vpncli -s versus grafické rozhraní: přihlášení do Cisco Secure Client

Cisco Secure Client nabízí dva způsoby, jak odpovědět na stejné přihlašovací výzvy: člověk píše do vpnui.exe, nebo skript posílá odpovědi do vpncli.exe přes standardní vstup pomocí -s. Druhá možnost umožňuje plánovaná připojení bez čtení obrazovky grafického rozhraní a také mění přihlášení na soubor, který je nutné chránit jako přihlašovací údaj. Kterou chcete, závisí na tom, zda u stroje sedí člověk a jak často se mění heslo. Ani jedna možnost nemění to, na co se brána ptá, jen kdo odpovídá.

Obě cesty končí ve stejném tunelu, takže srovnání je o provozu, ne o protokolu.

Dva způsoby odpovědi na stejné výzvy

Cesta přes grafické rozhraní je interaktivní už z principu: klient se ptá, někdo odpovídá a relace žije, dokud ji ten člověk nechá být. Je to správná volba na notebooku, který používá člověk, protože výzvy se přizpůsobují metodě ověřování brány a nikdo nemusí držet heslo v otevřeném textu na disku.

Cesta přes skript je vhodná pro kiosk, laboratorní stroj nebo naplánovanou úlohu, kde nikdo není, kdo by psal. Výměna je jasná: přijímáte soubor s údaji na disku výměnou za připojení bez dozoru. Pokud brána nabízí ověřování certifikátem nebo SAML, tato výměna se obvykle nevyplatí, protože soubor existuje jen proto, aby odpovídal na výzvy, kterým by se silnější metoda vyhnula.

Nemíchejte obojí na jednom stroji současně. Příkazový řádek a grafický klient soupeří o stejný stav relace, což je problém následující části.

Co musí soubor odpovědí obsahovat

Klient se ptá postupně — brána, někdy volba skupiny, uživatelské jméno, heslo a případné potvrzení hlášení. Soubor, který na všechno odpovídá, vypadá takto, s dosazenými skutečnými hodnotami:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Spolehlivý způsob, jak takový soubor sestavit, je jednou se připojit ručně, zapsat každý řádek, který napíšete, a každé stisknutí Enter, a pak přesně tento sled zopakovat. Instalace, které ukládají skupinu a uživatelské jméno v profilu, mohou potřebovat prázdné řádky tam, kde se tyto výzvy už neobjevují, a poslední řádek stále potřebuje vlastní nový řádek. Souboru, kterému chybí jeden řádek, obvykle zamrzne na poslední výzvě místo toho, aby selhal s jasnou chybou, a proto se to svádí na síť. Porovnejte soubor se svým přepisem dvakrát, jednou kvůli pořadí a jednou kvůli prázdným řádkům.

Uchovávejte soubor mimo jakoukoli synchronizovanou složku a čitelný jen pro účet, který úlohu spouští. To heslo je otevřený text, takže soubor je přihlašovací údaj: žádný repozitář, žádný sdílený disk, žádná příloha v tiketu. Klient vás na nic z toho neupozorní.

Proč musí grafické rozhraní zmizet první

Začněte skript ukončením procesu grafického rozhraní a poté spusťte CLI z jeho vlastního instalačního adresáře, protože záleží jak na pracovním adresáři, tak na sestavení klienta. Ilustrativní obal:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Návratové kódy zde nejsou spolehlivým signálem úspěchu. Klient vypisuje průběh a tunel drží v samostatném procesu, takže ve výstupu najděte řádek stavu připojení a teprve potom začněte práci, která na VPN závisí.

Pokud ukončení grafického rozhraní vynecháte, skript může vypadat, že běží, zatímco stávající relace zůstane ve stavu, v jakém ji uživatel nechal. Taková závada vypadá občasně, což je přesně ten druh chyby, který přežije týden hádání.

Potvrďte relaci, nepředpokládejte ji

Po návratu skriptu zkontrolujte něco, co existuje jen uvnitř tunelu — interní hostitel nebo příponu DNS, na kterou odpovídá jen firemní resolver. Přečtěte si také řádek stavu připojení ve výstupu klienta a cokoli jiného berte jako selhání, ne jako pomalý úspěch. Opětovné spuštění souboru, když už relace běží, může nechat klienta napůl nakonfigurovaného, takže se buď nejdřív odpojte, nebo přihlášení přeskočte, když relace existuje.

Potom rozhodněte, komu patří opětovné připojení. Smyčka, která pingá interní adresu a znovu spouští přihlášení, může udržet kiosk online měsíce, a také může poprvé po změně hesla uzamknout účet. Omezte počet pokusů, upozorněte při překročení a nechte tým identity měnit soubor, místo aby zastaralé heslo opakovalo pokusy až do uzamčení.

Starší vpnclient.exe není stejný nástroj

Stejná automatizace se objevuje pod starším jménem a obě věci nejsou zaměnitelné. Vyřazený klient Cisco IPsec používal vpnclient.exe s argumenty na příkazovém řádku, jako je sloveso connect, název profilu, uživatel a heslo v jednom příkazovém řádku; vpncli.exe očekává sled výzev na standardním vstupu s -s. Zkopírování starého skriptu z fóra na dnešní stroj proto vytvoří příkaz, který se spustí, nic viditelného neudělá a všechno se svádí na bránu.

Než upravíte jakýkoli argument, ověřte, který klient je nainstalovaný a který skript skutečně volá. Rozdíl v názvu je dost malý na to, aby v naplánované úloze unikl, a je to první věc, kterou je třeba prověřit, když zděděný skript po aktualizaci přestal fungovat.