AnyConnect nadpisuje Twój profil? To kolizja nazw

Krąży historia, że AnyConnect zgubił Twoją drugą bramę albo że klient jest zbyt stary, aby utrzymać dwa profile. Nie stało się ani jedno. Stało się to, że klient zapisuje każdy widziany profil jako plik nazwany według tego, co wysłał serwer, a Twoje dwie bramy nazywają swój plik tak samo. Na dysku jest jedno miejsce na tę nazwę, więc drugie pobranie zajmuje miejsce pierwszego.

Dwa foldery, i tylko jeden jest Twój

Kopia, która się zmienia, to kopia robocza w Twoim profilu użytkownika, zwykle %LOCALAPPDATA%\Cisco\Cisco AnyConnect Secure Mobility Client\preferences.xml. Ten plik zapisuje ostatnie połączenie i to, którego profilu użyto. Ponieważ leży w Twoim folderze, klient zapisuje go przy każdym połączeniu, nie prosząc o podniesienie uprawnień.

Lista w rozwijanym menu to coś innego. Każdy profil, jaki maszyna kiedykolwiek otrzymała, jest kopiowany do %PROGRAMDATA%\Cisco\Cisco AnyConnect Secure Mobility Client\Profile, a klient pokazuje pliki, które tam leżą. Zapis do tego folderu wymaga uprawnień administratora, co wyjaśnia objaw, który ludzie czytają błędnie: ręczne dodanie profilu jako zwykły użytkownik wygląda, jakby działało, a potem wpis znika.

Zatem plik na użytkownika to wskaźnik, a folder całej maszyny to biblioteka. Brakujący wpis oznacza, że zmieniła się biblioteka, a nie wskaźnik.

Klient dopasowuje pliki po nazwie, nie po bramie

Tożsamością profilu w tym kliencie jest nazwa pliku. Dwa urządzenia, które oba wysyłają company.xml, są z punktu widzenia lokalnego magazynu profili tym samym profilem opublikowanym dwa razy. Drugie pobranie nadpisuje pierwsze, a wpis w oknie nadal wskazuje na jeden plik, który teraz opisuje drugą lokalizację.

Dlatego awaria wygląda tak dziwnie. Nazwa na liście nadal czyta się jak miejsce, którego oczekujesz, uwierzytelnianie nadal udaje się wobec bramy, która jest faktycznie skonfigurowana, i nic nie zgłasza błędu. Zmieniła się treść za etykietą, której ufałeś.

Czytaj HostAddress, nie etykietę

Otwórz plik w edytorze tekstu i spójrz na listę serwerów. Profil zawiera element HostName, czyli etykietę wyświetlaną, oraz element HostAddress, czyli bramę, z którą klient faktycznie się łączy. Etykieta to dowolny tekst, który każdy może edytować, a adres decyduje, gdzie trafisz.

Porównaj te dwa z bramą, do której chciałeś dotrzeć, zanim uznasz, że klient jest zepsuty.

Zachowanie obu bram, po kolei

Zdobądź zaakceptowany profil dla każdej lokalizacji, albo z lokalizacji, albo z maszyny, która już się łączy. Zmień nazwę każdego pliku tak, aby obie nazwy się różniły, na przykład site-a.xml i site-b.xml. Jako administrator umieść oba w folderze profili całej maszyny i zachowaj otrzymane oryginały. Następnie uruchom ponownie klienta i potwierdź, że oba wpisy pojawiają się w rozwijanym menu.

Po połączeniu z każdą z nich otwórz ponownie preferences.xml i sprawdź, jaką nazwę profilu zapisuje teraz jako ostatnio używaną. Jeśli nazwa zgadza się z wpisem, który kliknąłeś, lokalne mapowanie działa poprawnie. Jeśli nie, coś wciąż wpycha plik na Twoją kopię o zmienionej nazwie.

Czego zmiana nazwy nie naprawia

Nowa nazwa pliku zmienia lokalną etykietę i nic więcej. Adres bramy, metoda uwierzytelniania, certyfikat przedstawiany przez serwer i wszelkie wybory grup w profilu pozostają takie, jakie były. Zmieniona nazwa kopii niewłaściwego profilu to nadal niewłaściwy profil, i połączy Cię z niewłaściwą lokalizacją pod przekonującą nazwą.

Nie przetrwa też pushu zarządzania wymierzonego w pierwotną nazwę pliku.

Gdy kolejny push to cofnie

Jeśli Twoja organizacja rozprowadza profile według nazwy, aktualizacja zastępuje każdy plik o tej nazwie. Traktuj zmienione kopie jako lokalną wygodę i powtarzaj test połączenia po każdej aktualizacji klienta, sprawdzając adres, a nie etykietę.

Dla trwałego rozwiązania poproś o obsługiwaną konfigurację wielu bram zamiast utrzymywać pliki ręcznie. Zmiany w katalogu programu są pierwszą rzeczą, którą usuwa aktualizacja, a plik preferencji użytkownika jest przepisywany z założenia.

Prowadź jedną linię na bramę: nazwa pliku, HostAddress i folder, w którym leży. Ta notatka odpowiada na kolejne zgłoszenie złej lokalizacji szybciej niż reinstalacja.