Linux客户端入门指南

本文解释如何安装和运行 Cato Linux 客户端 v5.1。

概述

从版本 5.1 开始，Linux客户端支持设备姿态检查，可包含在您的客户端连接性和访问权限策略中。 此版本还包括对用户意识、由 Cato 管理的自动升级和无浏览器的 SSO 支持。

先决条件

  • 查看在准备安装Cato客户端中列出的先决条件（尤其是最低设备操作系统）。

  • 对于 SSO 和基于 GUI 的功能：

    • 全部Linux桌面版本均支持（例如Gnome和KDE）
    • 为设备定义默认浏览器（通常默认设置为GNOME）
    • 在Azure上仅支持无头模式SSO。 有关如何配置Azure SSO的更多信息，请参阅为您的账户配置Azure SSO
  • 安装和执行脚本从CLI运行，需要您打开终端应用程序

已知限制

  • 自动重新认证不支持。 终端用户必须在浏览器中重新认证到IdP。

安装 Linux 客户端

下载客户端文件并在您的 Linux 设备上运行它。

在Linux设备上安装客户端：

  1. 从客户端下载门户 ，选择Linux标签页并下载客户端。

    以下文件类型可用：

    • .rpm (Red Hat Package Manager)
    • Debian (.deb)

  2. 运行客户端文件：

    • 对于.rpm文件，在终端输入以下命令：sudo rpm -i cato-client-install.rpm
    • 对于Debian文件，在终端输入以下命令：sudo dpkg -i cato-linux-install.deb

正在运行 Linux 客户端

要将客户端连接到浏览器设备上的 Cato 云，运行命令：cato-sdp start

要将客户端连接到无头 (无浏览器) 设备上的 Cato 云，运行命令：cato-sdp start --account <account name> --user <SDP user's email address>

注意

注意：账户名称是账户子域。 要查找子域，请导航至 访问 > 单点登录。

浏览器认证

在设备带有浏览器时，运行启动命令后会打开浏览器。 您可以使用浏览器使用为您的账户配置的认证方法进行 Cato 认证。

无头 SSO (无浏览器认证)

要在无浏览器的设备上使用 SSO 进行认证，您可以使用带有浏览器的不同设备代替无头设备进行认证。

无头 SSO 概览

您可以在非浏览器环境中使用无头 SSO 对 SDP 用户进行认证，例如命令行工具或打印机，无需浏览器。 使用无头 SSO，您可以使用带有浏览器的不同设备代替非浏览器设备进行认证。 通过浏览器成功认证后，非浏览器设备将连接到 Cato 云。

无头 SSO无法实现静默重新认证。 令牌过期后，SDPs用户需要重新认证。

使用无头 SSO认证

无头 SSO 允许您在无浏览器的设备上进行认证。

在无头设备上认证：

  1. 在无头设备上，运行命令：cato-sdp start --account <account name>。

    返回唯一代码和网址。

    注意：

    - 账户名称是账户子域。 要查找子域名，导航到访问>单点登录。

    - 无需 SSO 认证时，请添加参数：--no-sso

    - 在版本 5.1.0.21 及以上不需要 --headless 参数

  2. 在有浏览器的设备上，访问网址并输入唯一代码。

  3. 使用您的 SSO 凭据登录。

    无头设备连接到 Cato 云。

Linux OS 客户端操作

以下是您可以在 Linux 客户端中使用的操作。 在每个参数前加上 cato-sdp。

Parameter 描述
开始 客户端连接到Cato云
停止 客户端从Cato云断开连接
帮助 显示可用参数列表
访问令牌状态 显示连接状态
版本 显示客户端版本
支持 联系技术支持
更新 更新客户端到最新版本
import-cert 导入设备证书

Linux OS 客户端参数

以下是您运行客户端时可以用于不同功能和设置的可选参数。 每个参数应加上 cato-sdp start。

Parameter 描述
--地址<PoP IP地址> 客户端连接到特定Cato PoP（联系支持以获取特定IP地址）。 默认行为是客户端自动连接到Cato云中的最佳PoP。
--append {head|tail}

保留现有配置于/etc/resolv.conf。

连接后，客户端将/etc/resolv.conf替换为从Cato接收到的DNS配置。 使用此参数会将Cato配置附加到现有配置。

  • head - 在现有配置前添加Cato的DNS配置，对Cato配置进行优先处理。
  • tail - 在现有配置后添加Cato的DNS配置，对现有配置进行优先处理。在任一情况下，/etc/resolv.conf在断开连接后恢复到其原始内容。

