vpnc, OpenConnect czy nakładka AnyConnect: co wybrać?

Instalowanie wtyczki po wtyczce, aż coś się połączy, może zmarnować całe popołudnie, ponieważ „Cisco VPN” opisuje co najmniej trzy różne układy. Stary profil z tajnym kluczem grupy i XAuth to nie ta sama usługa co brama zgodna z AnyConnect, nawet gdy ta sama organizacja obsługuje oba. Wtyczka musi pasować do protokołu i przepływu uwierzytelniania, a nie do logo dostawcy. Wpis w menu mówi tylko, która integracja jest obecna, nigdy która brama zaakceptuje.

Zapytaj administratora bramy o dwie rzeczy: jaki protokół i jaki klient jest dla niego zatwierdzony.

Trzy integracje, trzy różne cele

NetworkManager wymienia je jako osobne integracje. NetworkManager-vpnc obsługuje stary IPsec zgodny z Cisco. NetworkManager-openconnect zapewnia interfejs oparty na OpenConnect dla obsługiwanych protokołów, w tym AnyConnect. Osobno wymieniona nakładka AnyConnect zależy od tego, czy zastrzeżony klient jest najpierw zainstalowany i skonfigurowany.

To nie są różne zapisy tego samego pliku wykonywalnego. Zainstalowanie jednego nie uruchamia pozostałych, a wpis widoczny w menu jest faktem interfejsu, nie gwarancją zgodności.

Uwierzytelnianie decyduje o więcej niż transport

Pasujący transport to dopiero początek. Logowanie może wymagać certyfikatu, przekazania do przeglądarki, drugiego czynnika lub kontroli stanu punktu końcowego, której interfejs strony trzeciej nie implementuje. OpenConnect dokumentuje kilka mechanizmów uwierzytelniania, ale lista funkcji nie jest obietnicą, że każda brama zaakceptuje każdy interfejs. Tajnego klucza grupy ze starego profilu nigdy nie należy wklejać w niepowiązane pole uwierzytelniania tylko dlatego, że pole hasła wyglądało podobnie.

Uzyskaj profil i przekazanie danych logowania dla zatwierdzonego klienta. Tłumaczenie według pozycji wizualnej to droga, na której dane logowania trafiają w niewłaściwe miejsce.

Utrzymanie jest częścią wyboru

Dokumentacja samego NetworkManagera oznacza wtyczkę vpnc jako nieutrzymywaną i sugeruje NetworkManager-libreswan jako możliwy zamiennik dla tej samej rodziny protokołów IKEv1. Ostrzega też, że profile trzeba utworzyć od nowa, a zgodność poszczególnych opcji nie została sprawdzona. To kierunek, nie narzędzie konwersji.

Sam IKEv1 jest przestarzały. W przypadku zatwierdzonego starego połączenia oddziel krótkoterminowe pytanie, którego klienta uruchomić, od długoterminowego pytania, kiedy brama zmieni protokół.

Pakiety dzielą usługę od edytora

Wtyczka NetworkManagera jest zwykle dostarczana w dwóch częściach: komponent po stronie usługi, który tworzy tunel, oraz integracja z edytorem, która pozwala pulpitowi ją skonfigurować. Dystrybucje dzielą i nazywają te pakiety różnie, a zainstalowanie tylko klienta wiersza poleceń może pozostawić edytor bez formularza. Sprawdź obie połowy na liście pakietów swojej dystrybucji i utrzymuj wersję wykonawczą zgodną z wersją NetworkManagera, w którą się włącza.

Działający samodzielny klient dowodzi, że protokół działa. Nie dowodzi, że integracja z pulpitem jest zainstalowana.

Zapisz umowę

Odpowiedź administratora powinna dać pięć wierszy: protokół, zatwierdzony klient lub wtyczka, przepływ logowania, wymagane pakiety i właściciel, który utrzymuje bramę. Gdy to jest zapisane, następna awaria ma punkt wyjścia zamiast listy wtyczek do wypróbowania.

Jeśli odpowiedź brzmi „cokolwiek się połączy”, środowisko ma problem z dokumentacją, który przetrwa to zgłoszenie. Zapytaj ponownie, mając przed sobą konkretne wpisy menu.