Автоматизиране на влизането във VPN, когато клиентът няма API или CLI

Изберете пътя за скрипта според това какво предоставя клиентът: профил, собственост на ОС, CLI на доставчик, който чете тайна от stdin, или GUI автоматизация като последна мярка.

Това решават три въпроса и само три. Създава ли клиентът запис за връзка в операционната система, който оцелява след рестарт? Предлага ли команден ред, който може да вземе тайна от нещо различно от списъка си с аргументи? Принуждава ли изискването за самоличност човек да отговори на подкана в браузъра? Отговорете в този ред и изборът престава да бъде въпрос на вкус, защото планирана задача може да бъде без надзор само доколкото най-слабият от трите отговора позволява.

Съпоставете клиента с трите програмируеми слоя

Собствен профил на ОС, CLI на доставчик, клиент само с GUI и клиент с браузърен SSO изискват четири различни подхода. Първите два оцеляват при рестарти без надзор, а рестартите без надзор са целият смисъл. Останалите два изискват проектно решение преди да изискват скрипт.

What the client exposesWhat to scriptWhat still bites
OS-native connection entryrasdial, scutil --nc, nmcliTunnel is up before DNS and routes settle
Vendor CLI reading stdinCLI wrapped by the scheduler, secret from the credential storePrompt text changes between releases
GUI onlyPinned version plus a state assertionLocale and DPI break the click targets

Път първи: операционната система вече притежава профила

Това е най-евтиният път и този, който повечето хора пропускат. В Windows rasdial "Office" се свързва, а rasdial "Office" /disconnect затваря връзката; rasphone -d "Office" управлява същия запис през интерфейса за комутируема връзка. macOS изброява запазените услуги с scutil --nc list и стартира една с scutil --nc start. Linux предава задачата на NetworkManager.

rasdial "Office" user *
scutil --nc start "Office"
nmcli connection up id Office
nmcli -t -f GENERAL.STATE connection show Office

Тези интерфейси познават само профили, собственост на ОС, затова не могат да управляват произволен клиент на трета страна. Когато профилът липсва, създайте го веднъж и нека скриптът да го проверява, вместо да го пресъздава при всяко изпълнение. Направете скрипта идемпотентен: прочетете текущото състояние, свързвайте се само когато няма връзка, и след това проверете частното име, което задачата наистина трябва.

Път втори: доставчикът предоставя команден ред

Някои клиенти разкриват достатъчно команден ред, за да бъдат обвити: Cisco AnyConnect години наред имаше помощник само за свързване, а OpenConnect говори протоколите AnyConnect, GlobalProtect и Pulse от един двоичен файл. Важното изискване не е списъкът с флагове, а откъде идва тайната, защото парола в списъка с аргументи може да прочете всеки, който може да изброи процесите.

printf '%s\n' "$VPN_PASS" | openconnect --protocol=anyconnect \
  --user "$VPN_USER" --passwd-on-stdin vpn.example.com

FortiClient и някои сборки на GlobalProtect изобщо нямат поддържан CLI, а общностен клиент или лицензиран от доставчика заместител е решение за доставка, не заобиколно решение. В CI дайте на служебния акаунт права върху точно този двоичен файл, а не върху обвивка, така че инжектиран аргумент да не може да стане root команда.

Път трети: GUI автоматизация и защо е последна

Когато официалният клиент няма интерфейс, скриптовете натискат бутони чрез съобщения към прозорци или SendKeys. Това е крехко спрямо версия и език, може да остави полуотворена сесия и се проваля тихо, когато диалог се появи на грешен език. Ако изберете този път, фиксирайте версията на клиента, проверете получения статус на връзката след това и дръжте документиран ръчен резервен вариант до скрипта.

Същото внимание важи и за принудително прекъсване на клиент чрез убиване на процеса му. Тунелът може да надживее процеса или надзорник може да го рестартира, така че убий и рестартирай също не е надеждно нулиране.

Какво се чупи след установяване на тунела

Успешното свързване доказва удостоверяване и нищо друго. Тествайте ресурса, за който съществува задачата, с неговия протокол и кратък таймаут, и назовете етапа в съобщението за грешка. Профили, сертификати и запазени идентификационни данни, видими на вашия плот, може да са невидими за сесията на услугата, затова изпълнете задачата веднъж под собствения акаунт на планировчика, преди да ѝ се доверите.

Ограничете повторните опити. Цикъл, който повтаря отказани идентификационни данни, заключва акаунти, а на подкана за MFA задача без надзор не може да отговори без проект за регистрация; скриптовите повторения срещу браузърен SSO просто изгарят опити. Предпочитайте VPN полезен товар, доставен чрез MDM, или конфигурационен профил за парк, където платформата притежава жизнения цикъл на идентификационните данни, и пазете скриптове за клиентите, които не могат да се управляват така.

Записвайте кода за изход и първия неуспешен ресурс, а не факта, че скриптът е стартирал. Точно този ред превръща предупреждението на планировчика в петминутна диагностика.

Подобни статии