Linux'ta Check Point VPN: SNX indirip kurduğunuz bir şey değildir

Check Point'in Linux istemcisini arıyorsunuz ve üzerinde kurulum programı olan bir indirme sayfası bulamıyorsunuz. Bu yokluk bir paketleme boşluğu değil. Check Point'in Linux için uzaktan erişim istemcisi SSL Network Extender, yani SNX ve ağ geçidi onu tarayıcıda kimliğinizi doğruladıktan sonra size verir. Bu oturunca geri kalan karışıklık anlam kazanıyor, neden neredeyse her yazının yıllar öncesine ait olduğu da dahil.

Efsane: indirip kurduğunuz bir istemci vardır

Bu beklenti diğer bütün üreticilerden geliyor. OpenVPN, WireGuard ve çoğu ticari istemci bir paket ya da depo yayımlar ve kurmak tek başınıza verdiğiniz yerel bir karardır. Check Point Linux'ta böyle çalışmaz. Güncel ağ geçidi sürümleri için resmî indirmelerde bağımsız bir kurulum programı yoktur, bu yüzden onu aramak yalnızca eski forum başlıklarını ve üçüncü taraf yansılarını çıkarır.

O yansılar işe yaramazdan da kötü, çünkü derleme onu sunan ağ geçidiyle eşleşmek zorunda.

SNX gerçekte nedir ve nereden gelir

SNX, ikili dosyası snx olan bir komut satırı istemcisidir ve tarayıcıda ağ geçidine karşı başlattığınız bir oturum üzerinden kurulur. Tarihsel olarak bir Java uygulaması, siz istemi kabul ettikten sonra onu indirip kurardı. Mekanizma yıllar içinde değişti, kaynak değişmedi. Ağ geçidi kendisine uyan derlemeyi sunar, bu yüzden istemci ve ağ geçidi sürümleri birlikte ilerler ve bu yüzden eski bir paketten kopyalanan istemci yalnızca ağ geçidi hâlâ onunla konuştuğu sürece çalışır.

Bu ayrıca istemcideki herhangi bir işin anlam kazanmasından önce ağ geçidinin hazır olması gerektiği anlamına gelir. Mobile Access Software Blade lisanslanmalı ve yapılandırılmalıdır, çünkü o olmadan kurulum yapılacak bir portal yoktur. İstemci tarafındaki hiçbir çaba, sunmayan bir ağ geçidine karşı oturum üretmez.

İstemciyi kullanıcınızla ağ geçidine yöneltin ve ne bildirdiğini okuyun:

snx -s vpn.example.com -u your.name

Kısıt kurulum programı değil, dağıtım desteği

Üreticinin SNX için desteklediği dağıtım listesi kısa ve eski. Yayımlanan makalede liste Ubuntu 17.04 civarında duruyor, aynı dönemden birkaç openSUSE, Fedora ve RHEL sürümüyle birlikte ve hâlâ Ubuntu 12.10'u listeliyor. Bu, listenin nasıl yaşlandığını söyler, makinenizin neye ihtiyacı olduğunu değil. Güncel bir dağıtım onda yok.

Çalışan bir tünelden önce kütüphane uyuşmazlıkları bekleyin. Alışıldık üçü şunlardır: 64 bit sistemde eksik 32 bit kütüphaneler, ikili dosyanın hiç bağlanmadığı bir OpenSSL sürümü ve istemcinin derlemeye çalıştığı bir çekirdek modülü. Paket tahmin etmek yerine eksik sembolleri okuyun:

ldd $(command -v snx) | grep "not found"

Sonra gerçekten bağlandığınız ağ geçidi sürümünün destek makalesine bakın. Bir blogdaki liste uyumluluk beyanı değildir ve daha yeni bir dağıtım daha yeni bir istemci anlamına gelmez.

Ekransız çalışmayı mümkün kılan X11 ayrıntısı

SNX, X11 kütüphanelerine ihtiyaç duyar ama çalışan bir X sunucusuna duymaz. Bu ayrım, ekransız bir makinede SSH üzerinden çalışan istemci ile çıktı vermeden takılmış görünen istemci arasındaki bütün farktır. Başka bir sürümden kopyalanmış bir demet yerine dağıtımınızın sağladığı kütüphane paketini kurun ve istemciyi tünele ihtiyaç duyan oturumdan çalıştırın.

Bağlandıktan sonra,arayüzü ve yolları, ikisine de güvenmeden önce okuyun:

ip -brief addr show
ip route show

SNX bir tünel arayüzü oluşturur ve portalın tanımladığı yolları kurar. Bu yollar sizin değil ağ geçidinin kararıdır, bu yüzden eksik bir önek istemci hatası değil, ağ geçidi tarafında bir profil sorunudur. Aynı anda DNS'i de denetleyin, çünkü split-tunnel profilleri çoğu zaman beklemediğiniz bir çözümleyiciyi öne sürer.

SNX tamamen yanlış yanıt olduğunda

Check Point ağ geçitleri IPsec veL2TPistemciden siteye bağlantıları da sonlandırabilir ve bunlar strongSwan, Libreswan ya da NetworkManager'ın L2TP eklentisiyle çalışır. Bu bir ağ geçidi yapılandırmasıdır, istemci hilesi değil. Ağ geçidi yalnızca Mobile Access portalını yayımlıyorsaIPsec istemcisinin pazarlık edecek bir şeyi yokturve günlük kimlik doğrulama hatası yerine zaman aşımı gösterir. Başka bir şey kurmadan önce hangi uzaktan erişim bıçaklarının açık olduğunu sorun.

Buradaki her kısıt ağ geçidi tarafında yaşar: bıçak, lisans, istemci derlemesi ve yol profili. CLI yıllardır çalışıyor. Kırılan şey, Linux desteğinin sizin sahip olduğunuz ve denetlediğiniz bir paket anlamına geldiği varsayımı.