Check Point VPN v Linuxu: SNX ni prenos, ki ga namestite

Iščete odjemalca Check Point za Linux in ne najdete strani za prenos z namestitvenim programom. Ta odsotnost ni vrzel v pakiranju. Odjemalec oddaljenega dostopa Check Point za Linux je SSL Network Extender, SNX, in prehod vam ga izroči, potem ko se overite v brskalniku. Ko se to usede, dobi preostala zmeda smisel, vključno s tem, zakaj je skoraj vsak prispevek o tem star leta.

Mit: obstaja odjemalec, ki ga prenesete in namestite

To pričakovanje prihaja od vseh drugih ponudnikov. OpenVPN, WireGuard in večina komercialnih odjemalcev objavi paket ali shrambo, namestitev pa je krajevna odločitev, ki jo sprejmete sami. Check Point v Linuxu ne deluje tako. V uradnih prenosih za trenutne različice prehoda ni samostojnega namestitvenega programa, zato iskanje zanj prinese le stare niti na forumih in zrcala tretjih strani.

Ta zrcala so slabša od neuporabnih, ker se mora gradnja ujemati s prehodom, ki jo streže.

Kaj SNX pravzaprav je in od kod prihaja

SNX je odjemalec ukazne vrstice, katerega binarna datoteka je snx, in namesti se prek seje, ki jo začnete v brskalniku proti prehodu. V preteklosti ga je prenesel in namestil Java applet, potem ko ste sprejeli poziv. Mehanizem se je z leti spremenil, vir ne. Prehod streže gradnjo, ki ustreza njemu samemu, zato različici odjemalca in prehoda hodita skupaj in zato odjemalec, kopiran iz starega paketa, deluje le toliko časa, dokler se prehod še pogovarja z njim.

To pomeni tudi, da mora biti prehod pripravljen, preden ima kakršno koli delo na odjemalcu smisel. Mobile Access Software Blade mora biti licenciran in konfiguriran, ker brez njega ni portala, s katerega bi nameščali. Noben trud na strani odjemalca ne ustvari seje proti prehodu, ki je ne ponuja.

Usmerite odjemalca na prehod s svojim uporabnikom in preberite, kaj sporoča:

snx -s vpn.example.com -u your.name

Omejitev je podpora distribucijam, ne namestitveni program

Seznam podprtih distribucij ponudnika za SNX je kratek in star. V objavljenem članku se ustavi okoli Ubuntuja 17.04, ob nekaj izdajah openSUSE, Fedore in RHEL iz istega obdobja, in še vedno navaja Ubuntu 12.10. To pove, kako seznam stara, ne kaj potrebuje vaš stroj. Trenutne distribucije preprosto ni na njem.

Pričakujte neusklajenosti knjižnic, preden pričakujete delujoč tunel. Običajne tri so manjkajoče 32-bitne knjižnice v 64-bitnem sistemu, različica OpenSSL, s katero binarna datoteka ni bila nikoli povezana, in jedrni modul, ki ga odjemalec poskuša zgraditi. Berite manjkajoče simbole, namesto da ugibate pakete:

ldd $(command -v snx) | grep "not found"

Nato preverite članek podpore za izdajo prehoda, s katero se resnično povezujete. Seznam na blogu ni izjava o združljivosti in novejša distribucija ne pomeni novejšega odjemalca.

Podrobnost X11, ki omogoča delo brez zaslona

SNX potrebuje knjižnice X11, ne pa delujočega strežnika X. Ta razlika je vsa razlika med odjemalcem, ki deluje prek SSH na gostitelju brez zaslona, in tistim, ki se zdi obešen brez izhoda. Namestite paket knjižnic, ki ga ponuja vaša distribucija, ne svežnja, kopiranega iz druge izdaje, in zaženite odjemalca iz seje, ki potrebuje tunel.

Ko se poveže,preberite vmesnik in poti, preden zaupate kateremu koli od obeh:

ip -brief addr show
ip route show

SNX ustvari tunelski vmesnik in namesti poti, ki jih določi portal. Te poti so odločitev prehoda in ne vaša, zato je manjkajoča predpona težava profila na strani prehoda in ne napaka v odjemalcu. Istočasno preverite DNS, ker profili z razdeljenim tunelom pogosto potisnejo razreševalnik, ki ga niste pričakovali.

Ko je SNX popolnoma napačen odgovor

Prehodi Check Point lahko tudi zaključijo povezave IPsec inL2TPod odjemalca do lokacije, in te delujejo s strongSwan, Libreswan ali vtičnikom L2TP v NetworkManagerju. To je konfiguracija prehoda, ne trik odjemalca. Če prehod objavi samo portal Mobile Access,odjemalec IPsec nima o čem pogajati, in dnevnik pokaže potek časa namesto neuspele overitve. Vprašajte, kateri blade moduli oddaljenega dostopa so omogočeni, preden namestite karkoli drugega.

Vsaka omejitev tukaj živi na strani prehoda: blade, licenca, gradnja odjemalca in profil poti. CLI deluje že leta. Kar se zlomi, je predpostavka, da podpora Linuxu pomeni paket, ki ga imate in nadzorujete.