vpnc, OpenConnect eller AnyConnect-omslag: vilken ska man välja?

Att installera plugin efter plugin tills något ansluter kan slösa bort en hel eftermiddag, eftersom «Cisco VPN» beskriver minst tre olika uppsättningar. En gammal profil med grupphemlighet och XAuth är inte samma tjänst som en AnyConnect-kompatibel gateway, även när samma organisation kör båda. Pluginet måste passa protokollet och autentiseringsflödet, inte leverantörens logotyp. En menypost talar bara om vilken integration som finns, aldrig vilken gatewayen accepterar.

Fråga gateway-administratören om två saker: vilket protokoll, och vilken klient som är godkänd för det.

Tre integrationer, tre olika mål

NetworkManager listar dem som separata integrationer. NetworkManager-vpnc täcker den gamla Cisco-kompatibla IPsec. NetworkManager-openconnect tillhandahåller ett OpenConnect-baserat gränssnitt för protokoll som stöds, inklusive AnyConnect. Ett separat listat AnyConnect-omslag förutsätter att den proprietära klienten först är installerad och konfigurerad.

Det här är inte stavningsvarianter av samma körbara fil. Att installera den ena gör inte de andra funktionsdugliga, och en menypost är ett gränssnittsfaktum, inte en kompatibilitetsgaranti.

Autentisering avgör mer än transport

En matchande transport är bara början. Inloggningen kan kräva ett certifikat, en överlämning till webbläsaren, en andra faktor eller en slutpunktskontroll som ett tredjepartsgränssnitt inte implementerar. OpenConnect dokumenterar flera autentiseringsmekanismer, men en funktionslista är inte ett löfte om att varje gateway accepterar varje gränssnitt. En grupphemlighet från en gammal profil bör aldrig klistras in i ett orelaterat autentiseringsfält bara för att lösenordsfältet såg likadant ut.

Skaffa en profil och överlämningen av inloggningsuppgifter för den godkända klienten. Att översätta efter visuell position är hur inloggningsuppgifter hamnar på fel ställe.

Underhåll är en del av valet

NetworkManagers egen dokumentation markerar vpnc-pluginet som ej underhållet och föreslår NetworkManager-libreswan som en möjlig ersättning för samma IKEv1-protokollfamilj. Den varnar också för att profiler måste skapas om och att paritet per inställning inte har kontrollerats. Det är en riktning, inte ett konverteringsverktyg.

IKEv1 självt är föråldrat. För en godkänd gammal anslutning skiljer du den kortsiktiga frågan om vilken klient som ska köras från den långsiktiga frågan om när gatewayen byter protokoll.

Paket skiljer tjänsten från redigeraren

Ett NetworkManager-plugin levereras vanligtvis i två delar: en tjänstesidokomponent som etablerar tunneln och en redigerarintegration som låter skrivbordet konfigurera den. Distributioner delar och namnger dessa paket olika, och att bara installera kommandoradsKlienten kan lämna redigeraren utan formulär. Kontrollera båda halvorna mot din distributions paketlista och håll körtidsversionen kompatibel med den NetworkManager-version den kopplas in i.

En fungerande fristående klient bevisar att protokollet fungerar. Den bevisar inte att skrivbordsintegrationen är installerad.

Skriv ned kontraktet

Administratörens svar bör ge fem rader: protokoll, godkänd klient eller plugin, inloggningsflöde, nödvändiga paket och ägaren som underhåller gatewayen. När det är nedskrivet har nästa fel en utgångspunkt i stället för en lista med plugins att prova.

Om svaret är «den som ansluter» har miljön ett dokumentationsproblem som kommer att överleva detta ärende. Fråga igen med de konkreta menyposterna framför dig.