vpncli -s yn erbyn y GUI: mewngofnodi i Cisco Secure Client

Mae Cisco Secure Client yn rhoi dwy ffordd i chi ateb yr un anogaethau mewngofnodi: person yn teipio i mewn i vpnui.exe, neu sgript yn bwydo atebion i vpncli.exe drwy’r mewnbwn safonol gyda -s. Mae’r ail yn gwneud cysylltiadau wedi’u hamserlennu’n bosibl heb grafu sgrin y GUI, ac mae hefyd yn troi mewngofnodi’n ffeil y mae’n rhaid ei diogelu fel cymhwysiad. Pa un rydych chi ei eisiau sy’n dibynnu ar a oes dyn wrth y peiriant, ac ar ba mor aml y mae’r cyfrinair yn cylchdroi. Nid yw’r naill opsiwn na’r llall yn newid yr hyn y mae’r giât yn gofyn amdano, dim ond pwy sy’n ateb.

Mae’r ddwy lwybr yn gorffen yn yr un tiwnel, felly mae’r gymhariaeth yn ymwneud â gweithrediadau, nid protocol.

Dwy ffordd i ateb yr un anogaethau

Mae llwybr y GUI yn ryngweithiol o’i gynllun: mae’r cleient yn gofyn, rhywun yn ateb, ac mae’r sesiwn yn byw cyhyd ag y bydd y person hwnnw’n ei gadael yn llonydd. Dyma’r dewis iawn ar liniadur y mae dyn yn ei ddefnyddio, oherwydd bod yr anogaethau’n addasu i ddull dilysu’r giât ac nid oes yn rhaid i neb gadw cyfrinair testun plaen ar y disg.

Mae llwybr y sgript yn iawn ar gyfer ciosg, peiriant labordy neu dasg wedi’i hamserlennu lle nad oes neb yn bresennol i deipio. Mae’r cyfnewid yn glir: rydych yn derbyn ffeil gymhwysiad ar y disg yn gyfnewid am gysylltiad heb oruchwyliaeth. Os yw’r giât yn cynnig dilysu tystysgrif neu SAML, fel arfer nid yw’r cyfnewid hwnnw’n werth ei wneud, oherwydd dim ond i ateb anogaethau y byddai dull cryfach yn eu hosgoi y mae’r ffeil yn bodoli.

Peidiwch â chymysgu’r ddwy ar un peiriant ar yr un pryd. Mae’r llinell orchymyn a’r cleient graffigol yn cystadlu am yr un cyflwr sesiwn, a dyna broblem yr adran nesaf.

Beth sy’n rhaid i’r ffeil atebion ei chynnwys

Mae’r cleient yn gofyn yn eu trefn — y giât, weithiau detholiad grŵp, enw defnyddiwr, cyfrinair, ac unrhyw gydnabyddiaeth baner. Dyma sut mae ffeil sy’n ateb pob un ohonynt yn edrych, gyda gwerthoedd go iawn wedi’u rhoi yn eu lle:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Y ffordd ddibynadwy i adeiladu’r ffeil honno yw cysylltu unwaith â llaw, ysgrifennu pob llinell rydych yn ei theipio a phob gwasgiad Enter, ac yna atgynhyrchu’r dilyniant hwnnw’n union. Efallai y bydd angen llinellau gwag ar osodiadau sy’n cadw’r grŵp a’r enw defnyddiwr yn y proffil lle nad yw’r anogaethau hynny’n ymddangos mwyach, ac mae ar y llinell olaf o hyd angen ei newid llinell ei hun. Mae ffeil sy’n un llinell yn rhy fyr fel arfer yn hongian yn yr anogaeth olaf yn lle methu â gwall clir, a dyna pam y beïir y rhwydwaith. Cymharwch y ffeil â’ch trawsgrifiad ddwywaith, unwaith am y drefn ac unwaith am y llinellau gwag.

