Check Point VPN sa Linux: ang SNX ay hindi download na ini-install

Hinahanap mo ang Check Point client para sa Linux at wala kang makitang page ng download na may installer. Ang kawalan na iyon ay hindi butas sa packaging. Ang client ng remote access ng Check Point para sa Linux ay SSL Network Extender, SNX, at ibinibigay ito sa iyo ng gateway pagkatapos mong mag-authenticate sa browser. Kapag naintindihan iyon, may saysay ang natitirang kalituhan, kasama na kung bakit halos lahat ng sulatin tungkol dito ay ilang taon na.

Ang mito: may client na dinodownload at ini-install

Ang inaasahan ay galing sa bawat ibang vendor. OpenVPN, WireGuard at karamihan ng komersyal na client ay naglalathala ng package o repository, at ang pag-install ay lokal na desisyon na ikaw lang ang gumagawa. Hindi ganoon ang Check Point sa Linux. Walang hiwalay na installer sa mga opisyal na download para sa kasalukuyang bersyon ng gateway, kaya ang paghahanap nito ay lumalabas lamang sa lumang thread sa forum at mirror ng third party.

Ang mga mirror na iyon ay mas masama pa sa walang silbi, dahil kailangang tumugma ang build sa gateway na naghahain nito.

Ano talaga ang SNX, at saan ito galing

Ang SNX ay command-line client na snx ang binary, at ini-install ito sa session na sinisimulan mo sa browser laban sa gateway. Noong una, isang Java applet ang nagda-download at nag-i-install nito pagkatapos mong tanggapin ang prompt. Nagbago ang mekanismo sa loob ng mga taon, hindi ang pinagmulan. Hinahain ng gateway ang build na tumutugma sa sarili nito, kaya sunod-sunod ang bersyon ng client at gateway, at kaya gumagana ang client na kinopya mula sa lumang package hanggang sa kausap pa ito ng gateway.

Ibig sabihin din nito, kailangang handa ang gateway bago maging mahalaga ang anumang trabaho sa client. Kailangang ma-license at ma-configure ang Mobile Access Software Blade, dahil kung wala ito ay walang portal na pag-iinstallan. Walang anumang pagsisikap sa panig ng client ang makalilikha ng session laban sa gateway na hindi ito inaalok.

Itutok ang client sa gateway gamit ang iyong user, at basahin kung ano ang iniuulat nito:

snx -s vpn.example.com -u your.name

Ang limitasyon ay ang suporta sa distribusyon, hindi ang installer

Ang listahan ng sinusuportahang distribusyon ng vendor para sa SNX ay maikli at luma. Sa nalathalang artikulo, tumitigil ito sa paligid ng Ubuntu 17.04, kasama ang ilang release ng openSUSE, Fedora at RHEL mula sa parehong panahon, at nakalista pa rin ang Ubuntu 12.10. Sinasabi nito kung paano tumatanda ang listahan, hindi kung ano ang kailangan ng iyong makina. Ang kasalukuyang distribusyon ay talagang wala roon.

Asahan ang hindi pagtutugma ng library bago mo asahan ang gumaganang tunnel. Ang karaniwang tatlo ay kulang na 32-bit na library sa 64-bit na sistema, bersyon ng OpenSSL na hindi kailanman na-link ng binary, at kernel module na sinusubukang buuin ng client. Basahin ang kulang na simbolo sa halip na hulaan ang package:

ldd $(command -v snx) | grep "not found"

Pagkatapos, tingnan ang artikulo ng suporta para sa release ng gateway na aktwal mong kinokonektahan. Ang listahan sa blog ay hindi pahayag ng pagiging compatible, at ang mas bagong distribusyon ay hindi nangangahulugang mas bagong client.

Ang detalyeng X11 na nagpapangyari ng trabahong walang screen

Kailangan ng SNX ang X11 library ngunit hindi ang tumatakbong X server. Ang pagkakaibang iyon ang buong pagkakaiba ng client na gumagana sa SSH sa host na walang screen at ng isang mukhang nakabitin na walang output. I-install ang library package na ibinibigay ng iyong distribusyon sa halip na bundle na kinopya mula sa ibang release, at patakbuhin ang client mula sa session na nangangailangan ng tunnel.

Pagkatapos kumonekta,basahin ang interface at ang mga ruta bago magtiwala sa alinman sa dalawa:

ip -brief addr show
ip route show

Gumagawa ang SNX ng tunnel interface at ini-install ang mga rutang tinutukoy ng portal. Ang mga rutang iyon ay pasya ng gateway at hindi mo, kaya ang kulang na prefix ay problema sa profile sa panig ng gateway at hindi bug sa client. Tingnan din ang DNS sa parehong oras, dahil madalas push ng split-tunnel profile ang resolver na hindi mo inaasahan.

Kapag ang SNX ay lubos na maling sagot

Maaari ring tapusin ng Check Point gateway ang IPsec atL2TPna koneksyon mula client patungo sa site, at gumagana ang mga iyon sa strongSwan, Libreswan o ang L2TP plugin ng NetworkManager. Iyon ay configuration ng gateway, hindi trick ng client. Kung ang gateway ay naglalathala lamang ng Mobile Access portal,walang mapag-usapan ang IPsec client, at ang log ay nagpapakita ng timeout sa halip na kabiguan sa authentication. Itanong kung aling remote-access blade ang naka-enable bago mag-install ng anupaman.

Bawat limitasyon dito ay nasa panig ng gateway: ang blade, ang lisensya, ang build ng client at ang profile ng ruta. Matagal nang gumagana ang CLI. Ang nasisira ay ang palagay na ang suporta sa Linux ay nangangahulugang package na ikaw ang may-ari at kumokontrol.