AnyConnect écrase votre profil ? C'est une collision de noms

L'histoire qui circule est qu'AnyConnect a perdu votre seconde passerelle, ou que le client est trop ancien pour contenir deux profils. Ni l'un ni l'autre ne s'est produit. Ce qui s'est produit, c'est que le client stocke chaque profil qu'il a vu dans un fichier nommé d'après ce que le serveur a envoyé, et vos deux passerelles nomment leur fichier de la même façon. Il n'y a qu'un emplacement sur le disque pour ce nom, donc le second téléchargement prend la place du premier.

Deux dossiers, et un seul vous appartient

La copie qui change est la copie de travail sous votre propre profil utilisateur, généralement %LOCALAPPDATA%\Cisco\Cisco AnyConnect Secure Mobility Client\preferences.xml. Ce fichier enregistre la dernière connexion que vous avez établie et le profil qu'elle a utilisé. Comme il vit dans votre dossier, le client le réécrit à chaque connexion sans demander d'élévation.

La liste que vous voyez dans le menu déroulant est autre chose. Chaque profil que la machine a reçu un jour est copié dans %PROGRAMDATA%\Cisco\Cisco AnyConnect Secure Mobility Client\Profile, et le client liste les fichiers qui s'y trouvent. Écrire dans ce dossier exige des droits d'administrateur, ce qui explique un symptôme mal lu : ajouter un profil à la main en tant qu'utilisateur ordinaire semble fonctionner, puis l'entrée disparaît.

Ainsi, le fichier par utilisateur est un pointeur et le dossier de la machine est la bibliothèque. Une entrée manquante signifie que la bibliothèque a changé, pas le pointeur.

Le client associe les fichiers par nom, pas par passerelle

L'identité d'un profil dans ce client, c'est le nom du fichier. Deux appliances qui poussent toutes les deux company.xml sont, du point de vue du magasin local, le même profil publié deux fois. Le second téléchargement écrase le premier, et l'entrée de la fenêtre continue de pointer vers un fichier qui décrit désormais l'autre site.

C'est pourquoi la panne paraît si étrange. Le nom dans la liste se lit toujours comme le lieu attendu, l'authentification réussit toujours contre la passerelle réellement configurée, et rien ne signale d'erreur. Ce qui a changé, c'est le contenu derrière une étiquette à laquelle vous faisiez confiance.

Lisez HostAddress, pas l'étiquette

Ouvrez le fichier dans un éditeur de texte et regardez la liste des serveurs. Un profil porte un élément HostName, qui est une étiquette d'affichage, et un élément HostAddress, qui est la passerelle que le client contacte réellement. L'étiquette est un texte libre que n'importe qui peut modifier, et l'adresse décide où vous atterrissez.

Comparez ces deux valeurs avec la passerelle que vous vouliez joindre avant de conclure que le client est cassé.

Conserver les deux passerelles, dans l'ordre

Procurez-vous le profil accepté de chaque site, soit depuis le site, soit depuis une machine qui se connecte déjà. Renommez chaque fichier pour que les deux noms diffèrent, par exemple site-a.xml et site-b.xml. En tant qu'administrateur, placez les deux dans le dossier de profils de la machine et gardez les originaux reçus. Redémarrez ensuite le client et vérifiez que les deux entrées apparaissent dans le menu déroulant.

Après vous être connecté à chacune, rouvrez preferences.xml et regardez quel nom de profil il enregistre désormais comme dernier utilisé. Si le nom correspond à l'entrée sur laquelle vous avez cliqué, le mappage local se comporte correctement. Sinon, quelque chose pousse encore un fichier par-dessus votre copie renommée.

Ce que le renommage ne corrige pas

Un nouveau nom de fichier change une étiquette locale et rien d'autre. L'adresse de la passerelle, la méthode d'authentification, le certificat présenté par le serveur et toute sélection de groupe dans le profil restent tels quels. Une copie renommée du mauvais profil reste le mauvais profil, et elle vous connectera au mauvais site sous un nom convaincant.

Elle ne résiste pas non plus à une poussée de gestion qui vise le nom de fichier d'origine.

Quand la poussée suivante l'annule

Si votre organisation distribue les profils par nom, une mise à jour remplace tout fichier qui porte ce nom. Considérez les copies renommées comme une commodité locale et refaites le test de connexion après chaque mise à jour du client, en vérifiant l'adresse plutôt que l'étiquette.

Pour un arrangement durable, demandez une configuration multi-passerelles prise en charge au lieu d'entretenir des fichiers à la main. Les modifications dans le répertoire du programme sont la première chose qu'une mise à niveau supprime, et le fichier de préférences par utilisateur est réécrit par conception.

Tenez une ligne par passerelle : nom du fichier, HostAddress et dossier où il se trouve. Cette note répond au prochain rapport de mauvais site plus vite qu'une réinstallation.