vpnc、OpenConnect 还是 AnyConnect 包装器：该选哪个？

一个插件接一个插件地装，直到某个能连上，可能白费一整个下午，因为「Cisco VPN」至少描述三种不同安排。带组密钥和 XAuth 的旧式配置文件，与兼容 AnyConnect 的网关并不是同一类服务，即使同一组织同时运行两者。插件必须匹配协议和认证流程，而不是厂商标志。菜单条目只说明装了哪个集成，从不说明网关会接受哪一个。

向网关管理员问两件事：用哪种协议，以及为该协议批准了哪个客户端。

三种集成，三个不同目标

NetworkManager 把它们列为彼此独立的集成。NetworkManager-vpnc 覆盖旧的 Cisco 兼容 IPsec。NetworkManager-openconnect 为受支持的协议（包括 AnyConnect）提供基于 OpenConnect 的前端。单独列出的 AnyConnect 包装器则要求先安装并配置好专有客户端。

它们不是同一个可执行文件的拼写变体。装上一个并不会让其余可用，而菜单里出现条目是界面事实，不是兼容保证。

认证比传输更能决定成败

传输匹配只是开始。登录可能需要证书、浏览器跳转、第二因素，或第三方前端并不实现的终端状态检查。OpenConnect 记录了几种认证机制，但功能清单并不承诺每个网关都接受每个前端。旧配置文件里的组密钥，绝不应仅仅因为密码框看起来相似就粘到不相干的认证字段里。

为已批准的客户端取得配置文件和凭据交接方式。按视觉位置照搬，正是凭据落到错误位置的成因。

维护也是选择的一部分

NetworkManager 自己的文档把 vpnc 插件标为不再维护，并建议用 NetworkManager-libreswan 作为同一 IKEv1 协议族的可能替代。文档还警告必须重建配置文件，且尚未核对逐选项对等。那是一个方向，不是转换工具。

IKEv1 本身已弃用。对于已批准的旧连接，把「跑哪个客户端」这个短期问题，与「网关何时换协议」这个长期问题分开。

软件包把服务与编辑器拆开

NetworkManager 插件通常分两部分：建立隧道的服务端组件，以及让桌面能够配置它的编辑器集成。各发行版对这些包的拆分和命名并不相同，只装命令行客户端可能让编辑器没有表单。对照你的发行版软件包列表检查这两半，并让运行时版本与它所接入的 NetworkManager 版本保持兼容。

能用的独立客户端证明协议可用。但它不证明桌面集成已经安装。

把约定写下来

管理员的回答应产出五行：协议、已批准的客户端或插件、登录流程、所需软件包，以及维护该网关的负责人。把这些写下来，下一次故障就有起点，而不是一串待试的插件。

如果回答是「哪个能连上就用哪个」，这套环境存在一个会活过本工单的文档问题。请拿着具体菜单条目再问一次。