vpnc, OpenConnect או עטיפת AnyConnect: מה לבחור?

התקנת תוסף אחר תוסף עד שמשהו מתחבר עלולה לבזבז אחר צהריים שלם, מפני ש«Cisco VPN» מתאר לפחות שלושה סידורים שונים. פרופיל ישן עם סוד קבוצה ו-XAuth אינו אותו שירות כמו שער תואם AnyConnect, גם כשהארגון עצמו מפעיל את שניהם. התוסף חייב להתאים לפרוטוקול ולזרימת האימות, לא ללוגו של הספק. רשומה בתפריט רק אומרת איזו אינטגרציה קיימת, ולעולם לא איזו מהן השער יקבל.

שאלו את מנהל השער שתי שאלות: איזה פרוטוקול, ואיזה לקוח מאושר עבורו.

שלוש אינטגרציות, שלושה יעדים שונים

NetworkManager מציג אותן כאינטגרציות נפרדות. NetworkManager-vpnc מכסה את ה-IPsec הישן התואם ל-Cisco. NetworkManager-openconnect מספק ממשק מבוסס OpenConnect לפרוטוקולים הנתמכים, כולל AnyConnect. עטיפת AnyConnect הרשומה בנפרד תלויה בכך שהלקוח הקנייני יותקן ויוגדר קודם.

אלה אינן צורות כתיבה של אותו קובץ הרצה. התקנת אחת אינה מפעילה את האחרות, ורשומה שמופיעה בתפריט היא עובדה של הממשק, לא ערובה לתאימות.

האימות קובע יותר מהתעבורה

תעבורה תואמת היא רק ההתחלה. ההתחברות עשויה לדרוש תעודה, מסירה לדפדפן, גורם שני או בדיקת מצב נקודת קצה שממשק של צד שלישי אינו מיישם. OpenConnect מתעד כמה מנגנוני אימות, אך רשימת תכונות אינה הבטחה שכל שער יקבל כל ממשק. אין להדביק סוד קבוצה מפרופיל ישן בשדה אימות לא קשור רק מפני שתיבת הסיסמה נראתה דומה.

השיגו פרופיל ואת מסירת פרטי ההזדהות עבור הלקוח המאושר. תרגום לפי מיקום חזותי הוא הדרך שבה פרטי הזדהות מגיעים למקום הלא נכון.

תחזוקה היא חלק מהבחירה

התיעוד של NetworkManager עצמו מסמן את תוסף vpnc כלא מתוחזק, ומציע את NetworkManager-libreswan כתחליף אפשרי לאותה משפחת פרוטוקולים IKEv1. הוא גם מזהיר שיש ליצור מחדש פרופילים ושאין בדיקה של שוויון לכל אפשרות. זהו כיוון, לא כלי המרה.

IKEv1 עצמו מיושן. עבור חיבור ישן מאושר, הפרידו את השאלה קצרת הטווח איזה לקוח להריץ מהשאלה ארוכת הטווח מתי השער יחליף פרוטוקול.

חבילות מפרידות את השירות מהעורך

תוסף NetworkManager מגיע בדרך כלל בשני חלקים: רכיב בצד השירות שמקים את המנהרה ואינטגרציה עם העורך שמאפשרת לשולחן העבודה להגדיר אותה. ההפצות מחלקות ומכנות את החבילות האלה אחרת, והתקנה של לקוח שורת הפקודה בלבד עלולה להשאיר את העורך בלי טופס. בדקו את שני החצאים מול רשימת החבילות של ההפצה שלכם, ושמרו על גרסת ההרצה תואמת לגרסת NetworkManager שאליה היא מתחברת.

לקוח עצמאי שעובד מוכיח שהפרוטוקול עובד. הוא אינו מוכיח שאינטגרציית שולחן העבודה מותקנת.

כתבו את החוזה

תשובת המנהל אמורה להפיק חמישה שורות: פרוטוקול, לקוח או תוסף מאושר, זרימת התחברות, חבילות נדרשות, והבעלים שמתחזק את השער. משנכתבו, לתקלה הבאה יש נקודת התחלה במקום רשימת תוספים לניסיון.

אם התשובה היא «מה שיתחבר», לסביבה יש בעיית תיעוד שתשרוד את הכרטיס הזה. שאלו שוב כשהרשומות המדויקות בתפריט לנגד עיניכם.