vpnc, OpenConnect чи обгортка AnyConnect: що обрати?

Установлення плагіна за плагіном, доки щось не підключиться, може згаяти цілий день, бо «Cisco VPN» описує щонайменше три різні схеми. Старий профіль із груповим секретом і XAuth — не та сама послуга, що шлюз, сумісний з AnyConnect, навіть коли та сама організація веде обидва. Плагін має відповідати протоколу й потоку автентифікації, а не логотипу постачальника. Пункт меню повідомляє лише, яка інтеграція присутня, і ніколи — яку прийме шлюз.

Запитайте в адміністратора шлюзу дві речі: який протокол і який клієнт для нього затверджено.

Три інтеграції, три різні цілі

NetworkManager перелічує їх як окремі інтеграції. NetworkManager-vpnc покриває старий IPsec, сумісний із Cisco. NetworkManager-openconnect надає інтерфейс на основі OpenConnect для підтримуваних протоколів, зокрема AnyConnect. Окремо зазначена обгортка AnyConnect залежить від того, що пропрієтарний клієнт спершу встановлено й налаштовано.

Це не варіанти написання одного виконуваного файлу. Установлення одного не робить працездатними інші, а пункт у меню — це факт інтерфейсу, а не гарантія сумісності.

Автентифікація вирішує більше, ніж транспорт

Відповідний транспорт — лише початок. Для входу може знадобитися сертифікат, передавання в браузер, другий фактор або перевірка стану кінцевої точки, яку інтерфейс третьої сторони не реалізує. OpenConnect документує кілька механізмів автентифікації, але список функцій не є обіцянкою, що кожен шлюз прийме кожен інтерфейс. Груповий секрет зі старого профілю не можна вставляти в стороннє поле автентифікації лише тому, що поле пароля виглядало схоже.

Отримайте профіль і передавання облікових даних для затвердженого клієнта. Перенесення за візуальним положенням — це шлях, яким облікові дані потрапляють не туди.

Супровід — частина вибору

Власна документація NetworkManager позначає плагін vpnc як непідтримуваний і пропонує NetworkManager-libreswan як можливу заміну для того самого сімейства протоколів IKEv1. Вона також попереджає, що профілі потрібно створювати заново і що рівність за кожним параметром не перевірено. Це напрям, а не інструмент перетворення.

Сам IKEv1 застарів. Для затвердженого старого з'єднання відокремте короткострокове питання, який клієнт запускати, від довгострокового питання, коли шлюз змінить протокол.

Пакети розділяють службу й редактор

Плагін NetworkManager зазвичай постачається двома частинами: компонент з боку служби, який піднімає тунель, і інтеграція з редактором, що дозволяє робочому столу його налаштувати. Дистрибутиви ділять і називають ці пакети по-різному, а встановлення лише клієнта командного рядка може залишити редактор без форми. Перевірте обидві половини за списком пакетів вашого дистрибутива й тримайте версію виконання сумісною з версією NetworkManager, у яку вона вбудовується.

Робочий окремий клієнт доводить, що протокол працює. Він не доводить, що інтеграцію з робочим столом встановлено.

Запишіть договір

Відповідь адміністратора має дати п'ять рядків: протокол, затверджений клієнт або плагін, потік входу, потрібні пакети й власник, який супроводжує шлюз. Коли це записано, наступний збій має відправну точку, а не список плагінів для спроби.

Якщо відповідь «те, що підключиться», у середовищі є проблема з документацією, яка переживе цей тікет. Запитайте знову, тримаючи перед собою конкретні пункти меню.