vpncli -s versus graafiline liides: Cisco Secure Clienti sisselogimine

Cisco Secure Client annab kaks viisi samadele sisselogimisküsimustele vastata: inimene trükib vpnui.exe aknasse või skript söödab vastused standardisisendi kaudu vpncli.exe programmi, kasutades -s. Teine tee teeb võimalikuks ajastatud ühendused ilma graafilise liidese ekraani lugemata, ja see muudab ka sisselogimise failiks, mida tuleb kaitsta nagu mandaati. Kumba soovite, sõltub sellest, kas masina taga on inimene, ja sellest, kui tihti parool vahetub. Kumbki valik ei muuda seda, mida lüüs küsib, vaid ainult seda, kes vastab.

Mõlemad teed lõpevad samas tunnelis, seega on võrdlus käitamise, mitte protokolli kohta.

Kaks viisi samadele küsimustele vastata

Graafilise liidese tee on olemuselt interaktiivne: klient küsib, keegi vastab ja sessioon elab seni, kuni see inimene selle rahule jätab. See on õige valik sülearvutis, mida inimene kasutab, sest küsimused kohanduvad lüüsi autentimismeetodiga ja kellelgi ei ole vaja hoida parooli lihttekstina kettal.

Skripti tee sobib kioski, laborimasina või ajastatud töö jaoks, kus ei ole kedagi trükkimas. Vahetus on selge: võtate vastu mandaadifaili kettal, et saada järelevalveta ühendus. Kui lüüs pakub sertifikaadi- või SAML-autentimist, ei tasu see vahetus tavaliselt end ära, sest fail on ainult selleks, et vastata küsimustele, mida tugevam meetod väldiks.

Ärge segage kahte ühel masinal korraga. Käsurida ja graafiline klient võistlevad sama sessiooni oleku pärast, ja see on järgmise jaotise probleem.

Mida vastusefail peab sisaldama

Klient küsib järjekorras — lüüs, mõnikord grupi valik, kasutajanimi, parool ja igasugune bänneri kinnitus. Fail, mis vastab neile kõigile, näeb välja selline, päris väärtustega asendatuna:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Usaldusväärne viis selle faili koostamiseks on ühenduda üks kord käsitsi, kirja panna iga rida, mille trükite, ja iga Enter, mille vajutate, ning seejärel täpselt see jada korrata. Paigaldused, mis hoiavad gruppi ja kasutajanime profiilis, võivad vajada tühje ridu seal, kus neid küsimusi enam ei kuvata, ja viimane rida vajab endiselt omaette reavahetust. Fail, millel on üks rida puudu, jääb tavaliselt viimasele küsimusele rippuma, selle asemel et selge veaga ebaõnnestuda, ja just seetõttu süüdistatakse võrku. Võrrelge faili oma üleskirjutusega kaks korda, üks kord järjekorra ja üks kord tühjade ridade osas.

Hoidke faili väljaspool igasugust sünkroonitavat kausta ja ainult tööd käivitava konto loetavana. See parool on lihttekst, seega on fail mandaat: ei hoidlat, ei jagatud ketast, ei manust pileti küljes. Klient ei hoieta teid sellest millestki.

Miks graafiline liides peab esimesena kaduma

Alustage skripti graafilise liidese protsessi lõpetamisega ja käivitage seejärel CLI selle enda paigalduskaustast, sest olulised on nii töökaust kui ka kliendi versioon. Illustreeriv ümbris:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Väljumiskoodid ei ole siin usaldusväärne edusignaal. Klient prindib oma edenemise ja hoiab tunnelit eraldi protsessis, seega lugege väljundist ühenduse oleku rida ja alles siis alustage tööd, mis sõltub VPN-ist.

Kui jätate graafilise liidese tapmise vahele, võib skript näida töötavat, samal ajal kui olemasolev sessioon jääb sellesse olekusse, millesse kasutaja selle jättis. See rike näib katkendlikuna ja just sellised vead elavad üle nädala oletusi.

Kinnitage sessioon, ärge eeldage seda

Kui skript on tagasi jõudnud, kontrollige midagi, mis eksisteerib ainult tunneli sees — sisemist hosti või DNS-sufiksit, millele vastab ainult ettevõtte resolver. Lugege ka kliendi väljundist ühenduse oleku rida ja käsitlege kõike muud ebaõnnestumisena, mitte aeglase eduna. Faili korduskäivitamine, kui sessioon on juba üleval, võib jätta kliendi pooleldi seadistatuks, seega kas katkestage esmalt ühendus või jätke sisselogimine vahele, kui sessioon on olemas.

Seejärel otsustage, kelle vastutus on taasühendamine. Silmus, mis pingib sisemist aadressi ja käivitab sisselogimise uuesti, võib hoida kioski kuude kaupa võrgus, aga võib ka esimesel parooli vahetusel konto lukustada. Piirake katsete arvu, andke häire, kui see täis saab, ja laske identiteedimeeskonnal faili vahetada, selle asemel et aegunud parool prooviks uuesti kuni lukustumiseni.

Vanem vpnclient.exe ei ole sama tööriist

Sama automatiseerimine esineb vanema nime all ja need kaks ei ole vahetatavad. Kasutusest kõrvaldatud Cisco IPsec klient kasutas vpnclient.exe koos reasiseste argumentidega, nagu connect tegusõna, profiili nimi, kasutaja ja parool ühel käsureal; vpncli.exe ootab aga standardisisendil küsimuste jada koos -s-ga. Seetõttu annab vana foorumiskripti kopeerimine tänasesse masinasse käsu, mis käivitub, ei tee midagi nähtavat ja mille eest süüdistatakse lüüsi.

Enne mis tahes argumendi muutmist kontrollige, milline klient on paigaldatud ja millist skript tegelikult kutsub. Nimeerinevus on piisavalt väike, et ajastatud töös märkamatuks jääda, ja see on esimene asi, mida kontrollida, kui päritud skript on pärast uuendust töötamise lõpetanud.