vpncli -s teenoor die GUI: aanmeld by Cisco Secure Client

Cisco Secure Client gee jou twee maniere om dieselfde aanmeldvrae te beantwoord: ’n persoon wat in vpnui.exe tik, of ’n skrip wat antwoorde deur standaardinvoer met -s aan vpncli.exe voer. Die tweede een maak geskeduleerde verbindings moontlik sonder om die GUI se skerm te skraap, en dit verander ook ’n aanmelding in ’n lêer wat soos ’n geloofsbrief beskerm moet word. Watter een jy wil hê, hang daarvan af of daar ’n mens by die masjien is, en hoe dikwels die wagwoord roteer. Nie een van die twee opsies verander wat die poort vra nie, net wie antwoord.

Albei paaie eindig in dieselfde tonnel, so die vergelyking gaan oor bedryfsake, nie protokol nie.

Twee maniere om dieselfde vrae te beantwoord

Die GUI-pad is interaktief van ontwerp: die kliënt vra, iemand antwoord, en die sessie leef solank daardie persoon dit alleen laat. Dit is die regte keuse op ’n skootrekenaar wat ’n mens gebruik, want die vrae pas by die poort se verifikasiemetode en niemand hoef ’n gewone-teks wagwoord op skyf te hou nie.

Die skrip-pad is reg vir ’n kiosk, ’n laboratoriummasjien of ’n geskeduleerde taak waar niemand teenwoordig is om te tik nie. Die ruil is duidelik: jy aanvaar ’n geloofsbrieflêer op skyf in ruil vir onbewaakte verbinding. As die poort sertifikaat- of SAML-verifikasie bied, is daardie ruil gewoonlik nie die moeite werd nie, want die lêer bestaan net om vrae te beantwoord wat ’n sterker metode sou vermy.

Moenie die twee op een masjien terselfdertyd meng nie. Die opdragreël en die grafiese kliënt ding mee om dieselfde sessietoestand, wat die volgende afdeling se probleem is.

Wat die antwoordlêer moet bevat

Die kliënt vra in volgorde — poort, soms ’n groepkeuse, gebruikersnaam, wagwoord, en enige banierbevestiging. ’n Lêer wat almal beantwoord, lyk so, met werklike waardes ingevul:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Die betroubare manier om daardie lêer te bou is om een keer met die hand te verbind, elke reël neer te skryf wat jy tik en elke Enter wat jy druk, en dan presies daardie volgorde te herproduseer. Ontplooiings wat die groep en gebruikersnaam in die profiel stoor, het dalk leë reëls nodig waar daardie vrae nie meer verskyn nie, en die laaste reël het steeds sy eie nuwe reël nodig. ’n Lêer wat een reël te kort is, hang gewoonlik by die laaste vraag in plaas daarvan om met ’n duidelike fout te misluk, en dit is hoekom dit op die netwerk geblameer word. Vergelyk die lêer twee keer met jou transkripsie, een keer vir volgorde en een keer vir die leë reëls.

Hou die lêer buite enige gesinkroniseerde gids en leesbaar net deur die rekening wat die taak uitvoer. Daardie wagwoord is gewone teks, so die lêer is ’n geloofsbrief: geen bewaarplek, geen gedeelde skyf, geen aanhegsel in ’n kaartjie nie. Die kliënt sal jou oor niks hiervan waarsku nie.

Waarom die GUI eerste moet gaan

Begin die skrip deur die GUI-proses te beëindig, en voer dan die CLI uit sy eie installasiegids uit, want beide die werkgids en die kliëntbou maak saak. ’n Illustratiewe omhulsel:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Uittreekoedes is hier nie ’n betroubare suksessein nie. Die kliënt druk sy vordering en hou die tonnel in ’n aparte proses, so lees die uitset vir die verbindingstoestand en begin eers daarna die werk wat van die VPN afhang.

As jy die GUI-doodmaak oorslaan, kan die skrip lyk of dit loop terwyl die bestaande sessie bly in watter toestand die gebruiker dit ook al gelaat het. Daardie fout lyk ongereeld, wat presies die soort fout is wat ’n week van raai oorleef.

Bevestig ’n sessie, moenie een aanneem nie

Nadat die skrip terugkeer, kyk na iets wat net binne die tonnel bestaan — ’n interne gasheer, of ’n DNS-agtervoegsel wat net die korporatiewe oplosser antwoord. Lees ook die kliënt se uitset vir sy verbindingstoestand-reël, en behandel enigiets anders as ’n mislukking eerder as ’n stadige sukses. Om die lêer weer te laat loop terwyl ’n sessie al op is, kan die kliënt halfgekonfigureerd laat, so ontkoppel eers of slaan die aanmelding oor wanneer die sessie daar is.

Bepaal dan wie herverbinding besit. ’n Lus wat ’n interne adres ping en die aanmelding weer laat loop, kan ’n kiosk maande lank aanlyn hou, en dit kan ook ’n rekening sluit die eerste keer wat die wagwoord roteer. Beperk die aantal pogings, waarsku wanneer dit oortree, en laat die identiteitspan die lêer roteer eerder as om ’n verouderde wagwoord te laat herprobeer tot in ’n sluiting.

Ouer vpnclient.exe is nie dieselfde gereedskap nie

Dieselfde outomatisering verskyn onder ’n ouer naam, en die twee is nie uitruilbaar nie. Die afgetrede Cisco IPsec-kliënt het vpnclient.exe gebruik met inlyn-argumente soos ’n connect-werkwoord, ’n profielnaam, ’n gebruiker en ’n wagwoord op een opdragreël; vpncli.exe verwag ’n vraagreeks op standaardinvoer met -s. Om ’n ou forumskrip op ’n huidige masjien te kopieer, lewer dus ’n opdrag wat loop, niks sigbaars doen nie, en op die poort geblameer word.

Voordat jy enige argumente wysig, kontroleer watter kliënt geïnstalleer is en watter een die skrip werklik aanroep. Die naamverskil is klein genoeg om in ’n geskeduleerde taak te mis, en dit is die eerste ding om te verifieer wanneer ’n oorgeërfde skrip ná ’n opgradering ophou werk het.