Check Point VPN у Linux: SNX — це не файл, який ви встановлюєте

Ви шукаєте клієнт Check Point для Linux і не знаходите сторінки завантаження з інсталятором. Ця відсутність не є прогалиною в пакуванні. Клієнт віддаленого доступу Check Point для Linux — це SSL Network Extender, SNX, і шлюз видає його вам після автентифікації в браузері. Коли це вкладається в голові, решта плутанини стає зрозумілою, зокрема й те, чому майже кожна стаття про це написана роки тому.

Міф: є клієнт, який завантажують і встановлюють

Таке очікування приходить від усіх інших постачальників. OpenVPN, WireGuard і більшість комерційних клієнтів публікують пакет або репозиторій, а встановлення — локальне рішення, яке ви ухвалюєте самі. Check Point у Linux так не працює. В офіційних завантаженнях для поточних версій шлюзу немає окремого інсталятора, тому пошук веде лише до старих тем на форумах і дзеркал третіх сторін.

Ці дзеркала гірші за марні, бо збірка мусить відповідати шлюзу, який її віддає.

Що таке SNX насправді і звідки він береться

SNX — клієнт командного рядка, двійковий файл якого називається snx, і він встановлюється через сеанс, який ви запускаєте в браузері проти шлюзу. Історично його завантажував і встановлював Java-аплет після того, як ви погоджувалися із запитом. Механізм за роки змінювався, джерело — ні. Шлюз віддає ту збірку, що відповідає йому самому, тому версії клієнта й шлюзу йдуть парою, і тому клієнт, скопійований зі старого пакета, працює лише доки шлюз ще з ним говорить.

Це також означає, що шлюз має бути готовий раніше, ніж будь-яка робота з клієнтом матиме сенс. Mobile Access Software Blade треба ліцензувати й налаштувати, бо без нього немає порталу, звідки встановлювати. Жодні зусилля на боці клієнта не створять сеанс зі шлюзом, який його не пропонує.

Спрямуйте клієнт на шлюз зі своїм користувачем і прочитайте, що він повідомляє:

snx -s vpn.example.com -u your.name

Обмеження — підтримка дистрибутивів, а не інсталятор

Список підтримуваних дистрибутивів для SNX у постачальника короткий і старий. В опублікованій статті він закінчується близько Ubuntu 17.04, поруч із кількома випусками openSUSE, Fedora та RHEL тієї ж доби, і досі містить Ubuntu 12.10. Це говорить про те, як список старішає, а не про те, що потрібно вашій машині. Актуального дистрибутива в ньому просто немає.

Чекайте на незбіги бібліотек раніше, ніж на робочий тунель. Звичні три — відсутні 32-бітні бібліотеки в 64-бітній системі, версія OpenSSL, з якою двійковий файл ніколи не зв'язувався, і модуль ядра, який клієнт намагається збудувати. Читайте відсутні символи замість того, щоб угадувати пакети:

ldd $(command -v snx) | grep "not found"

Потім звіртеся зі статтею підтримки для того випуску шлюзу, до якого ви насправді підключаєтеся. Список у блозі не є заявою про сумісність, і новіший дистрибутив не означає новіший клієнт.

Деталь про X11, яка робить можливою роботу без екрана

SNX потребує бібліотек X11, але не працюючого X-сервера. Ця різниця і є вся різниця між клієнтом, що працює через SSH на хості без екрана, і тим, що виглядає завмерлим без виводу. Ставте пакет бібліотек зі свого дистрибутива, а не набір, скопійований з іншого випуску, і запускайте клієнт із того сеансу, якому потрібен тунель.

Після підключенняпрочитайте інтерфейс і маршрути, перш ніж довіряти будь-чому з них:

ip -brief addr show
ip route show

SNX створює тунельний інтерфейс і встановлює маршрути, які визначає портал. Ці маршрути — рішення шлюзу, а не ваше, тому відсутній префікс — це проблема профілю на боці шлюзу, а не помилка клієнта. Перевірте заразом DNS, бо профілі з розділеним тунелем часто підсовують резолвер, якого ви не чекали.

Коли SNX — цілком неправильна відповідь

Шлюзи Check Point уміють також завершувати з'єднання IPsec іL2TPвід клієнта до сайту, і вони працюють із strongSwan, Libreswan або плагіном L2TP від NetworkManager. Це конфігурація шлюзу, а не клієнтський трюк. Якщо шлюз публікує лише портал Mobile Access,клієнту IPsec немає про що домовлятися, і в журналі буде тайм-аут замість помилки автентифікації. Запитайте, які модулі віддаленого доступу ввімкнено, перш ніж ставити щось інше.

Кожне обмеження тут живе на боці шлюзу: модуль, ліцензія, збірка клієнта й профіль маршрутів. CLI працює роками. Ламається припущення, що підтримка Linux означає пакет, яким ви володієте й керуєте.