как-то запакетировать *.sh инсталятор

Установить в чруте и там же запаковать.

В некоторых есть ключ -x, --extract-only.

$ ваш.sh --help может помочь.

Видел что-то подобное для игр из GOG, может поможет: ./play.it

Dpkg-repack

Если аккуратно посмотреть *.sh, то скорее всего вначале будет скрипт, который из остального «хвоста» будет извлекать/устанавливать и т.д.

Что делать с этим знанием решать Вам.

Память подсказывает checkinstall.

кстати - checkinstall то что нужно похоже. Спасибо

Я установил (можно в песочницу), нашёл и скопировал сертификат в network-manager-anyconnect, удалил.

А там какой-то эксклюзивный Anyconnect дают? Я просто установил openconnect пакет(в gentoo так называется) и открываю соединение самописным скриптом что-то вроде:

#!/usr/bin/expect -f   
sleep 5
set timeout -1   5   │ 
openconnect ip-to-connect
expect "GROUP:"
send -- "MYGROUP\r"
expect "Username:"
send -- "Username\r"
expect "Password:"
send -- "password\r"
expect eof   
exit 0

Вроде также есть networkmanager-openconnect, но его не пробовал.

openconnect не подойдёт? Его аналог, есть в репах.

openconnect не работет, иначе я бы не мучался с этим…