vpnc, OpenConnect o wrapper AnyConnect: quale scegliere?

Installare un plugin dopo l’altro finché qualcosa si connette può far perdere un intero pomeriggio, perché «Cisco VPN» descrive almeno tre disposizioni diverse. Un profilo vecchio con segreto di gruppo e XAuth non è lo stesso servizio di un gateway compatibile AnyConnect, anche quando la stessa organizzazione gestisce entrambi. Il plugin deve corrispondere al protocollo e al flusso di autenticazione, non al logo del fornitore. Una voce di menu dice solo quale integrazione è presente, mai quale il gateway accetterà.

Chiedete all’amministratore del gateway due cose: quale protocollo e quale client è approvato per esso.

Tre integrazioni, tre obiettivi diversi

NetworkManager le elenca come integrazioni separate. NetworkManager-vpnc copre il vecchio IPsec compatibile Cisco. NetworkManager-openconnect fornisce un frontend basato su OpenConnect per i protocolli supportati, incluso AnyConnect. Il wrapper AnyConnect elencato separatamente dipende dall’installazione e configurazione preventiva del client proprietario.

Non sono grafie dello stesso eseguibile. Installarne uno non fa funzionare gli altri, e una voce che appare in un menu è un fatto dell’interfaccia, non una garanzia di compatibilità.

L’autenticazione decide più del trasporto

Un trasporto corrispondente è solo l’inizio. L’accesso può richiedere un certificato, un passaggio al browser, un secondo fattore o un controllo di postura dell’endpoint che un frontend di terze parti non implementa. OpenConnect documenta diversi meccanismi di autenticazione, ma un elenco di funzioni non è la promessa che ogni gateway accetti ogni frontend. Un segreto di gruppo proveniente da un profilo vecchio non va mai incollato in un campo di autenticazione non correlato solo perché la casella della password sembrava simile.

Ottenete un profilo e il passaggio delle credenziali per il client approvato. Tradurre in base alla posizione visiva è il modo in cui le credenziali finiscono nel posto sbagliato.

La manutenzione fa parte della scelta

La documentazione di NetworkManager stesso segnala il plugin vpnc come non mantenuto e suggerisce NetworkManager-libreswan come possibile sostituto per la stessa famiglia di protocolli IKEv1. Avverte anche che i profili devono essere ricreati e che la parità per singola opzione non è stata verificata. È una direzione, non uno strumento di conversione.

IKEv1 stesso è obsoleto. Per una connessione vecchia approvata, separate la domanda a breve termine su quale client eseguire dalla domanda a lungo termine su quando il gateway cambierà protocollo.

I pacchetti separano il servizio dall’editor

Un plugin di NetworkManager arriva di solito in due pezzi: un componente lato servizio che stabilisce il tunnel e un’integrazione con l’editor che consente al desktop di configurarlo. Le distribuzioni dividono e nominano questi pacchetti in modo diverso, e installare solo il client a riga di comando può lasciare l’editor senza modulo. Verificate entrambe le metà nell’elenco dei pacchetti della vostra distribuzione e mantenete la versione di esecuzione compatibile con la versione di NetworkManager in cui si inserisce.

Un client autonomo funzionante dimostra che il protocollo funziona. Non dimostra che l’integrazione desktop sia installata.

Scrivete il contratto

La risposta dell’amministratore dovrebbe produrre cinque righe: protocollo, client o plugin approvato, flusso di accesso, pacchetti richiesti e il proprietario che mantiene il gateway. Una volta scritto questo, il prossimo guasto ha un punto di partenza invece di un elenco di plugin da provare.

Se la risposta è «quello che si connette», l’ambiente ha un problema di documentazione che sopravvivrà a questo ticket. Chiedete di nuovo con le voci di menu precise davanti a voi.