如果在Cato管理应用程序中启用了分流隧道，此参数将被忽略，客户端始终替换/etc/resolv.conf的内容。
--cato-sdp 支持 下载客户端日志或直接发送给技术支持团队。

--floglevel

--gloglevel

设置客户端的文件（floglevel）或全局（gloglevel）日志记录设置：

  • 0 - 详细
  • 1 - 调试
  • 2 - 信息
  • 3 - 警告
  • 4 - 错误
  • 5 - 无

--无头

--不使用SSO

客户端以无头模式运行。

无SSO提示SDP用户输入密码。 在没有SSO认证配置的账户中，在无头设备上使用此参数。
帮助 显示帮助屏幕。
--度量 _metric_

为VPN流量创建的路由（请参阅--route）。

如果未指定，此路由具有系统上的最高优先级（与指定--metric 0相同）。
--端口 更改DTLS端口（443或1337），端口443是默认设置。
--重新连接 _秒_

断开连接后，客户端等待尝试重新连接的秒数。 客户端尝试在此间隔内重新连接，直到建立连接或客户端被外部停止。

如果未指定此参数，客户端会尝试重新连接一次，如果不成功，立即退出。
--注册代码 使用注册代码认证到客户端。
--路由

单个子网被路由到隧道，而不是默认路由。 例如：--route 10.24.0.0/16创建特定路由，因此仅此子网通过VPN路由。

如果未指定，客户端会添加默认路由，因此设备上的所有流量都通过VPN路由（与指定--route 0.0.0.0/0相同）。
--用户，--账户，--密码，--重置密码，--重置凭证

Cato用户凭证。 这些值对于使用Web浏览器认证的用户是可选的。

密码是可选的。 需要密码时，会提示用户添加一个新的密码。

重置凭证重置所有用户凭证并移除认证令牌（支持v5.0及以上）。

注意

注意： 我们不建议使用--密码参数。
--使用systemd-resolv

使用systemd-resolv（而不是直接编辑/dev/resolv.conf）。 此参数的值为：

  • 1 - 真
  • 0 - 假（默认值）

使用客户端的--使用systemd-resolv参数时，请不要使用append参数。
--版本 显示有关客户端版本的信息。
--pin 输入MFA代码

客户端文件参数的参数

您可以将 Linux 客户端的参数保存到文件中，然后在启动客户端时加载参数。 这些是客户端文件的参数：

Parameter 描述
--加载文件_

使用以前使用--保存储存在文件中的参数值。

您可以通过在命令行上指定来覆盖任何存储的设置。

由于凭证也存储在此文件中，请确保保密，因为任何人都可以使用此文件通过保存的凭证进行连接。

或者，您可以将空或错误的密码存储在文件中，并在命令行上指定正确的密码。 例如：--加载 _文件_ --密码 '******'
--保存文件_ 保存命令行上传递的全部参数到给定文件中，以便通过--load参数使用。
--show_file_ 使用--save显示存储在文件中的设置。

设备认证与证书的设备认证参数

本节包含用于 Linux 客户端的参数，这些客户端使用设备证书进行设备认证。 有关更多信息，请查看分发和安装设备证书。

Parameter 描述
--cert <certificate path>

到设备认证的证书文件的路径。 默认路径是：

/opt/cato/client_cert/device_cert.p12

卸载客户端

如果设备上不再需要客户端，您可以卸载它。 客户端卸载后，将无法在设备上应用网络规则或安全策略。

到卸载客户端：

  1. 在终端中，运行已安装文件类型的命令：

    • .rpm sudo rpm -e cato-client-install
    • .deb sudo dpkg -r cato-linux-install

  2. （可选）卸载完成后，删除这些位置中的剩余配置文件

    • sudo rm -rf /opt/cato
    • sudo rm -rf /usr/lib/cato/
    • sudo rm -rf /var/log/cato*.log
    • sudo rm -rf ~/.cato/
  3. 重启您的设备。

如果您在安装 Cato 客户端期间更改了系统网络配置，则可能需要手动恢复这些更改。

这篇文章有帮助吗？

10 人中有 2 人觉得有帮助

0 条评论