vpnc, OpenConnect of AnyConnect-wrapper: welke kiezen?

Plug-in na plug-in installeren tot er iets verbindt kan een hele middag kosten, omdat «Cisco VPN» minstens drie verschillende opstellingen beschrijft. Een oud profiel met groepsgeheim en XAuth is niet dezelfde dienst als een AnyConnect-compatibele gateway, ook wanneer dezelfde organisatie beide draait. De plug-in moet bij het protocol en de authenticatiestroom passen, niet bij het logo van de leverancier. Een menu-item vertelt alleen welke integratie aanwezig is, nooit welke de gateway accepteert.

Vraag de gateway-beheerder twee dingen: welk protocol, en welke client daarvoor is goedgekeurd.

Drie integraties, drie verschillende doelen

NetworkManager vermeldt ze als aparte integraties. NetworkManager-vpnc dekt de oude Cisco-compatibele IPsec. NetworkManager-openconnect biedt een op OpenConnect gebaseerde frontend voor ondersteunde protocollen, waaronder AnyConnect. Een apart vermelde AnyConnect-wrapper hangt ervan af dat de propriëtaire client eerst is geïnstalleerd en geconfigureerd.

Dit zijn geen spellingen van hetzelfde uitvoerbare bestand. Het ene installeren maakt de andere niet werkend, en een menu-item is een interfacefeit, geen compatibiliteitsgarantie.

Authenticatie beslist meer dan transport

Een passend transport is slechts het begin. De aanmelding kan een certificaat, een overdracht naar de browser, een tweede factor of een eindpuntcontrole vereisen die een frontend van derden niet implementeert. OpenConnect documenteert meerdere authenticatiemechanismen, maar een functielijst is geen belofte dat elke gateway elke frontend accepteert. Een groepsgeheim uit een oud profiel hoort nooit in een ongerelateerd authenticatieveld te worden geplakt alleen omdat het wachtwoordvak er hetzelfde uitzag.

Verkrijg een profiel en de overdracht van inloggegevens voor de goedgekeurde client. Vertalen op visuele positie is hoe inloggegevens op de verkeerde plek belanden.

Onderhoud hoort bij de keuze

De eigen documentatie van NetworkManager markeert de vpnc-plug-in als niet onderhouden en suggereert NetworkManager-libreswan als een mogelijke vervanging voor dezelfde IKEv1-protocolfamilie. Ze waarschuwt ook dat profielen opnieuw moeten worden aangemaakt en dat pariteit per optie niet is gecontroleerd. Dat is een richting, geen conversietool.

IKEv1 zelf is verouderd. Voor een goedgekeurde oude verbinding scheidt u de kortetermijnvraag welke client te draaien van de langetermijnvraag wanneer de gateway van protocol wisselt.

Pakketten scheiden de dienst van de editor

Een NetworkManager-plug-in wordt meestal in twee delen geleverd: een component aan de dienstkant die de tunnel opzet en een editorintegratie waarmee de desktop hem kan configureren. Distributies splitsen en benoemen deze pakketten verschillend, en alleen de commandoregelclient installeren kan de editor zonder formulier achterlaten. Controleer beide helften tegen de pakketlijst van uw distributie en houd de runtimeversie compatibel met de NetworkManager-versie waarin hij past.

Een werkende zelfstandige client bewijst dat het protocol werkt. Hij bewijst niet dat de desktopintegratie is geïnstalleerd.

Schrijf het contract op

Het antwoord van de beheerder zou vijf regels moeten opleveren: protocol, goedgekeurde client of plug-in, aanmeldingsstroom, vereiste pakketten en de eigenaar die de gateway onderhoudt. Als dat is opgeschreven, heeft de volgende storing een startpunt in plaats van een lijst plug-ins om te proberen.

Als het antwoord «wat dan ook verbindt» is, heeft de omgeving een documentatieprobleem dat dit ticket zal overleven. Vraag opnieuw met de specifieke menu-items voor u.