本文解释如何安装和运行 Cato Linux 客户端 v5.1。
概概览
从版本 5.1 开始，Linux客户端支持设备姿态检查，可包含在您的客户端连接性和访问权限策略中。 此版本还包括对用户意识、由 Cato 管理的自动升级和无浏览器的 SSO 支持。
Prerequisites
查看在准备安装Cato客户端中列出的先决条件（尤其是最低设备操作系统）。
对于 SSO 和基于 GUI 的功能：
全部Linux桌面版本均支持（例如Gnome和KDE）
为设备定义默认浏览器（通常默认设置为GNOME）
在Azure上仅支持无头模式SSO。 有关如何配置 Azure SSO 的更多信息，请参见 为您的账户配置 Azure SSO
安装和执行脚本从CLI运行，需要您打开终端应用程序
已知局限性
自动重新认证不支持。 终端用户必须在浏览器中重新认证到IdP。
安装Linux客户端
下载客户端文件并在您的 Linux 设备上运行它。
在Linux设备上安装客户端：
从客户端下载门户 ，选择Linux标签页并下载客户端。
以下文件类型可用：
.rpm (Red Hat Package Manager)
Debian (.deb)
运行客户端文件：
对于.rpm文件，在终端输入以下命令：sudo rpm -i cato-client-install.rpm
对于Debian文件，在终端输入以下命令：sudo dpkg -i cato-client-install.deb
正在运行 Linux 客户端
要将客户端连接到浏览器设备上的 Cato 云，运行命令：cato-sdp start
要将客户端连接到无头（无浏览器）设备上的 Cato Cloud，运行命令： cato-sdp start --account <账户名称> --user <远程用户的电子邮件地址>
注意： 账户名称是账户子域。 要查找子域，请导航至 访问 > 单点登录。
浏览器认证
在带有浏览器的设备上，运行启动命令后，浏览器会打开。 您可以使用浏览器使用为您的账户配置的认证方法进行 Cato 认证。
无头 SSO (无浏览器认证)
要在无浏览器的设备上使用 SSO 进行认证，您可以使用带有浏览器的不同设备代替无头设备进行认证。
无头 SSO 概览
您可以在无浏览器环境中使用无头 SSO 对远程用户进行认证，例如命令行工具或打印机，无需浏览器。 使用无头 SSO，您可以使用带有浏览器的不同设备，替代非浏览器设备进行认证。 通过浏览器成功认证后，非浏览器设备将连接到 Cato 云。
无头 SSO无法实现静默重新认证。 令牌到期后，远程用户需要重新认证。
使用无头 SSO认证
无头 SSO 允许您在无浏览器的设备上进行认证。
在无头设备上认证：
在无头设备上，运行命令：cato-sdp start --account <account name>。
返回唯一代码和网址。
注意：
- 账户名称是账户子域。 要查找子域名，导航到访问>单点登录。
- 无需 SSO 认证时，请添加参数：--no-sso
- 在版本 5.1.0.21 及以上不需要 --headless 参数
在有浏览器的设备上，访问网址并输入唯一代码。
使用您的 SSO 凭据登录。
无头设备连接到 Cato 云。
Linux OS 客户端操作
以下是您可以在 Linux 客户端中使用的操作。 在每个参数前加上 cato-sdp。
Parameter | 描述 |
|---|---|
开始 | 客户端连接到Cato云 |
停止 | 客户端从Cato云断开连接 |
帮助 | 显示可用参数列表 |
状态 | 显示连接状态 |
version | 显示客户端版本 |
支持 | 联系技术支持 |
更新 | 更新客户端到最新版本 |
import-cert | 导入设备证书 |
Linux OS 客户端参数
以下是您运行客户端时可以用于不同功能和设置的可选参数。 每个参数应加上 cato-sdp start。
Parameter | 描述 |
|---|---|
--地址<PoP IP地址> | 客户端连接到特定Cato PoP（联系支持以获取特定IP地址）。 默认行为是客户端自动连接到 Cato Cloud 中的最佳 PoP。 |
--append {head|tail} | 保留现有配置于/etc/resolv.conf。 连接后，客户端将/etc/resolv.conf替换为从Cato接收到的DNS配置。 使用此参数会将Cato配置附加到现有配置。
