SNX v Linuxu: 32-bitne knjižnice in resolver, ki se ponastavi

SNX v Linuxu odpove pri nalagalniku, usmerjevalni tabeli ali resolverju, in vsaka od teh napak je videti kot težava s prijavo. Predelajte štiri simptome po vrsti.

SSL Network Extender podjetja Check Point v Linuxu odpove na štiri prepoznavne načine, tri pa se napačno berejo kot težava s prijavo. Bodisi binarna datoteka se ne zažene, bodisi se zažene in ne pusti nobene poti, bodisi se poveže in razreševanje imen umre, bodisi portal v brskalniku deluje, ukazna vrstica pa ne. Predelajte jih v tem vrstnem redu, ker je vsak vstopni pogoj za naslednjega.

Simptom ena: nalagalnik zavrne pred prijavo

Namestitveni program, pridobljen s požarnega zidu, shrani 32-bitno binarno datoteko s setuid-root v /usr/bin/snx. Na 64-bitni distribuciji se ne izvaja, dokler ni omogočena arhitektura i386 in dokler ne obstajajo knjižnice, s katerimi je povezana.

sudo dpkg --add-architecture i386
sudo apt update
sudo apt install libstdc++5:i386 libstdc++6:i386 libx11-6:i386 libpam0g:i386
ldd /usr/bin/snx | grep "not found"

Prazen seznam not found so vrata za vse, kar sledi. Natančen nabor paketov se med izdajami spreminja: eno delujoče poročilo je potrebovalo libstdc++5:i386, libx11-6:i386 in libpam0g:i386, drugo je potrebovalo tudi libstdc++6:i386. Berite ldd, namesto da bi kopirali seznam paketov iz vadnice, napisane za drugo distribucijo.

Če snx sploh ni najden, se namestitveni program ni nikoli dokončal ali se je namestil nekam zunaj vašega PATH. To je druga napaka in vredno jo je potrditi, preden sistemu dodate arhitekture. Preverite z command -v snx in poglejte v imenik, ki ga je navedel namestitveni program. Dodajanje paketov i386 na stroj, kjer binarne datoteke preprosto ni, ne popravi ničesar.

Simptom dve: prijava uspe in nič se ne usmerja

Uspešna prijava ustvari tunsnx in sama ureja usmerjevalno tabelo, zato preverite, kaj v resnici obstaja, preden spremenite karkoli drugega.

ip -br addr show tunsnx
ip route | grep tunsnx
snx -d

Za razstavljanje uporabite snx -d. Ubijanje procesa pusti vmesnik in njegove poti za sabo, naslednji poskus pa potem odpove zaradi razloga, ki nima nič skupnega s poverilnicami. Prva prijava zabeleži tudi podpis strežnika pod /etc/snx/, zato lahko nenadzorovana skripta potrebuje eno interaktivno izvajanje, preden sploh lahko deluje. To stanje izbrišite le, ko nameravate strežnik znova odobriti.

Simptom tri: imena se razrešujejo, dokler se tunel ne dvigne

To je tisti, ki se tiho zlomi. snx zapiše potisnjene strežnike DNS neposredno v /etc/resolv.conf. Kjer je ta pot simbolna povezava v /run/systemd/resolve/, se lahko sprememba izgubi ob naslednjem dogodku resolverja, po prekinitvi pa lahko potisnjeni vnosi prav tako ostanejo.

Delujeta dve ureditvi, izbira pa naj bo premišljena in ne tista, ki jo je predlagal prvi rezultat iskanja:

  • Prevzemite datoteko: zamenjajte simbolno povezavo s statično datoteko in namestite libnss-resolve skupaj z različico za i386, da ima imenska storitev še vedno rezervo, ko je datoteka prepisana pod njo.
  • Obdržite systemd-resolved kot lastnika in registrirajte povezavo tunela: resolvectl dns tunsnx 10.0.0.10, nato resolvectl domain tunsnx corp.example, in potrdite z resolvectl status.

Zapišite imenske strežnike pred VPN, preden se povežete. Če datoteko urejate ročno, je odstranjevanje potisnjenih vnosov pozneje del postopka, ne neobvezno čiščenje, ker prenosnik, ki po prekinitvi obdrži korporativni DNS, ne bo mogel razrešiti ničesar drugega.

Simptom štiri: portal deluje, CLI pa ne

Nedavne izdaje požarnega zidu so middleware premaknile iz brskalnika v lokalnega demona Java, zato se portal pogovarja z lokalnim agentom na vratih 14186. Ta naslov potrebuje izjemo potrdila v brskalniku in delujoč proces.

ps ax | grep cshell
/usr/bin/cshell/launcher

Ukazna vrstica je ločena pot: snx -s vpn.example.com -u user, pri čemer ~/.snxrc hrani strežnik, uporabniško ime in nastavitev ponovnega preverjanja pristnosti. Delujoča seja portala ne pove ničesar o tem, ali je CLI pravilno nameščen, in goli odjemalec ne obravnava enkratnih kod.

Bližnjica s vsebnikom, ki stane več, kot prihrani

snx preveri modul tun, ga naloži, ko manjka, ustvari vmesnik tunela, prepiše poti in požene promet skozenj. Če to poustvarite v vsebniku, morate pripeti /dev in /lib/modules ter podeliti široke zmožnosti, kar vsebniku preda večino omrežne administracije gostitelja.

Ko je peskovnik res potreben, je navidezni stroj čistejša meja: odjemalec dobi jedro, ki ga sme spreminjati, gostitelj pa obdrži svojo usmerjevalno tabelo. Izberite to, preden popoldne porabite za zmožnosti, katerih podelitve boste obžalovali.

Sorodni članki