VPN-Anmeldung automatisieren, wenn der Client keine API und keine CLI hat

Drei Fragen entscheiden das, und nur drei. Legt der Client einen Verbindungseintrag im Betriebssystem an, der einen Neustart übersteht? Bringt er eine Kommandozeile mit, die ein Geheimnis von etwas anderem als ihrer Argumentliste nehmen kann? Zwingt seine Identitätsanforderung einen Menschen, eine Browser-Abfrage zu beantworten? Beantworten Sie sie in dieser Reihenfolge, und die Wahl ist keine Geschmacksfrage mehr, denn ein geplanter Job kann nur so headless sein, wie es die schwächste der drei Antworten zulässt.

Ordnen Sie den Client den drei skriptbaren Schichten zu

Ein natives OS-Profil, eine Hersteller-CLI, ein reiner GUI-Client und ein Browser-SSO-Client brauchen vier verschiedene Ansätze. Die ersten beiden überstehen unbeaufsichtigte Neustarts, und unbeaufsichtigte Neustarts sind der ganze Punkt. Die anderen beiden brauchen eine Designentscheidung, bevor sie ein Skript brauchen.

Weg eins: das Betriebssystem besitzt das Profil bereits

Das ist der billigste Weg und der, den die meisten übersehen. Unter Windows verbindet rasdial "Office", und rasdial "Office" /disconnect trennt die Verbindung; rasphone -d "Office" steuert denselben Eintrag über die Einwähloberfläche. macOS listet gespeicherte Dienste mit scutil --nc list und startet einen mit scutil --nc start. Linux übergibt die Aufgabe an NetworkManager.

rasdial "Office" user *
scutil --nc start "Office"
nmcli connection up id Office
nmcli -t -f GENERAL.STATE connection show Office

Diese Schnittstellen kennen nur Profile, die das Betriebssystem besitzt, also können sie keinen beliebigen Drittanbieter-Client steuern. Fehlt das Profil, legen Sie es einmal an und lassen Sie das Skript danach prüfen, statt es bei jedem Lauf neu zu erzeugen. Machen Sie das Skript idempotent: Lesen Sie den aktuellen Zustand, verbinden Sie nur, wenn getrennt ist, und testen Sie dann den privaten Namen, den der Job wirklich braucht.

Weg zwei: der Hersteller liefert eine Kommandozeile

Manche Clients legen genug Kommandozeile offen, um sie einzupacken: Cisco AnyConnect hat jahrelang einen reinen Verbindungshelfer gehabt, und OpenConnect spricht AnyConnect-, GlobalProtect- und Pulse-Protokolle aus einer einzigen Binärdatei. Die entscheidende Anforderung ist nicht die Flag-Liste, sondern woher das Geheimnis kommt, denn ein Passwort in der Argumentliste kann jeder lesen, der Prozesse auflisten kann.

printf '%s\n' "$VPN_PASS" | openconnect --protocol=anyconnect \
  --user "$VPN_USER" --passwd-on-stdin vpn.example.com

FortiClient und manche GlobalProtect-Builds haben überhaupt keine unterstützte CLI, und ein Community-Client oder ein herstellerlizenzierter Ersatz ist eine Beschaffungsentscheidung, kein Workaround. Gewähren Sie in CI dem Dienstkonto Rechte auf genau diese Binärdatei und nicht auf eine Shell, damit ein eingeschleustes Argument kein Root-Kommando werden kann.

Weg drei: GUI-Automatisierung, und warum sie zuletzt kommt

Wenn der offizielle Client keine Schnittstelle hat, klicken Skripte Schaltflächen über Fensternachrichten oder SendKeys. Das ist versions- und sprachfragil, es kann eine halb verbundene Sitzung hinterlassen, und es scheitert still, wenn ein Dialog in der falschen Sprache erscheint. Wenn Sie diesen Weg gehen, pinnen Sie die Clientversion, prüfen Sie danach den resultierenden Verbindungszustand und halten Sie einen dokumentierten manuellen Rückfallweg neben dem Skript bereit.

Dieselbe Vorsicht gilt für das gewaltsame Trennen eines Clients durch Abschießen seines Prozesses. Der Tunnel kann den Prozess überleben, oder ein Supervisor startet ihn neu, also ist Kill-and-Restart auch kein verlässlicher Reset.

Was bricht, nachdem der Tunnel steht

Ein erfolgreicher Wählvorgang beweist Authentifizierung und sonst nichts. Testen Sie die Ressource, für die der Job existiert, mit ihrem eigenen Protokoll und einem kurzen Timeout, und benennen Sie die Stufe in der Fehlermeldung. Profile, Zertifikate und gespeicherte Anmeldedaten, die auf Ihrem Desktop sichtbar sind, können für die Dienstsitzung unsichtbar sein, also führen Sie den Job einmal unter dem eigenen Konto des Planers aus, bevor Sie ihm trauen.

Begrenzen Sie die Wiederholungen. Eine Schleife, die abgelehnte Anmeldedaten wiederholt, sperrt Konten, und eine MFA-Abfrage kann ein headless Job ohne Enrollment-Design nicht beantworten; skriptgesteuerte Wiederholungen gegen einen Browser-SSO-Flow verbrennen nur Versuche. Bevorzugen Sie eine per MDM gelieferte VPN-Nutzlast oder ein Konfigurationsprofil für einen Fuhrpark, wo die Plattform den Lebenszyklus der Anmeldedaten besitzt, und behalten Sie Skripte für die Clients, die sich so nicht verwalten lassen.

Protokollieren Sie den Exit-Code und die erste fehlschlagende Ressource, nicht die Tatsache, dass das Skript lief. Genau diese eine Zeile macht aus einer Planerwarnung eine Fünf-Minuten-Diagnose.