如果在 Cato 管理应用程序中启用了分流隧道，此参数将被忽略，客户端始终替换 /etc/resolv.conf 的内容。 |
--cato-sdp 支持 | 下载客户端日志或直接发送给技术支持团队。 |
--floglevel --gloglevel | 设置客户端的文件（floglevel）或全局（gloglevel）日志记录设置：
|
--无头 --不使用SSO | 客户端以无头模式运行。 no-sso 提示远程用户输入密码。 在没有SSO认证配置的账户中，在无头设备上使用此参数。 |
帮助 | 显示帮助屏幕。 |
--度量 _metric_ | 为VPN流量创建的路由（请参阅--route）。 如果未指定，此路由具有系统上的最高优先级（与指定--metric 0相同）。 |
--port | 更改DTLS端口（443或1337），端口443是默认设置。 |
--重新连接 _秒_ | 断开连接后，客户端等待尝试重新连接的秒数。 客户端尝试在此间隔内重新连接，直到建立连接或客户端被外部停止。 如果未指定此参数，客户端会尝试重新连接一次，如果不成功，立即退出。 |
--注册代码 | 使用注册代码认证到客户端。 |
--路由 | 单个子网被路由到隧道，而不是默认路由。 例如：--route 10.24.0.0/16 创建特定路由，因此仅此子网通过加密隧道进行路由。 如果未指定，客户端会添加默认路由，因此设备上的所有流量都通过VPN路由（与指定--route 0.0.0.0/0相同）。 |
--用户，--账户，--密码，--重置密码，--重置凭证 | Cato用户凭证。 这些值对于使用Web浏览器认证的用户是可选的。 密码是可选的。 需要密码时，会提示用户添加一个新的密码。 重置凭证重置所有用户凭证并移除认证令牌（支持v5.0及以上）。 |
--使用systemd-resolv | 使用 systemd-resolv (而不是直接编辑/dev/resolv.conf)。 该参数的值为：
使用客户端的--使用systemd-resolv参数时，请不要使用append参数。 注意： 我们不建议使用 --密码 参数。 |
--version | 显示有关客户端版本的信息。 |
--pin | 输入MFA代码 |
客户端文件参数的参数
您可以将 Linux 客户端的参数保存到文件中，然后在启动客户端时加载参数。 这些是客户端文件的参数：
Parameter | 描述 |
|---|---|
--加载文件_ | 使用以前使用--保存储存在文件中的参数值。 您可以通过在命令行上指定来覆盖任何存储的设置。 由于凭证也存储在此文件中，请确保保密，因为任何人都可以使用此文件通过保存的凭证进行连接。 或者，您可以将空或错误的密码存储在文件中，并在命令行上指定正确的密码。 例如：--加载 _文件_ --密码 '******' |
--保存文件_ | 保存命令行上传递的全部参数到给定文件中，以便通过--load参数使用。 |
--show_file_ | 使用 --save 显示存储在文件中的设置。 |
设备认证与证书的设备认证参数
本节包含用于 Linux 客户端的参数，这些客户端使用设备证书进行设备认证。 有关更多信息，请查看分发和安装设备证书。
Parameter | 说明 |
|---|---|
--cert <certificate path> | 到设备认证的证书文件的路径。 默认路径为： |
卸载客户端
如果设备上不再需要客户端，您可以卸载它。 客户端卸载后，设备上将无法应用网络规则或安全策略。
到卸载客户端：
在终端中，运行已安装文件类型的命令：
.rpm
sudo rpm -e cato-client-install.deb
sudo dpkg -r cato-linux-install
（可选） 卸载完成后，删除这些位置中的剩余配置文件。
sudo rm -rf /opt/cato
sudo rm -rf /usr/lib/cato/
sudo rm -rf /var/log/cato*.log
sudo rm -rf ~/.cato/
重启您的设备。
如果您在安装 Cato 客户端期间更改了系统网络配置，则可能需要手动恢复这些更改。