Check Point VPN trên Linux: SNX không phải thứ bạn tải về rồi cài

Bạn tìm gói khách của Check Point cho Linux và không thấy trang tải xuống nào có trình cài đặt. Sự vắng mặt đó không phải lỗ hổng trong khâu đóng gói. Gói khách truy cập từ xa của Check Point cho Linux là SSL Network Extender, SNX, và cổng sẽ trao nó cho bạn sau khi bạn xác thực trong trình duyệt. Khi điều đó ổn rồi, phần nhầm lẫn còn lại cũng có lý, kể cả vì sao gần như mọi bài viết về nó đều đã nhiều năm.

Chuyện hoang đường: có một gói khách để tải về và cài

Kỳ vọng đó đến từ mọi nhà cung cấp khác. OpenVPN, WireGuard và phần lớn gói khách thương mại công bố một gói cài hoặc một kho, và việc cài đặt là quyết định cục bộ bạn tự làm. Check Point không hoạt động như vậy trên Linux. Không có trình cài đặt độc lập trong các bản tải chính thức cho phiên bản cổng hiện hành, nên tìm nó chỉ ra những luồng diễn đàn cũ và các bản sao của bên thứ ba.

Những bản sao đó tệ hơn cả vô dụng, vì bản dựng phải khớp với cổng phục vụ nó.

SNX thực sự là gì, và đến từ đâu

SNX là gói khách dòng lệnh có tệp nhị phân là snx, và nó được cài qua một phiên bạn mở trong trình duyệt với cổng. Trước đây một applet Java tải và cài nó sau khi bạn đồng ý lời nhắc. Cơ chế đã thay đổi qua các năm, nguồn thì không. Cổng phục vụ bản dựng khớp với chính nó, vì thế phiên bản gói khách và cổng đi cùng nhau, và vì thế một gói khách chép từ gói cũ chỉ hoạt động chừng nào cổng còn nói chuyện với nó.

Điều này cũng có nghĩa cổng phải sẵn sàng trước khi mọi việc phía gói khách có ý nghĩa. Mobile Access Software Blade phải được cấp phép và cấu hình, vì không có nó thì không có cổng thông tin để cài từ đó. Không nỗ lực nào ở phía gói khách tạo ra phiên với một cổng không cung cấp phiên đó.

Hướng gói khách tới cổng bằng người dùng của bạn, và đọc những gì nó báo:

snx -s vpn.example.com -u your.name

Ràng buộc là hỗ trợ bản phân phối, không phải trình cài đặt

Danh sách bản phân phối được nhà cung cấp hỗ trợ cho SNX ngắn và cũ. Trong bài đã công bố, nó dừng quanh Ubuntu 17.04, cùng vài bản openSUSE, Fedora và RHEL cùng thời, và vẫn liệt kê Ubuntu 12.10. Điều đó cho bạn biết danh sách già đi thế nào, không phải máy bạn cần gì. Một bản phân phối hiện hành đơn giản là không có trong đó.

Hãy chờ sự không khớp thư viện trước khi chờ một đường hầm chạy được. Ba trường hợp thường gặp là thiếu thư viện 32 bit trên hệ 64 bit, một phiên bản OpenSSL mà tệp nhị phân chưa bao giờ được liên kết, và một mô-đun nhân mà gói khách cố biên dịch. Hãy đọc các ký hiệu còn thiếu thay vì đoán gói:

ldd $(command -v snx) | grep "not found"

Sau đó xem bài hỗ trợ của đúng bản cổng bạn kết nối. Danh sách trên blog không phải tuyên bố tương thích, và bản phân phối mới hơn không có nghĩa là gói khách mới hơn.

Chi tiết X11 khiến việc không màn hình trở nên khả thi

SNX cần thư viện X11 nhưng không cần máy chủ X đang chạy. Khác biệt đó là toàn bộ khác biệt giữa gói khách chạy qua SSH trên máy không màn hình và một gói trông như treo mà không có đầu ra. Hãy cài gói thư viện do bản phân phối của bạn cung cấp thay vì bộ đã chép từ bản khác, và chạy gói khách từ đúng phiên cần đường hầm.

Sau khi kết nối,hãy đọc giao diện và các tuyến trước khi tin vào bất kỳ thứ nào:

ip -brief addr show
ip route show

SNX tạo một giao diện đường hầm và cài các tuyến do cổng thông tin định nghĩa. Những tuyến đó là quyết định của cổng, không phải của bạn, nên một tiền tố thiếu là vấn đề hồ sơ phía cổng chứ không phải lỗi của gói khách. Kiểm tra DNS cùng lúc, vì hồ sơ chia đường hầm thường đẩy vào một bộ phân giải bạn không ngờ.

Khi SNX hoàn toàn là câu trả lời sai

Cổng Check Point cũng có thể kết thúc các kết nối IPsec vàL2TPtừ gói khách tới site, và chúng chạy với strongSwan, Libreswan hoặc trình cắm L2TP của NetworkManager. Đó là cấu hình cổng, không phải mẹo của gói khách. Nếu cổng chỉ công bố cổng thông tin Mobile Access,gói khách IPsec không có gì để thương lượng, và nhật ký hiện thời gian chờ thay vì lỗi xác thực. Hãy hỏi những blade truy cập từ xa nào đang bật trước khi cài bất cứ thứ gì khác.

Mọi ràng buộc ở đây nằm phía cổng: blade, giấy phép, bản dựng gói khách và hồ sơ tuyến. CLI đã chạy nhiều năm. Cái vỡ là giả định rằng hỗ trợ Linux nghĩa là một gói bạn sở hữu và kiểm soát.