vpncli -s nasuprot grafičkom sučelju: prijava u Cisco Secure Client

Cisco Secure Client daje vam dva načina da odgovorite na iste upite prijave: osoba koja tipka u vpnui.exe ili skripta koja odgovore šalje u vpncli.exe preko standardnog ulaza uz -s. Drugi način omogućuje zakazane veze bez čitanja zaslona grafičkog sučelja, a i pretvara prijavu u datoteku koja se mora štititi kao vjerodajnica. Koji vam treba ovisi o tome ima li uz računalo čovjeka i koliko se često lozinka mijenja. Nijedna opcija ne mijenja što pristupnik traži, samo ko odgovara.

Oba puta završavaju u istom tunelu, pa se usporedba odnosi na rad, a ne na protokol.

Dva načina da odgovorite na iste upite

Put preko grafičkog sučelja interaktivan je po dizajnu: klijent pita, netko odgovara, a sesija živi dok je ta osoba ne dira. To je pravi izbor na prijenosnom računalu koje koristi čovjek, jer se upiti prilagođavaju načinu provjere pristupnika i nitko ne mora držati lozinku u čistom tekstu na disku.

Put preko skripte pravi je za kiosk, laboratorijsko računalo ili zakazani zadatak gdje nema nikoga da tipka. Trampa je jasna: prihvaćate datoteku vjerodajnica na disku u zamjenu za vezu bez nadzora. Ako pristupnik nudi provjeru certifikatom ili SAML, ta se trampa obično ne isplati, jer datoteka postoji samo da odgovori na upite koje bi jača metoda izbjegla.

Ne miješajte oboje na istom računalu istodobno. Naredbeni redak i grafički klijent natječu se za isto stanje sesije, a to je problem sljedećeg odjeljka.

Što datoteka odgovora mora sadržavati

Klijent pita redom — pristupnik, ponekad odabir grupe, korisničko ime, lozinku i svako potvrđivanje obavijesti. Datoteka koja odgovara na sve to izgleda ovako, s umetnutim stvarnim vrijednostima:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Pouzdan način da izgradite tu datoteku jest da se jednom spojite ručno, zapišete svaki redak koji upišete i svaki pritisak na Enter, a zatim točno ponovite taj slijed. Instalacije koje grupu i korisničko ime čuvaju u profilu mogu trebati prazne retke tamo gdje se ti upiti više ne pojavljuju, a zadnji redak i dalje treba vlastiti prijelaz u novi redak. Datoteka kojoj nedostaje jedan redak obično se zaglavi na zadnjem upitu umjesto da padne s jasnom greškom, i zato se za to krivi mreža. Usporedite datoteku sa svojim zapisom dvaput, jednom za redoslijed i jednom za prazne retke.

Držite datoteku izvan svake sinkronizirane mape i čitljivu samo računu koji pokreće zadatak. Ta je lozinka čisti tekst, pa je datoteka vjerodajnica: nema repozitorija, nema dijeljenog diska, nema privitka u zahtjevu. Klijent vas na ništa od toga neće upozoriti.

Zašto grafičko sučelje mora prvo nestati

Započnite skriptu tako da okončate proces grafičkog sučelja, zatim pokrenite CLI iz njegove vlastite instalacijske mape, jer su važni i radna mapa i verzija klijenta. Ilustrativni omotač:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Izlazni kodovi ovdje nisu pouzdan znak uspjeha. Klijent ispisuje napredak i drži tunel u zasebnom procesu, pa u izlazu pročitajte redak stanja veze i tek onda započnite posao koji ovisi o VPN-u.

Ako preskočite gašenje grafičkog sučelja, skripta može izgledati kao da radi dok postojeća sesija ostaje u stanju u kojem ju je korisnik ostavio. Ta greška izgleda povremeno, a to je upravo vrsta kvara koja preživi tjedan nagađanja.

Potvrdite sesiju, ne pretpostavljajte je

Nakon što se skripta vrati, provjerite nešto što postoji samo unutar tunela — unutarnji host ili DNS sufiks na koji odgovara samo korporativni razlučivač. Pročitajte i redak stanja veze u izlazu klijenta i sve drugo smatrajte neuspjehom, a ne sporim uspjehom. Ponovno pokretanje datoteke dok sesija već postoji može ostaviti klijent napola konfiguriran, pa ili se prvo odspojite ili preskočite prijavu kad je sesija prisutna.

Zatim odlučite kome pripada ponovno spajanje. Petlja koja pinga unutarnju adresu i ponovno pokreće prijavu može održati kiosk na mreži mjesecima, a može i zaključati račun prvi put kad se lozinka promijeni. Ograničite broj pokušaja, upozorite kad se prekorači i pustite tim za identitete da mijenja datoteku umjesto da zastarjela lozinka ponavlja pokušaje do zaključavanja.

Stariji vpnclient.exe nije isti alat

Ista se automatizacija pojavljuje pod starijim imenom i njih dvoje nisu zamjenjivi. Umirovljeni Cisco IPsec klijent koristio je vpnclient.exe s umetnutim argumentima poput glagola connect, naziva profila, korisnika i lozinke u jednom naredbenom retku; vpncli.exe očekuje slijed upita na standardnom ulazu uz -s. Zato kopiranje stare skripte s foruma na današnje računalo daje naredbu koja se pokreće, ne čini ništa vidljivo i za to se krivi pristupnik.

Prije nego uredite bilo koji argument, provjerite koji je klijent instaliran i koji skripta zapravo poziva. Razlika u imenu dovoljno je mala da je promašite u zakazanom zadatku, i to je prvo što treba provjeriti kad naslijeđena skripta prestane raditi nakon nadogradnje.