Linux'da Check Point VPN: SNX yuklab olib o‘rnatiladigan narsa emas

Siz Check Point'ning Linux mijozi ni qidirasiz va o‘rnatuvchisi bor yuklab olish sahifasini topmaysiz. Bu yo‘qlik qadoqlashdagi bo‘shliq emas. Check Point'ning Linux uchun masofaviy kirish mijozi — SSL Network Extender, ya'ni SNX, va shlyuz uni brauzerda o‘zingizni tasdiqlaganingizdan keyin beradi. Bu joyiga tushgach, qolgan chalkashlik ham mantiqiy bo‘ladi, jumladan nega bu haqdagi deyarli har bir matn yillar oldin yozilgani.

Afsona: yuklab olib o‘rnatadigan mijoz bor

Bu kutilma boshqa barcha yetkazib beruvchilardan keladi. OpenVPN, WireGuard va aksariyat tijoriy mijozlar paket yoki repozitoriyni e'lon qiladi, uni o‘rnatish esa o‘zingiz yakka qabul qiladigan mahalliy qaror. Check Point Linuxda bunday ishlamaydi. Joriy shlyuz versiyalari uchun rasmiy yuklab olishlarda alohida o‘rnatuvchi yo‘q, shuning uchun uni qidirish faqat eski forum mavzulari va uchinchi tomon oynalarini chiqaradi.

O‘sha oynalar foydasizdan ham yomonroq, chunki qurilma uni taqdim etuvchi shlyuzga mos kelishi kerak.

SNX aslida nima va u qayerdan keladi

SNX — binar fayli snx bo‘lgan buyruq qatori mijozi va u brauzerda shlyuzga qarshi boshlagan sessiya orqali o‘rnatiladi. Tarixan Java applet siz so‘rovni qabul qilganingizdan keyin uni yuklab olib o‘rnatardi. Mexanizm yillar davomida o‘zgardi, manba o‘zgarmadi. Shlyuz o‘ziga mos qurilmani taqdim etadi, shuning uchun mijoz va shlyuz versiyalari birga boradi va shuning uchun eski paketdan ko‘chirilgan mijoz faqat shlyuz u bilan gaplashib turguncha ishlaydi.

Bu shuni ham bildiradiki, mijozdagi har qanday ish mazmun kasb etishidan oldin shlyuz tayyor bo‘lishi kerak. Mobile Access Software Blade litsenziyalanib, sozlanishi kerak, chunki usiz o‘rnatish uchun portal yo‘q. Mijoz tomonidagi hech qanday harakat portal taqdim etmaydigan shlyuzga qarshi sessiya yaratmaydi.

Mijozni o‘z foydalanuvchingiz bilan shlyuzga qarating va u nima xabar berishini o‘qing:

snx -s vpn.example.com -u your.name

Cheklov o‘rnatuvchi emas, distributivlar qo‘llab-quvvatlashi

SNX uchun yetkazib beruvchining qo‘llab-quvvatlanadigan distributivlar ro‘yxati qisqa va eski. E'lon qilingan maqolada u taxminan Ubuntu 17.04da to‘xtaydi, o‘sha davrdagi bir necha openSUSE, Fedora va RHEL nashrlari bilan birga, va hanuz Ubuntu 12.10ni sanaydi. Bu ro‘yxat qanday eskirishini aytadi, mashinangizga nima kerakligini emas. Joriy distributiv unda umuman yo‘q.

Ishlaydigan tunnelni kutishdan oldin kutubxonalar mos kelmasligini kuting. Odatiy uchtasi: 64 bitli tizimda yetishmayotgan 32 bitli kutubxonalar, binar hech qachon bog‘lanmagan OpenSSL versiyasi va mijoz qurishga urinayotgan yadro moduli. Paketlarni taxmin qilish o‘rniga yetishmayotgan belgilarni o‘qing:

ldd $(command -v snx) | grep "not found"

Keyin haqiqatan ulanadigan shlyuz nashrining qo‘llab-quvvatlash maqolasini ko‘ring. Blogdagi ro‘yxat moslik bayonoti emas, yangi distributiv yangi mijoz degani ham emas.

Ekransiz ishlashni mumkin qiladigan X11 tafsiloti

SNXga X11 kutubxonalari kerak, lekin ishlab turgan X server kerak emas. Shu farq ekransiz xostda SSH orqali ishlaydigan mijoz bilan hech qanday chiqishsiz qotib qolgandek ko‘ringan mijoz o‘rtasidagi butun farqdir. Boshqa nashrdan ko‘chirilgan to‘plam emas, distributivingiz bergan kutubxona paketini o‘rnating va mijozni tunnel kerak bo‘lgan sessiyadan ishga tushiring.

Ulanganidan keyininterfeys va marshrutlarning ikkalasiga ishonishdan oldin ularni o‘qing:

ip -brief addr show
ip route show

SNX tunnel interfeysini yaratadi va portal belgilagan marshrutlarni o‘rnatadi. Bu marshrutlar sizniki emas, shlyuzning qarori, shuning uchun yetishmayotgan prefiks mijoz xatosi emas, shlyuz tomonidagi profil muammosi. Bir vaqtda DNSni ham tekshiring, chunki split-tunnel profillari ko‘pincha siz kutmagan resolverni itarib yuboradi.

SNX butunlay noto‘g‘ri javob bo‘lganda

Check Point shlyuzlari IPsec vaL2TPmijozdan saytga ulanishlarni ham tugata oladi va ular strongSwan, Libreswan yoki NetworkManagerning L2TP plagin bilan ishlaydi. Bu shlyuz konfiguratsiyasi, mijozning hiylasi emas. Agar shlyuz faqat Mobile Access portalini e'lon qilsa,IPsec mijozining kelishadigan narsasi yo‘q, va jurnal autentifikatsiya xatosi o‘rniga vaqt tugashini ko‘rsatadi. Boshqa narsa o‘rnatishdan oldin qaysi masofaviy kirish bladelari yoqilganini so‘rang.

Bu yerdagi har bir cheklov shlyuz tomonida: blade, litsenziya, mijoz qurilmasi va marshrut profili. CLI yillar davomida ishlaydi. Buziladigan narsa — Linux qo‘llab-quvvatlashi o‘zingizga tegishli va nazorat qiladigan paket degan faraz.