Cadwch y ffeil y tu allan i unrhyw ffolder wedi’i chydamseru a dim ond y cyfrif sy’n rhedeg y dasg yn gallu ei darllen. Mae’r cyfrinair hwnnw’n destun plaen, felly mae’r ffeil yn gymhwysiad: dim ystorfa, dim disg a rennir, dim atodiad mewn tocyn. Ni fydd y cleient yn eich rhybuddio am unrhyw un o’r rhain.

Pam mae’n rhaid i’r GUI fynd gyntaf

Dechreuwch y sgript drwy ddod â phroses y GUI i ben, yna rhedwch y CLI o’i gyfeiriadur gosod ei hun, oherwydd mae’r cyfeiriadur gwaith a fersiwn y cleient yn bwysig ill dau. Dyma lapin enghreifftiol:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Nid yw codau gadael yn arwydd llwyddiant dibynadwy yma. Mae’r cleient yn argraffu ei gynnydd ac yn cadw’r tiwnel mewn proses ar wahân, felly darllenwch yr allbwn am y llinell cyflwr cysylltiad a dim ond wedyn dechrau’r gwaith sy’n dibynnu ar y VPN.

Os byddwch yn hepgor lladd y GUI, gall y sgript ymddangos i redeg tra bo’r sesiwn bresennol yn aros yn y cyflwr a adawyd gan y defnyddiwr. Mae’r methiant hwnnw’n edrych yn ysbeidiol, sef yn union y math o nam sy’n goroesi wythnos o ddyfalu.

Cadarnhewch sesiwn, peidiwch â’i chymryd yn ganiataol

Ar ôl i’r sgript ddychwelyd, gwiriwch rywbeth nad yw’n bodoli ond y tu mewn i’r tiwnel — gwesteiwr mewnol, neu ôl-ddodiad DNS nad yw ond y datryswr corfforaethol yn ei ateb. Darllenwch y llinell cyflwr cysylltiad yn allbwn y cleient hefyd, a thriniwch unrhyw beth arall fel methiant yn lle llwyddiant araf. Gall ail-redeg y ffeil tra bo sesiwn eisoes i fyny adael y cleient yn hanner ffurfweddedig, felly naill ai datgysylltwch yn gyntaf neu hepgorwch y mewngofnodi pan fo’r sesiwn yn bresennol.

Yna penderfynwch pwy sy’n berchen ar ailgysylltu. Gall dolen sy’n pingio cyfeiriad mewnol ac yn ail-redeg y mewngofnodi gadw ciosg ar-lein am fisoedd, a gall hefyd gloi cyfrif y tro cyntaf y bydd y cyfrinair yn cylchdroi. Cyfyngwch y nifer o ymgeisiadau, rhybuddwch pan fydd yn torri, a gadewch i’r tîm adnabyddiaeth gylchdroi’r ffeil yn lle gadael cyfrinair hen yn ailgeisio i mewn i glo.

Nid yw’r hen vpnclient.exe yr un offeryn

Mae’r un awtomeiddio’n ymddangos o dan enw hŷn, ac nid yw’r ddau’n gyfnewidiol. Roedd y cleient Cisco IPsec a ddisodlwyd yn defnyddio vpnclient.exe gyda dadleuon mewnlin fel berf connect, enw proffil, defnyddiwr a chyfrinair ar un llinell orchymyn; mae vpncli.exe yn disgwyl dilyniant o anogaethau ar y mewnbwn safonol gyda -s. Felly mae copïo hen sgript fforwm i beiriant cyfredol yn cynhyrchu gorchymyn sy’n rhedeg, heb wneud dim gweladwy, ac mae’r giât yn cael y bai.

Cyn golygu unrhyw ddadleuon, gwiriwch pa gleient sydd wedi’i osod a pha un y mae’r sgript yn ei alw mewn gwirionedd. Mae’r gwahaniaeth enw’n ddigon bach i’w fethu mewn tasg wedi’i hamserlennu, a dyma’r peth cyntaf i’w wirio pan fydd sgript a etifeddwyd wedi stopio gweithio ar ôl uwchraddiad.