vpnc, OpenConnect eller AnyConnect-indpakning: hvilken en?

At installere plugin efter plugin, indtil noget forbinder, kan spilde en hel eftermiddag, fordi »Cisco VPN« beskriver mindst tre forskellige opsætninger. En gammel profil med gruppehemmelighed og XAuth er ikke den samme tjeneste som en AnyConnect-kompatibel gateway, selv når den samme organisation kører begge. Pluginet skal passe til protokollen og godkendelsesforløbet, ikke til leverandørens logo. Et menupunkt fortæller kun, hvilken integration der er til stede, aldrig hvilken gatewayen accepterer.

Spørg gateway-administratoren om to ting: hvilken protokol, og hvilken klient der er godkendt til den.

Tre integrationer, tre forskellige mål

NetworkManager viser dem som separate integrationer. NetworkManager-vpnc dækker den gamle Cisco-kompatible IPsec. NetworkManager-openconnect leverer en OpenConnect-baseret frontend til understøttede protokoller, herunder AnyConnect. En separat opført AnyConnect-indpakning afhænger af, at den proprietære klient først er installeret og konfigureret.

De er ikke stavemåder for den samme eksekverbare fil. At installere den ene får ikke de andre til at virke, og et menupunkt er et grænsefladefaktum, ikke en kompatibilitetsgaranti.

Godkendelse afgør mere end transport

En matchende transport er kun begyndelsen. Login kan kræve et certifikat, en overdragelse til browseren, en anden faktor eller et posture-tjek af slutpunktet, som en tredjeparts frontend ikke implementerer. OpenConnect dokumenterer flere godkendelsesmekanismer, men en funktionsliste er ikke et løfte om, at enhver gateway accepterer enhver frontend. En gruppehemmelighed fra en gammel profil bør aldrig indsættes i et uvedkommende godkendelsesfelt, bare fordi passwordfeltet lignede det andet.

Skaff en profil og overdragelsen af legitimationsoplysninger til den godkendte klient. At oversætte efter visuel placering er måden, hvorpå legitimationsoplysninger havner det forkerte sted.

Vedligeholdelse er en del af valget

NetworkManagers egen dokumentation markerer vpnc-pluginet som ikke vedligeholdt og foreslår NetworkManager-libreswan som en mulig erstatning for den samme IKEv1-protokolfamilie. Den advarer også om, at profiler skal genskabes, og at paritet for hver indstilling ikke er kontrolleret. Det er en retning, ikke et konverteringsværktøj.

IKEv1 er selv forældet. For en godkendt gammel forbindelse skal du adskille det kortsigtede spørgsmål om, hvilken klient der skal køres, fra det langsigtede spørgsmål om, hvornår gatewayen skifter protokol.

Pakker deler tjenesten fra editoren

Et NetworkManager-plugin leveres normalt i to dele: en tjenestesidekomponent, der etablerer tunnelen, og en editorintegration, der lader skrivebordet konfigurere den. Distributioner deler og navngiver disse pakker forskelligt, og at installere kun kommandolinjeklienten kan efterlade editoren uden en formular. Kontroller begge halvdele mod din distributions pakkeliste, og hold køretidsversionen kompatibel med den NetworkManager-version, den sættes i.

En fungerende selvstændig klient beviser, at protokollen virker. Den beviser ikke, at skrivebordsintegrationen er installeret.

Skriv kontrakten ned

Administratorens svar bør give fem linjer: protokol, godkendt klient eller plugin, loginforløb, nødvendige pakker og den ejer, der vedligeholder gatewayen. Når det er skrevet ned, har den næste fejl et udgangspunkt i stedet for en liste af plugins, der skal prøves.

Hvis svaret er »den, der forbinder«, har miljøet et dokumentationsproblem, der vil overleve denne sag. Spørg igen med de konkrete menupunkter foran dig.