Check Point VPN på Linux: SNX är inte en nedladdning du installerar

Du letar efter Check Points Linux-klient och hittar ingen nedladdningssida med en installerare. Den frånvaron är inte en lucka i paketeringen. Check Points Linux-klient för fjärråtkomst är SSL Network Extender, SNX, och gatewayen ger dig den efter att du autentiserat dig i en webbläsare. När det väl sjunker in blir resten av förvirringen begriplig, inklusive varför nästan varje inlägg om det är år gammalt.

Myten: det finns en klient du laddar ner och installerar

Förväntningen kommer från alla andra leverantörer. OpenVPN, WireGuard och de flesta kommersiella klienter publicerar ett paket eller ett förråd, och installationen är ett lokalt beslut du fattar själv. Check Point fungerar inte så på Linux. Det finns ingen fristående installerare i de officiella nedladdningarna för aktuella gatewayversioner, så en sökning efter en ger bara gamla forumtrådar och speglar från tredje part.

De speglarna är sämre än värdelösa, eftersom bygget måste matcha gatewayen som levererar det.

Vad SNX egentligen är, och var det kommer ifrån

SNX är en kommandorads­klient vars binärfil är snx, och den installeras via en session du startar i webbläsaren mot gatewayen. Historiskt laddade och installerade en Java-applet den efter att du godkänt frågan. Mekanismen har ändrats genom åren, källan inte. Gatewayen levererar det bygge som matchar sig själv, därför följs klient- och gatewayversioner åt, och därför fungerar en klient kopierad från ett gammalt paket bara så länge gatewayen fortfarande talar med den.

Det betyder också att gatewayen måste vara redo innan något klientarbete spelar roll. Mobile Access Software Blade måste vara licensierat och konfigurerat, för utan det finns ingen portal att installera från. Ingen mängd arbete på klientsidan ger en session mot en gateway som inte erbjuder en.

Rikta klienten mot gatewayen med din användare och läs vad den rapporterar:

snx -s vpn.example.com -u your.name

Begränsningen är distributionsstödet, inte installeraren

Leverantörens lista över distribuerade system som stöds för SNX är kort och gammal. I den publicerade artikeln slutar den kring Ubuntu 17.04, tillsammans med några openSUSE-, Fedora- och RHEL-utgåvor från samma tid, och den listar fortfarande Ubuntu 12.10. Det säger hur listan åldras, inte vad din maskin behöver. En aktuell distribution står helt enkelt inte på den.

Räkna med bibliotekskonflikter innan du räknar med en fungerande tunnel. De vanliga tre är saknade 32-bitars bibliotek på ett 64-bitars system, en OpenSSL-version som binärfilen aldrig länkades mot, och en kärnmodul som klienten försöker bygga. Läs de saknade symbolerna i stället för att gissa paket:

ldd $(command -v snx) | grep "not found"

Kontrollera sedan supportartikeln för den gatewayutgåva du faktiskt ansluter till. En lista i en blogg är inte en kompatibilitetsförklaring, och en nyare distribution innebär inte en nyare klient.

X11-detaljen som gör huvudlöst arbete möjligt

SNX behöver X11-bibliotek men ingen körande X-server. Den skillnaden är hela skillnaden mellan en klient som fungerar över SSH på en värd utan skärm och en som ser ut att hänga utan någon utskrift. Installera bibliotekspaketet din distribution erbjuder i stället för ett paket kopierat från en annan utgåva, och kör klienten från den session som behöver tunneln.

När den har anslutit,läs gränssnittet och rutterna innan du litar på någon av dem:

ip -brief addr show
ip route show

SNX skapar ett tunnelgränssnitt och installerar de rutter portalen anger. Rutterna är gatewayens beslut och inte ditt, så ett saknat prefix är ett profilproblem på gateway-sidan och inte en bugg i klienten. Kontrollera DNS samtidigt, för split-tunnel-profiler skjuter ofta in en resolver du inte väntade dig.

När SNX är helt fel svar

Check Point-gatewayer kan också avsluta IPsec- ochL2TPanslutningar från klient till plats, och de fungerar med strongSwan, Libreswan eller L2TP-insticksmodulen i NetworkManager. Det är en gatewaykonfiguration, inte ett klienttrick. Om gatewayen bara publicerar Mobile Access-portalen,har en IPsec-klient inget att förhandla om, och loggen visar en timeout i stället för ett autentiseringsfel. Fråga vilka fjärråtkomst-blades som är aktiva innan du installerar något annat.

Varje begränsning här ligger på gateway-sidan: bladen, licensen, klientbygget och rutprofilen. CLI:t har fungerat i åratal. Det som brister är antagandet att Linux-stöd betyder ett paket du äger och kontrollerar.