vpncli funktioniert unter Windows nicht? Cisco Secure Client richtig starten

Sie geben vpncli in einer Windows-Eingabeaufforderung ein und erhalten die Meldung, der Befehl sei nicht erkannt, oder das Fenster öffnet sich und bleibt bei einer Frage stehen, die Sie nicht erwartet haben. Beide Symptome haben meist dieselbe Ursache: Auf dem Rechner ist mehr als eine Client-Linie von Cisco VPN installiert, und der ausgeführte Befehl gehört zur falschen. Die Lösung besteht darin, die ausführbare Datei zu starten, die mit Secure Client geliefert wird, und dann die Aufforderungen zu beantworten, die das Gateway tatsächlich sendet.

Das Symptom verweist auf zwei verschiedene Clients

Cisco Secure Client enthält eine Windows-Kommandozeilenschnittstelle mit dem Namen vpncli.exe. Der ältere Cisco IPsec VPN Client brachte ein anderes Programm mit, vpnclient.exe, mit anderen Befehlen und anderen Passwortschaltern. Anleitungen, die beides vermischen, erzeugen Befehle, die plausibel aussehen und sofort scheitern. Der installierte Programmordner ist der schnellste Weg, die beiden auseinanderzuhalten.

Wenn vpncli nicht im PATH steht, ist das kein Beweis dafür, dass die Komponente fehlt. Der Installer fügt den Ordner einfach nicht zum PATH hinzu, daher rufen Sie die ausführbare Datei über ihren vollständigen Pfad auf.

Starten Sie die ausführbare Datei von Secure Client

Bei einer Installation von Secure Client 5.x ist der dokumentierte Ort der Ordner Secure Client unter Program Files (x86). In PowerShell ist der Aufrufoperator erforderlich, weil der Pfad Leerzeichen enthält: & 'C:\Program Files (x86)\Cisco\Cisco Secure Client\vpncli.exe'. Wenn diese Datei fehlt, prüfen Sie die installierte Version und ihren Ordner, statt einen Legacy-Client herunterzuladen, um die Lücke zu füllen.

Ab cmd.exe funktioniert derselbe Pfad ohne den Aufrufoperator, benötigt aber weiterhin Anführungszeichen. Wählen Sie eine Shell und bleiben Sie darin, denn die beiden behandeln Anführungszeichen unterschiedlich, und die Hälfte der fehlgeschlagenen Beispiele im Netz ist ein Anführungszeichenproblem.

Verbinden und beantworten, was das Gateway fragt

Verbinden Sie sich an der Client-Eingabeaufforderung mit dem freigegebenen Gateway oder einem konfigurierten Alias: connect vpn.example.com. Ersetzen Sie das Beispiel durch Ihren eigenen Hostnamen. Der Client fragt dann die Anmeldedaten ab, die Ihre Umgebung verlangt; dazu können eine Zertifikatsauswahl, ein Token-Code oder ein zweiter Faktor gehören. Beantworten Sie jede Aufforderung in der Reihenfolge, in der sie erscheint.

Ciscos dokumentiertes Beispiel zeigt außerdem ein Banner, das eine ausdrückliche Antwort verlangt, sodass ein Skript, das nur Benutzername und Passwort liefert, an diesem Banner hängen bleibt. Lesen Sie die Frage auf dem Bildschirm, statt anzunehmen, die nächste Aufforderung sei das Passwort.

Prüfen Sie die Sitzung, bevor Sie ihr vertrauen

Nachdem die Verbindung hergestellt ist, gibt stats Sitzungsinformationen aus: das Gateway, die zugewiesene Adresse, das Protokoll und die Dauer. Prüfen Sie zusätzlich eine vorgesehene interne Ressource, denn eine Sitzung existiert, bevor Sie belegt haben, dass ihre Routen, DNS und Anwendungsberechtigungen die Aufgabe erfüllen. Notieren Sie die zugewiesene Adresse, solange die Sitzung besteht.

Führen Sie disconnect aus, wenn Sie die VPN-Sitzung beenden wollen, und quit, wenn Sie die interaktive CLI verlassen wollen. Beides sind keine Synonyme, und das Schließen des Fensters ist kein dokumentierter Ersatz für eines von beiden.

Automatisierung ist eine eigene Entscheidung

Eine funktionierende Terminal-Anmeldung belegt nicht, dass eine geplante Aufgabe dieselbe Authentifizierung abschließen kann. Schreiben Sie die erforderliche Identität, das Ausführungskonto, den Zertifikatszugriff und jede Benutzerinteraktion auf, bevor Sie die Sitzung in einen Hintergrundauftrag umwandeln. Wenn die Umgebung eine Browser-Anmeldung oder eine Freigabe verlangt, klären Sie den unterstützten Ablauf mit ihrem Betreiber, statt die Aufforderung als Hindernis zu betrachten.

Übernehmen Sie keine alten Beispiele, die ein Passwort direkt in die Befehlszeile schreiben. Feste Zeilen, die in eine interaktive Unterhaltung gepumpt werden, brechen, sobald das Gateway seine Fragen ändert, und ein gespeichertes Passwort in einem Skript ist ein Befund, der nur darauf wartet, geschrieben zu werden. Die Cisco-CLI-Referenz dokumentiert die unterstützten Befehle für diesen Client.

Wenn eine Anmeldung fehlschlägt, halten Sie Client-Version, Gateway, Uhrzeit und den nicht geheimen Fehlertext fest. Diese vier Angaben trennen eine falsche ausführbare Datei von einer abgelehnten Authentifizierung und von einer verbundenen Sitzung, die ihre Anwendung nicht erreicht.