vpnc、OpenConnect、AnyConnect ラッパーのどれを選ぶか

何かがつながるまでプラグインを次々にインストールすると、丸一日を無駄にしかねません。「Cisco VPN」という言葉は少なくとも三つの構成を指すからです。グループシークレットと XAuth を使う旧式のプロファイルは、AnyConnect 互換ゲートウェイが提供するサービスと同じものではなく、同じ組織が両方を運用していても同じです。プラグインはベンダーのロゴではなくプロトコルと認証フローに合わせる必要があり、メニューの項目はどの統合が存在するかを示すだけで、ゲートウェイがどれを受け入れるかは決して示しません。

ゲートウェイの管理者に、どのプロトコルか、そしてそのためにどのクライアントが承認されているかを尋ねてください。

三つの統合、三つの異なる対象

NetworkManager はこれらを別々の統合として一覧にします。NetworkManager-vpnc は旧式の Cisco 互換 IPsec を扱います。NetworkManager-openconnect は AnyConnect を含む対応プロトコル向けに OpenConnect ベースのフロントエンドを提供します。別に一覧される AnyConnect ラッパーは、独自クライアントが先にインストールされ設定されていることが前提です。

これらは同じ実行ファイルの異なる綴りではありません。一つをインストールしても他が動くようにはならず、メニューに項目が現れることはインターフェース上の事実であり、互換性の保証ではありません。

認証はトランスポートより多くを決める

トランスポートが一致するのは始まりにすぎません。ログインには証明書、ブラウザへの受け渡し、第二要素、あるいはサードパーティ製フロントエンドが実装していない端点の状態検査が必要かもしれません。OpenConnect は複数の認証方式を文書化していますが、機能一覧はすべてのゲートウェイがすべてのフロントエンドを受け入れるという約束ではありません。旧式プロファイルのグループシークレットは、パスワード欄が似ていたというだけの理由で無関係な認証フィールドに貼り付けては決してなりません。

承認されたクライアントのプロファイルと資格情報の受け渡しを入手してください。見た目の位置で訳すことが、資格情報を誤った場所に入れてしまう原因です。

保守も選択の一部

NetworkManager 自身の文書は vpnc プラグインを保守されていないものとして示し、同じ IKEv1 プロトコル群の代替候補として NetworkManager-libreswan を挙げています。また、プロファイルを作り直す必要があり、オプションごとの同等性は確認されていないと警告しています。それは方向性であり、変換ツールではありません。

IKEv1 自体が非推奨です。承認された旧式の接続では、どのクライアントを動かすかという短期的な問いと、ゲートウェイがいつプロトコルを移行するかという長期的な問いを切り分けてください。

パッケージはサービスとエディターを分ける

NetworkManager のプラグインは通常、トンネルを確立するサービス側のコンポーネントと、デスクトップから設定できるようにするエディター統合という二つの部分で提供されます。ディストリビューションによって分割方法も名前も異なり、コマンドラインクライアントだけをインストールするとエディターにフォームが残らないことがあります。両方を自分のディストリビューションのパッケージ一覧で確認し、ランタイムのバージョンを組み込む先の NetworkManager のバージョンと互換に保ってください。

単体で動くクライアントはプロトコルが動くことを示します。デスクトップ統合がインストールされていることは示しません。

契約を書き留める

管理者の回答は五行になるはずです。プロトコル、承認されたクライアントまたはプラグイン、ログインの流れ、必要なパッケージ、そしてゲートウェイを保守する担当者であり、これが書かれていれば次の障害には試すプラグインの一覧ではなく出発点があります。

答えが「つながるもの」なら、その環境にはこのチケットより長く続く文書化の問題があります。目の前の具体的なメニュー項目を示して、もう一度尋ねてください。