Check Point VPN v Linuxe: SNX nie je súbor, ktorý si nainštalujete

Hľadáte klienta Check Point pre Linux a nenachádzate stránku na stiahnutie s inštalátorom. Táto absencia nie je medzera v balení. Linuxovým klientom vzdialeného prístupu od Check Pointu je SSL Network Extender, SNX, a brána vám ho vydá po tom, čo sa prihlásite v prehliadači. Keď to zapadne, zvyšok zmätku dáva zmysel, vrátane toho, prečo je takmer každý text o tom roky starý.

Mýtus: existuje klient, ktorého stiahnete a nainštalujete

To očakávanie prichádza od všetkých ostatných výrobcov. OpenVPN, WireGuard a väčšina komerčných klientov publikuje balík alebo repozitár a inštalácia je miestne rozhodnutie, ktoré urobíte sami. Check Point v Linuxe takto nefunguje. V oficiálnych stiahnutiach pre súčasné verzie brány nie je samostatný inštalátor, takže hľadanie vedie len k starým vláknam na fórach a zrkadlám tretích strán.

Tie zrkadlá sú horšie než zbytočné, pretože zostavenie musí zodpovedať bráne, ktorá ho vydáva.

Čo SNX vlastne je a odkiaľ pochádza

SNX je klient príkazového riadka, ktorého binárka sa volá snx, a inštaluje sa cez reláciu, ktorú spustíte v prehliadači proti bráne. Historicky ho sťahoval a inštaloval Java applet po tom, čo ste odsúhlasili výzvu. Mechanizmus sa za tie roky zmenil, zdroj nie. Brána vydáva zostavenie, ktoré zodpovedá jej samotnej, preto verzie klienta a brány idú spolu a preto klient skopírovaný zo starého balíka funguje len dovtedy, kým s ním brána ešte komunikuje.

To tiež znamená, že brána musí byť pripravená skôr, než má akákoľvek práca na klientovi zmysel. Mobile Access Software Blade musí byť licencovaný a nakonfigurovaný, pretože bez neho nie je portál, z ktorého by sa inštalovalo. Žiadne úsilie na strane klienta nevytvorí reláciu proti bráne, ktorá ju neponúka.

Nasmerujte klienta na bránu so svojím používateľom a prečítajte si, čo hlási:

snx -s vpn.example.com -u your.name

Obmedzením je podpora distribúcií, nie inštalátor

Zoznam podporovaných distribúcií od výrobcu pre SNX je krátky a starý. V publikovanom článku končí okolo Ubuntu 17.04, vedľa niekoľkých vydaní openSUSE, Fedory a RHEL z rovnakej doby, a stále uvádza Ubuntu 12.10. To vám hovorí, ako zoznam starne, nie čo potrebuje váš stroj. Aktuálna distribúcia na ňom jednoducho nie je.

Očakávajte nesúlad knižníc skôr, než budete očakávať funkčný tunel. Tie obvyklé tri sú chýbajúce 32-bitové knižnice na 64-bitovom systéme, verzia OpenSSL, proti ktorej binárka nikdy nebola zlinkovaná, a modul jadra, ktorý sa klient pokúša zostaviť. Čítajte chýbajúce symboly namiesto hádania balíkov:

ldd $(command -v snx) | grep "not found"

Potom si pozrite článok podpory pre vydanie brány, ku ktorej sa skutočne pripájate. Zoznam na blogu nie je vyhlásenie o kompatibilite a novšia distribúcia neznamená novšieho klienta.

Detail s X11, ktorý umožňuje prácu bez obrazovky

SNX potrebuje knižnice X11, ale nie bežiaci X server. Ten rozdiel je celý rozdiel medzi klientom, ktorý funguje cez SSH na hostiteľovi bez obrazovky, a tým, ktorý vyzerá, že visí bez výstupu. Nainštalujte balík knižníc, ktorý poskytuje vaša distribúcia, nie zostavu skopírovanú z iného vydania, a spúšťajte klienta z relácie, ktorá tunel potrebuje.

Po pripojeníprečítajte si rozhranie a trasy, skôr než uveríte ktorémukoľvek z nich:

ip -brief addr show
ip route show

SNX vytvára tunelové rozhranie a inštaluje trasy, ktoré definuje portál. Tie trasy sú rozhodnutím brány, nie vaším, takže chýbajúci prefix je problém profilu na strane brány, nie chyba klienta. Skontrolujte zároveň DNS, pretože profily s rozdeleným tunelom často pretlačia resolver, ktorý ste nečakali.

Keď je SNX úplne nesprávna odpoveď

Brány Check Point dokážu tiež ukončovať spojenia IPsec aL2TPod klienta k lokalite a tie fungujú so strongSwan, Libreswan alebo L2TP pluginom NetworkManageru. To je konfigurácia brány, nie klientsky trik. Ak brána publikuje len portál Mobile Access,klient IPsec nemá o čom vyjednávať, a log ukáže vypršanie času namiesto zlyhania autentizácie. Pýtajte sa, ktoré blade moduly vzdialeného prístupu sú zapnuté, skôr než nainštalujete čokoľvek ďalšie.

Každé obmedzenie je tu na strane brány: blade, licencia, zostavenie klienta a profil trás. CLI funguje roky. Čo sa láme, je predpoklad, že podpora Linuxu znamená balík, ktorý vlastníte a ovládate.