vpnc, OpenConnect oder AnyConnect-Wrapper: Welche Variante?

Ein Plugin nach dem anderen zu installieren, bis irgendetwas verbindet, kann einen ganzen Nachmittag kosten, denn »Cisco VPN« beschreibt mindestens drei verschiedene Anordnungen. Ein altes Profil mit Gruppengeheimnis und XAuth ist nicht derselbe Dienst wie ein AnyConnect-kompatibles Gateway, selbst wenn dieselbe Organisation beides betreibt. Das Plugin muss zum Protokoll und zum Anmeldeablauf passen, nicht zum Herstellerlogo. Ein Menüeintrag sagt nur, welche Integration vorhanden ist, nie, welche das Gateway akzeptiert.

Fragen Sie den Gateway-Administrator zwei Dinge: welches Protokoll und welcher Client dafür freigegeben ist.

Drei Integrationen, drei verschiedene Ziele

NetworkManager führt sie als getrennte Integrationen. NetworkManager-vpnc deckt das alte Cisco-kompatible IPsec ab. NetworkManager-openconnect bietet eine auf OpenConnect basierende Oberfläche für unterstützte Protokolle einschließlich AnyConnect. Ein separat aufgeführter AnyConnect-Wrapper hängt davon ab, dass der proprietäre Client zuerst installiert und konfiguriert ist.

Es sind keine Schreibweisen derselben ausführbaren Datei. Die Installation der einen macht die anderen nicht funktionsfähig, und ein Menüeintrag ist ein Oberflächenfakt, keine Kompatibilitätsgarantie.

Die Anmeldung entscheidet mehr als der Transport

Ein passender Transport ist nur der Anfang. Die Anmeldung kann ein Zertifikat, eine Übergabe an den Browser, einen zweiten Faktor oder eine Endpunktprüfung erfordern, die eine Fremdoberfläche nicht umsetzt. OpenConnect dokumentiert mehrere Anmeldemechanismen, aber eine Funktionsliste ist kein Versprechen, dass jedes Gateway jede Oberfläche akzeptiert. Ein Gruppengeheimnis aus einem alten Profil gehört niemals in ein fremdes Anmeldefeld, nur weil das Passwortfeld ähnlich aussah.

Besorgen Sie ein Profil und die Übergabe der Anmeldedaten für den freigegebenen Client. Nach visueller Position zu übersetzen ist der Weg, auf dem Anmeldedaten an der falschen Stelle landen.

Wartung gehört zur Entscheidung

Die eigene Dokumentation von NetworkManager kennzeichnet das vpnc-Plugin als nicht mehr gepflegt und schlägt NetworkManager-libreswan als einen möglichen Ersatz für dieselbe IKEv1-Protokollfamilie vor. Sie warnt außerdem, dass Profile neu erstellt werden müssen und dass die Gleichwertigkeit je Option nicht geprüft wurde. Das ist eine Richtung, kein Konvertierungswerkzeug.

IKEv1 selbst ist veraltet. Trennen Sie bei einer freigegebenen Altverbindung die kurzfristige Frage, welcher Client läuft, von der langfristigen Frage, wann das Gateway das Protokoll wechselt.

Pakete trennen den Dienst vom Editor

Ein NetworkManager-Plugin wird meist in zwei Teilen geliefert: einer dienstseitigen Komponente, die den Tunnel aufbaut, und einer Editor-Integration, mit der der Desktop ihn konfigurieren kann. Distributionen teilen und benennen diese Pakete unterschiedlich, und nur den Kommandozeilen-Client zu installieren kann den Editor ohne Formular zurücklassen. Prüfen Sie beide Hälften gegen die Paketliste Ihrer Distribution und halten Sie die Laufzeitversion mit der NetworkManager-Version kompatibel, in die sie eingebunden wird.

Ein funktionierender eigenständiger Client beweist, dass das Protokoll funktioniert. Er beweist nicht, dass die Desktop-Integration installiert ist.

Schreiben Sie den Vertrag auf

Die Antwort des Administrators sollte fünf Zeilen ergeben: Protokoll, freigegebener Client oder Plugin, Anmeldeablauf, benötigte Pakete und der Eigentümer, der das Gateway pflegt. Wenn das festgehalten ist, hat der nächste Fehler einen Ausgangspunkt statt einer Liste von Plugins zum Ausprobieren.

Lautet die Antwort »was auch immer verbindet«, hat die Umgebung ein Dokumentationsproblem, das dieses Ticket überdauern wird. Fragen Sie erneut, mit den konkreten Menüeinträgen vor sich.