vpnc, OpenConnect или обёртка AnyConnect: что выбрать?

Установка плагина за плагином до момента, когда что-то подключится, может отнять полдня: «Cisco VPN» описывает как минимум три разные схемы. Старый профиль с групповым секретом и XAuth — не та же услуга, что шлюз, совместимый с AnyConnect, даже если одна и та же организация поддерживает оба. Плагин должен соответствовать протоколу и потоку аутентификации, а не логотипу поставщика. Пункт меню сообщает лишь, какая интеграция присутствует, и никогда — какую примет шлюз.

Спросите у администратора шлюза две вещи: какой протокол и какой клиент для него утверждён.

Три интеграции, три разные цели

NetworkManager перечисляет их как отдельные интеграции. NetworkManager-vpnc покрывает старый IPsec, совместимый с Cisco. NetworkManager-openconnect даёт интерфейс на основе OpenConnect для поддерживаемых протоколов, включая AnyConnect. Отдельно указанная обёртка AnyConnect зависит от того, что проприетарный клиент сначала установлен и настроен.

Это не варианты написания одного и того же исполняемого файла. Установка одного не делает работоспособными остальные, а пункт в меню — факт интерфейса, а не гарантия совместимости.

Аутентификация решает больше, чем транспорт

Подходящий транспорт — только начало. Для входа может потребоваться сертификат, передача в браузер, второй фактор или проверка состояния конечной точки, которую интерфейс третьей стороны не реализует. OpenConnect документирует несколько механизмов аутентификации, но список функций не обещает, что каждый шлюз примет каждый интерфейс. Групповой секрет из старого профиля нельзя вставлять в постороннее поле аутентификации только потому, что поле пароля выглядело похоже.

Получите профиль и передачу учётных данных для утверждённого клиента. Перенос по визуальному положению — это путь, которым учётные данные попадают не туда.

Сопровождение — часть выбора

Собственная документация NetworkManager помечает плагин vpnc как неподдерживаемый и предлагает NetworkManager-libreswan как возможную замену для того же семейства протоколов IKEv1. Она также предупреждает, что профили нужно создавать заново и что равенство по каждому параметру не проверялось. Это направление, а не инструмент преобразования.

Сам IKEv1 устарел. Для утверждённого старого подключения отделите краткосрочный вопрос о том, какой клиент запускать, от долгосрочного вопроса о том, когда шлюз сменит протокол.

Пакеты разделяют службу и редактор

Плагин NetworkManager обычно поставляется двумя частями: компонент со стороны службы, который поднимает туннель, и интеграция с редактором, позволяющая рабочему столу его настроить. Дистрибутивы делят и называют эти пакеты по-разному, а установка одного лишь клиента командной строки может оставить редактор без формы. Проверьте обе половины по списку пакетов вашего дистрибутива и держите версию исполнения совместимой с версией NetworkManager, в которую она встраивается.

Работающий отдельный клиент доказывает, что протокол работает. Он не доказывает, что интеграция с рабочим столом установлена.

Запишите договор

Ответ администратора должен дать пять строк: протокол, утверждённый клиент или плагин, поток входа, необходимые пакеты и владелец, который сопровождает шлюз. Когда это записано, у следующего сбоя есть отправная точка, а не список плагинов для проверки.

Если ответ «то, что подключится», в среде есть проблема с документацией, которая переживёт этот тикет. Спросите снова, держа перед собой конкретные пункты меню.