vpncli -s GUIaren aurka: saioa hasi Cisco Secure Client-en

Cisco Secure Clientek bi modu ematen dizkizu saio-hasierako galdera berberei erantzuteko: vpnui.exe barruan idazten duen pertsona bat, edo -s erabiliz erantzunak vpncli.exe aplikaziora sarrera estandarraren bidez bidaltzen dituen script bat. Bigarrenak programatutako konexioak ahalbidetzen ditu GUIaren pantaila irakurri gabe, eta saio-hasiera fitxategi bihurtzen du, kredentzial gisa babestu behar dena. Zein nahi duzun makinan pertsona bat dagoen ala ez eta pasahitza zenbat aldiz aldatzen den araberakoa da. Bi aukerek ez dute aldatzen atebideak eskatzen duena, erantzuten duen pertsona baizik.

Bi bidek tunel berberean amaitzen dute, beraz konparazioa eragiketari buruzkoa da, ez protokoloari.

Galdera berberei erantzuteko bi modu

GUIaren bidea interaktiboa da diseinuz: bezeroak galdetzen du, norbaitek erantzuten du, eta saioa bizirik dago pertsona horrek bakean uzten duen bitartean. Aukera zuzena da pertsona batek erabiltzen duen eramangarri batean, galderak atebidearen autentifikazio-metodora egokitzen direlako eta inork ez duelako pasahitzik testu hutsean diskoan gorde behar.

Scriptaren bidea egokia da kiosko baterako, laborategiko makina baterako edo inor idazteko ez dagoen zeregin programatu baterako. Truekea argia da: kredentzial-fitxategi bat onartzen duzu diskoan, zaintzarik gabeko konexioaren truke. Atebideak ziurtagiri edo SAML autentifikazioa eskaintzen badu, truke horrek normalean ez du merezi, fitxategia metodo sendoago batek saihestuko lituzkeen galderei erantzuteko soilik existitzen delako.

Ez nahastu biak makina berean aldi berean. Komando-lerroa eta bezero grafikoa saio-egoera beraren truke lehiatzen dira, eta hori hurrengo atalaren arazoa da.

Zer eduki behar du erantzun-fitxategiak

Bezeroak hurrenez hurren galdetzen du — atebidea, batzuetan talde-hautaketa, erabiltzaile-izena, pasahitza eta edozein banda-berrespen. Horiei guztiei erantzuten dien fitxategia horrela ikusten da, benetako balioak sartuta:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Fitxategi hori eraikitzeko modu fidagarria behin eskuz konektatzea da, idazten duzun lerro bakoitza eta sakatzen duzun Enter bakoitza apuntatzea, eta gero sekuentzia hori zehatz-mehatz errepikatzea. Taldea eta erabiltzaile-izena profilean gordetzen dituzten inplementazioek lerro hutsak behar izan ditzakete galdera horiek jada agertzen ez diren lekuan, eta azken lerroak oraindik bere lerro-jauzia behar du. Lerro bat falta zaion fitxategia azken galderan trabatzen da normalean, errore argi batekin huts egin beharrean, eta horregatik sareari leporatzen zaio. Alderatu fitxategia zure transkripzioarekin birritan, behin ordena egiaztatzeko eta behin lerro hutsen bila.

Eduki fitxategia sinkronizatutako karpeta guztietatik kanpo, eta zeregina exekutatzen duen kontuak soilik irakur dezala. Pasahitz hori testu hutsa da, beraz fitxategia kredentziala da: ez biltegirik, ez disko partekaturik, ez eranskinik txartel batean. Bezeroak ez dizu horietako ezeren berri emango.

Zergatik GUIak lehenago joan behar duen

Hasi scripta GUIaren prozesua amaitzen, eta gero exekutatu CLIa bere instalazio-direktorio propiotik, lan-direktorioak eta bezeroaren bertsioak biak axola baitute. Bilgarri adierazgarri bat:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Irteera-kodeak ez dira hemen arrakastaren seinale fidagarria. Bezeroak bere aurrerapena inprimatzen du eta tunela prozesu bereizian mantentzen du, beraz irakurri irteeran konexio-egoeraren lerroa, eta gero hasi VPNaren menpe dagoen lana.

GUIa hiltzea saltatzen baduzu, scripta funtzionatzen ari dela eman dezake, existitzen den saioa erabiltzaileak utzi zuen egoeran geratzen den bitartean. Hutsegite hori aldizkakotzat ematen du, eta halako akatsa da aste beteko asmakizunei irauteko gai dena.

Berretsi saio bat, ez pentsa bat

Scripta itzultzen denean, egiaztatu tunelaren barruan soilik existitzen den zerbait — barne-ostalari bat edo enpresa-resolvetzaileak soilik erantzuten duen DNS atzizki bat. Irakurri ere konexio-egoeraren lerroa bezeroaren irteeran, eta tratatu beste edozer hutsegite gisa, arrakasta motel gisa baino. Fitxategia berriro exekutatzeak saioa dagoeneko aktibo dagoenean bezeroa erdi konfiguratuta utz dezake, beraz edo deskonektatu lehenago, edo saltatu saio-hasiera saioa dagoenean.

Ondoren erabaki nork duen berrikonexioaren ardura. Barneko helbide bat pingatzen duen eta saio-hasiera berriro exekutatzen duen begizta batek kiosko bat sarean mantendu dezake hilabeteetan, eta kontu bat blokea dezake pasahitza aldatzen den lehen aldian. Mugatu saiakeren kopurua, jakinarazi gainditzen denean, eta utzi identitate-taldeari fitxategia aldatzen, pasahitz zaharra blokeo batera arte errepikatzen aritu beharrean.

vpnclient.exe zaharra ez da tresna bera

Automatizazio bera izen zaharrago baten pean agertzen da, eta biak ez dira trukagarriak. Erretiratutako Cisco IPsec bezeroak vpnclient.exe erabiltzen zuen, argumentu in-linekoekin, hala nola connect aditza, profil-izena, erabiltzailea eta pasahitza komando-lerro bakar batean; vpncli.exe aplikazioak galdera-sekuentzia bat espero du sarrera estandarrean -s erabilita. Horregatik, foro bateko script zaharra gaur egungo makinan kopiatzeak exekutatzen den, inolako ezer ikusgarririk egiten ez duen eta atebideari errua botatzen zaion komando bat sortzen du.

Edozein argumentu editatu aurretik, egiaztatu zein bezero instalatuta dagoen eta zein deitzen duen scriptak benetan. Izenen arteko aldea nahikoa txikia da zeregin programatu batean huts egiteko, eta egiaztatu beharreko lehen gauza da script bat heredatu eta gorakada baten ondoren funtzionatzeari utzi dionean.