Što je SNX zapravo i odakle dolazi

SNX je klijent naredbenog retka čiji je binarni fajl snx i instalira se kroz sesiju koju pokrenete u pregledniku prema pristupniku. Nekada ga je Java aplet skidao i instalirao nakon prihvaćanja upita. Mehanizam se mijenjao godinama, izvor nije. Pristupnik poslužuje onu gradnju koja odgovara njemu samome, zato verzije klijenta i pristupnika idu zajedno i zato klijent kopiran iz starog paketa radi samo dok pristupnik još razgovara s njim.

To znači i da pristupnik mora biti spreman prije nego bilo kakav rad na klijentu bude važan. Mobile Access Software Blade mora biti licenciran i konfiguriran, jer bez njega nema portala za instalaciju. Nikakav trud na strani klijenta ne stvara sesiju prema pristupniku koji ju ne nudi.

Usmjerite klijent na pristupnik sa svojim korisnikom i pročitajte što prijavljuje:

snx -s vpn.example.com -u your.name

Ograničenje je podrška za distribucije, ne instalater

Popis podržanih distribucija dobavljača za SNX kratak je i star. U objavljenom članku staje na otprilike Ubuntu 17.04, uz nekoliko izdanja openSUSE, Fedore i RHEL-a iz istog razdoblja, i još navodi Ubuntu 12.10. To govori kako popis stari, a ne što vaše računalo treba. Aktualna distribucija jednostavno nije na njemu.

Očekujte nesklad biblioteka prije nego radni tunel. Uobičajena tri su nedostajuće 32-bitne biblioteke na 64-bitnom sustavu, verzija OpenSSL-a s kojom binarni fajl nikad nije bio povezan i modul jezgre koji klijent pokušava izgraditi. Čitajte nedostajuće simbole umjesto da nagađate pakete:

ldd $(command -v snx) | grep "not found"

Zatim provjerite članak podrške za izdanje pristupnika na koje se stvarno spajate. Popis na blogu nije izjava o kompatibilnosti, a novija distribucija ne znači noviji klijent.

Pojedinost s X11 koja omogućuje rad bez zaslona

SNX treba biblioteke X11, ali ne i pokrenut X poslužitelj. Ta razlika je cijela razlika između klijenta koji radi preko SSH-a na hostu bez zaslona i onog koji izgleda da visi bez izlaza. Instalirajte paket biblioteka koji daje vaša distribucija, a ne snop kopiran iz drugog izdanja, i pokrenite klijent iz sesije kojoj treba tunel.

Nakon što se poveže,pročitajte sučelje i rute prije nego što vjerujete ijednom od njih:

ip -brief addr show
ip route show

SNX stvara tunelsko sučelje i instalira rute koje definira portal. Te su rute odluka pristupnika, a ne vaša, pa je nedostajući prefiks problem profila na strani pristupnika, a ne greška u klijentu. Provjerite DNS istodobno, jer profili s podijeljenim tunelom često guraju razrješivač koji niste očekivali.

Kad je SNX posve pogrešan odgovor

Check Point pristupnici mogu također zaključivati IPsec iL2TPveze od klijenta prema lokaciji, i one rade sa strongSwanom, Libreswanom ili L2TP dodatkom NetworkManagera. To je konfiguracija pristupnika, a ne klijentski trik. Ako pristupnik objavljuje samo Mobile Access portal,IPsec klijent nema o čemu pregovarati, a zapis pokazuje istek vremena umjesto neuspjeha autentifikacije. Pitajte koje su bladeove za daljinski pristup omogućene prije nego instalirate bilo što drugo.

Svako ograničenje ovdje živi na strani pristupnika: blade, licenca, gradnja klijenta i profil ruta. CLI radi godinama. Ono što se lomi jest pretpostavka da podrška za Linux znači paket koji posjedujete i kontrolirate.