Check Point VPN në Linux: SNX nuk është një shkarkim që instalohet

Kërkoni klientin Check Point për Linux dhe nuk gjeni një faqe shkarkimi me instalues. Ai mungesë nuk është boshllëk në paketim. Klienti i aksesit në distancë i Check Point për Linux është SSL Network Extender, SNX, dhe porta ju jep atë pasi vërtetoni veten në një shfletues. Kur kjo ulet, pjesa tjetër e konfuzionit ka kuptim, përfshirë pse pothuajse çdo shkrim rreth tij është me vite i vjetër.

Miti: ekziston një klient që e shkarkoni dhe e instaloni

Pritja vjen nga çdo furnizues tjetër. OpenVPN, WireGuard dhe shumica e klientëve komercialë publikojnë një paketë ose një depo, dhe instalimi është një vendim lokal që merrni vetëm. Check Point nuk funksionon kështu në Linux. Nuk ka instalues të pavarur në shkarkimet zyrtare për versionet aktuale të portës, kështu që kërkimi për një të tillë sjell vetëm tema të vjetra forumesh dhe pasqyra të palëve të treta.

Ato pasqyra janë më të këqija sesa të padobishme, sepse ndërtimi duhet të përputhet me portën që e shërben.

Çfarë është në të vërtetë SNX, dhe nga vjen

SNX është një klient i linjës së komandës, binari i të cilit është snx, dhe instalohet përmes një sesioni që e nisni në shfletues kundër portës. Historikisht një aplet Java e shkarkonte dhe e instalonte pasi pranonit kërkesën. Mekanizmi ka ndryshuar gjatë viteve, burimi jo. Porta shërben ndërtimin që i përshtatet vetvetes, prandaj versionet e klientit dhe të portës shkojnë bashkë, dhe prandaj një klient i kopjuar nga një paketë e vjetër funksionon vetëm sa kohë porta ende flet me të.

Kjo do të thotë gjithashtu që porta duhet të jetë gati përpara se çdo punë në klient të ketë rëndësi. Mobile Access Software Blade duhet të licencohet dhe konfigurohet, sepse pa të nuk ka portal nga i cili të instalohet. Asnjë përpjekje nga ana e klientit nuk prodhon një sesion kundër një porte që nuk e ofron.

Drejtojeni klientin te porta me përdoruesin tuaj dhe lexoni çfarë raporton:

snx -s vpn.example.com -u your.name

Kufizimi është mbështetja e shpërndarjeve, jo instaluesi

Lista e shpërndarjeve të mbështetura nga furnizuesi për SNX është e shkurtër dhe e vjetër. Në artikullin e publikuar ajo ndalet rreth Ubuntu 17.04, bashkë me disa botime openSUSE, Fedora dhe RHEL të së njëjtës epokë, dhe ende liston Ubuntu 12.10. Kjo ju tregon si plaket lista, jo çfarë i duhet makinës tuaj. Një shpërndarje aktuale thjesht nuk është në të.

Prisni mospërputhje bibliotekash përpara se të prisni një tunel funksional. Të treja të zakonshmet janë biblioteka 32-bitëshe që mungojnë në një sistem 64-bitësh, një version i OpenSSL me të cilin binari nuk u lidh kurrë, dhe një modul kerneli që klienti përpiqet ta ndërtojë. Lexoni simbolet që mungojnë në vend që të hamendësoni paketat:

ldd $(command -v snx) | grep "not found"

Më pas shikoni artikullin e mbështetjes për botimin e portës me të cilin lidheni vërtet. Një listë në një blog nuk është deklaratë përputhshmërie, dhe një shpërndarje më e re nuk nënkupton një klient më të re.

Detaji i X11 që e bën të mundur punën pa ekran

SNX ka nevojë për biblioteka X11 por jo për një server X që punon. Ky dallim është i gjithë dallimi midis një klienti që punon përmes SSH në një host pa ekran dhe një tjetri që duket i ngrirë pa asnjë dalje. Instaloni paketën e bibliotekave që ofron shpërndarja juaj, jo një tufë të kopjuar nga një botim tjetër, dhe ekzekutoni klientin nga sesioni që ka nevojë për tunelin.

Pasi lidhet,lexoni ndërfaqen dhe rrugët përpara se t'i besoni ndonjërës prej tyre:

ip -brief addr show
ip route show

SNX krijon një ndërfaqe tuneli dhe instalon rrugët që përcakton portali. Ato rrugë janë vendim i portës dhe jo juaji, prandaj një parashtesë që mungon është problem profili në anën e portës dhe jo një defekt i klientit. Kontrolloni DNS në të njëjtën kohë, sepse profilet me tunel të ndarë shpesh shtyjnë një zgjidhës që nuk e prisnit.

Kur SNX është plotësisht përgjigjja e gabuar

Portat Check Point mund të përfundojnë edhe lidhje IPsec dheL2TPnga klienti në vendndodhje, dhe ato punojnë me strongSwan, Libreswan ose shtojcën L2TP të NetworkManager. Ky është konfigurim i portës, jo një mashtrim i klientit. Nëse porta publikon vetëm portalin Mobile Access,klienti IPsec nuk ka me çfarë të negociojë, dhe regjistri tregon një skadim kohe në vend të një dështimi vërtetimi. Pyetni cilat blade të aksesit në distancë janë aktive përpara se të instaloni çdo gjë tjetër.

Çdo kufizim këtu jeton në anën e portës: blade, licenca, ndërtimi i klientit dhe profili i rrugëve. CLI punon prej vitesh. Ajo që thyhet është supozimi se mbështetja për Linux do të thotë një paketë që ju e zotëroni dhe e kontrolloni.