vpnc, OpenConnect eller AnyConnect-innpakning: hvilken?

Å installere plugin etter plugin til noe kobler seg til, kan sløse bort en hel ettermiddag, fordi «Cisco VPN» beskriver minst tre ulike oppsett. En gammel profil med gruppehemmelighet og XAuth er ikke samme tjeneste som en AnyConnect-kompatibel gateway, selv når samme organisasjon kjører begge. Pluginen må passe til protokollen og påloggingsflyten, ikke til leverandørens logo. Et menypunkt forteller bare hvilken integrasjon som finnes, aldri hvilken gatewayen godtar.

Spør gateway-administratoren om to ting: hvilken protokoll, og hvilken klient som er godkjent for den.

Tre integrasjoner, tre ulike mål

NetworkManager lister dem som separate integrasjoner. NetworkManager-vpnc dekker den gamle Cisco-kompatible IPsec. NetworkManager-openconnect tilbyr en OpenConnect-basert frontend for støttede protokoller, inkludert AnyConnect. En separat oppført AnyConnect-innpakning avhenger av at den proprietære klienten er installert og konfigurert først.

Dette er ikke stavemåter for samme kjørbare fil. Å installere én gjør ikke de andre funksjonsdyktige, og et menypunkt er et grensesnittfaktum, ikke en kompatibilitetsgaranti.

Autentisering avgjør mer enn transport

En samsvarende transport er bare begynnelsen. Påloggingen kan kreve et sertifikat, en overlevering til nettleseren, en andre faktor eller en endepunktkontroll som en tredjeparts frontend ikke implementerer. OpenConnect dokumenterer flere autentiseringsmekanismer, men en funksjonsliste er ikke et løfte om at hver gateway godtar hver frontend. En gruppehemmelighet fra en gammel profil bør aldri limes inn i et uvedkommende autentiseringsfelt bare fordi passordfeltet så likt ut.

Skaff en profil og overleveringen av påloggingsinformasjon for den godkjente klienten. Å oversette etter visuell plassering er måten påloggingsinformasjon havner på feil sted.

Vedlikehold er en del av valget

NetworkManagers egen dokumentasjon merker vpnc-pluginen som ikke vedlikeholdt og foreslår NetworkManager-libreswan som en mulig erstatning for samme IKEv1-protokollfamilie. Den advarer også om at profiler må opprettes på nytt og at paritet per innstilling ikke er kontrollert. Det er en retning, ikke et konverteringsverktøy.

IKEv1 selv er utdatert. For en godkjent gammel tilkobling må du skille det kortsiktige spørsmålet om hvilken klient som skal kjøres, fra det langsiktige spørsmålet om når gatewayen bytter protokoll.

Pakker skiller tjenesten fra editoren

En NetworkManager-plugin leveres vanligvis i to deler: en tjenestesidekomponent som etablerer tunnelen, og en editorintegrasjon som lar skrivebordet konfigurere den. Distribusjoner deler og navngir disse pakkene ulikt, og å installere bare kommandolinjeklienten kan etterlate editoren uten et skjema. Kontroller begge halvdeler mot pakkelisten til distribusjonen din, og hold kjøretidsversjonen kompatibel med NetworkManager-versjonen den kobles inn i.

En fungerende frittstående klient beviser at protokollen virker. Den beviser ikke at skrivebordsintegrasjonen er installert.

Skriv ned kontrakten

Svaret fra administratoren bør gi fem linjer: protokoll, godkjent klient eller plugin, påloggingsflyt, nødvendige pakker og eieren som vedlikeholder gatewayen. Når det er skrevet ned, har neste feil et utgangspunkt i stedet for en liste med plugins å prøve.

Hvis svaret er «den som kobler til», har miljøet et dokumentasjonsproblem som vil overleve denne saken. Spør igjen med de konkrete menypunktene foran deg.