Check Point VPN на Linux-у: SNX није датотека коју инсталирате

Тражите Check Point-ов клијент за Linux и не налазите страницу за преузимање са инсталатером. Тај изостанак није празнина у паковању. Check Point-ов клијент за даљински приступ на Linux-у је SSL Network Extender, SNX, а приступник вам га предаје након што се аутентификујете у прегледачу. Кад се то посложи, остатак збрке има смисла, укључујући зашто је готово сваки текст о томе стар годинама.

Мит: постоји клијент који преузмете и инсталирате

Очекивање долази од сваког другог произвођача. OpenVPN, WireGuard и већина комерцијалних клијената објављују пакет или репозиторијум, а инсталирање је локална одлука коју доносите сами. Check Point на Linux-у не ради тако. У службеним преузимањима за тренутне верзије приступника нема самосталног инсталатера, па претрага води само до старих форумских тема и огледала трећих страна.

Та огледала су гора од бескорисних јер градња мора да се поклапа са приступником који је служи.

Шта је SNX заправо и одакле долази

SNX је клијент командне линије чији је бинарни фајл snx и инсталира се кроз сесију коју покренете у прегледачу према приступнику. Некада га је Java аплет преузимао и инсталирао након што прихватите упит. Механизам се мењао годинама, извор није. Приступник служи ону градњу која одговара њему самом, зато верзије клијента и приступника иду заједно и зато клијент копиран из старог пакета ради само док приступник још разговара с њим.

То значи и да приступник мора бити спреман пре него било какав рад на клијенту буде важан. Mobile Access Software Blade мора бити лиценциран и конфигуриран, јер без њега нема портала са којег се инсталира. Никакав труд на страни клијента не ствара сесију према приступнику који је не нуди.

Усмерите клијент на приступник са својим корисником и прочитајте шта пријављује:

snx -s vpn.example.com -u your.name

Ограничење је подршка за дистрибуције, не инсталатер

Списак подржаних дистрибуција добављача за SNX кратак је и стар. У објављеном чланку зауставља се око Ubuntua 17.04, уз неколико издања openSUSE, Fedore и RHEL-а из истог раздобља, и још увек наводи Ubuntu 12.10. То говори како списак стари, а не шта ваше рачунало треба. Актуелна дистрибуција једноставно није на њему.

Очекујте несклад библиотека пре него радни тунел. Уобичајена три су недостајуће 32-битне библиотеке на 64-битном систему, верзија OpenSSL-а са којом бинарни фајл никада није био повезан и модул језгра који клијент покушава да изгради. Читајте недостајуће симболе уместо да нагађате пакете:

ldd $(command -v snx) | grep "not found"

Затим проверите чланак подршке за издање приступника на које се стварно спајате. Списак на блогу није изјава о компатибилности, а новија дистрибуција не значи новији клијент.

Појединост с X11 која омогућава рад без екрана

SNX треба библиотеке X11, али не и покренут X сервер. Та разлика је цела разлика између клијента који ради преко SSH-а на хосту без екрана и оног који изгледа да виси без излаза. Инсталирајте пакет библиотека који даје ваша дистрибуција, а не сноп копиран из другог издања, и покрените клијент из сесије којој треба тунел.

Након што се повеже,прочитајте сучеље и руте пре него што верујете иједном од њих:

ip -brief addr show
ip route show

SNX ствара тунелско сучеље и инсталира руте које дефинише портал. Те су руте одлука приступника, а не ваша, па је недостајући префикс проблем профила на страни приступника, а не грешка у клијенту. Проверите DNS истовремено, јер профили с подељеним тунелом често гурају разрешивач који нисте очекивали.

Кад је SNX посве погрешан одговор

Check Point приступници могу такође закључивати IPsec иL2TPвезе од клијента према локацији, и оне раде са strongSwan-ом, Libreswan-ом или L2TP додатком NetworkManager-а. То је конфигурација приступника, а не клијентски трик. Ако приступник објављује само Mobile Access портал,IPsec клијент нема о чему да преговара, а запис показује истек времена уместо неуспеха аутентификације. Питајте које су blade-ове за даљински приступ омогућене пре него инсталирате било шта друго.

Свако ограничење овде живи на страни приступника: blade, лиценца, градња клијента и профил рута. CLI ради годинама. Оно што се ломи јесте претпоставка да подршка за Linux значи пакет који поседујете и контролишете.