vpncli -s vai graafinen käyttöliittymä: kirjautuminen Cisco Secure Clientiin

Cisco Secure Client tarjoaa kaksi tapaa vastata samoihin kirjautumiskehotteisiin: ihminen kirjoittaa vpnui.exe ikkunaan tai skripti syöttää vastaukset vpncli.exe ohjelmaan standardisyötteen kautta -s valitsimella. Jälkimmäinen mahdollistaa ajastetut yhteydet ilman graafisen käyttöliittymän ruudun lukemista, ja se muuttaa kirjautumisen tiedostoksi, jota on suojeltava kuin tunnistetietoa. Kumpi kannattaa, riippuu siitä, onko koneen ääressä ihminen ja kuinka usein salasana vaihtuu. Kumpikaan vaihtoehto ei muuta sitä, mitä yhdyskäytävä kysyy, vain sitä, kuka vastaa.

Molemmat reitit päättyvät samaan tunneliin, joten vertailu koskee käyttöä, ei protokollaa.

Kaksi tapaa vastata samoihin kehotteisiin

Graafisen käyttöliittymän reitti on luonteeltaan vuorovaikutteinen: asiakas kysyy, joku vastaa ja istunto elää niin kauan kuin kyseinen henkilö jättää sen rauhaan. Se on oikea valinta kannettavassa, jota ihminen käyttää, koska kehotteet mukautuvat yhdyskäytävän todennusmenetelmään eikä kenenkään tarvitse pitää salasanaa selkokielisenä levyllä.

Skriptin reitti sopii kioskiin, laboratoriokoneeseen tai ajastettuun tehtävään, jossa ei ole ketään kirjoittamassa. Vaihtokauppa on selvä: hyväksyt tunnistetietotiedoston levylle vastineeksi valvomattomasta yhteydestä. Jos yhdyskäytävä tarjoaa varmenne- tai SAML-todennuksen, se kauppa ei yleensä kannata, koska tiedosto on olemassa vain vastatakseen kehotteisiin, jotka vahvempi menetelmä välttäisi.

Älä sekoita kahta samalla koneella samaan aikaan. Komentorivi ja graafinen asiakas kilpailevat samasta istunnon tilasta, ja se on seuraavan osion ongelma.

Mitä vastaustiedoston on sisällettävä

Asiakas kysyy järjestyksessä — yhdyskäytävä, joskus ryhmävalinta, käyttäjänimi, salasana ja mahdollinen bannerin kuittaus. Tiedosto, joka vastaa kaikkiin niihin, näyttää tältä, kun todelliset arvot on sijoitettu:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Luotettava tapa rakentaa tuo tiedosto on yhdistää kerran käsin, kirjata jokainen kirjoittamasi rivi ja jokainen painamasi Enter ja toistaa sitten täsmälleen tuo järjestys. Asennukset, jotka tallentavat ryhmän ja käyttäjänimen profiiliin, voivat tarvita tyhjiä rivejä kohtiin, joissa nuo kehotteet eivät enää näy, ja viimeinen rivi tarvitsee yhä oman rivinvaihtonsa. Tiedosto, josta puuttuu yksi rivi, jää yleensä jumiin viimeiseen kehotteeseen sen sijaan, että se epäonnistuisi selkeällä virheellä, ja siksi siitä syytetään verkkoa. Vertaa tiedostoa muistiinpanoosi kahdesti, kerran järjestyksen ja kerran tyhjien rivien osalta.

Pidä tiedosto minkään synkronoidun kansion ulkopuolella ja vain tehtävää ajavan tilin luettavissa. Salasana on selkokieltä, joten tiedosto on tunnistetieto: ei repositoriota, ei jaettua levyä, ei liitettä tikettiin. Asiakas ei varoita sinua mistään tästä.

Miksi graafisen käyttöliittymän on väistyttävä ensin

Aloita skripti lopettamalla graafisen käyttöliittymän prosessi ja aja sitten CLI sen omasta asennushakemistosta, koska sekä työhakemisto että asiakkaan versio merkitsevät. Havainnollistava kääre:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Paluukoodit eivät ole täällä luotettava onnistumisen merkki. Asiakas tulostaa etenemisensä ja pitää tunnelia erillisessä prosessissa, joten lue tulosteesta yhteyden tilan rivi ja aloita vasta sitten työ, joka riippuu VPN:stä.

Jos jätät käyttöliittymän tappamisen väliin, skripti voi näyttää toimivan, vaikka olemassa oleva istunto jää siihen tilaan, johon käyttäjä sen jätti. Tämä vika näyttää satunnaiselta, ja juuri sellaiset viat selviävät viikon arvailusta.

Vahvista istunto, älä oleta sitä

Kun skripti palaa, tarkista jotain, mikä on olemassa vain tunnelin sisällä — sisäinen isäntä tai DNS-pääte, johon vain yrityksen selvityspalvelin vastaa. Lue myös asiakkaan tulosteesta yhteyden tilan rivi ja pidä kaikkea muuta epäonnistumisena hitaan onnistumisen sijaan. Tiedoston ajaminen uudelleen, kun istunto on jo päällä, voi jättää asiakkaan puoliksi konfiguroiduksi, joten joko katkaise ensin tai ohita kirjautuminen, kun istunto on olemassa.

Päätä sitten, kenen vastuulla uudelleenyhdistäminen on. Silmukka, joka pingaa sisäistä osoitetta ja ajaa kirjautumisen uudelleen, voi pitää kioskin verkossa kuukausia, ja se voi myös lukita tilin ensimmäisellä salasanan vaihdolla. Rajaa yritysten määrä, hälytä, kun raja ylittyy, ja anna identiteettitiimin vaihtaa tiedosto sen sijaan, että vanhentunut salasana yrittäisi uudelleen lukitukseen asti.

Vanhempi vpnclient.exe ei ole sama työkalu

Sama automaatio esiintyy vanhemmalla nimellä, eivätkä nämä kaksi ole keskenään vaihdettavissa. Käytöstä poistettu Cisco IPsec asiakas käytti vpnclient.exe ohjelmaa rivinsisäisillä argumenteilla, kuten connect verbi, profiilin nimi, käyttäjä ja salasana yhdellä komentorivillä, kun taas vpncli.exe odottaa kehotteiden sarjaa standardisyötteessä -s valitsimella. Siksi vanhan foorumiskriptin kopioiminen nykykoneelle tuottaa komennon, joka käynnistyy, ei tee mitään näkyvää ja jonka syyksi yhdyskäytävä joutuu.

Ennen kuin muokkaat mitään argumenttia, tarkista, mikä asiakas on asennettu ja mitä skripti todella kutsuu. Nimiero on tarpeeksi pieni, jotta se jää huomaamatta ajastetussa tehtävässä, ja se on ensimmäinen asia, joka on tarkistettava, kun peritty skripti lakkasi toimimasta päivityksen jälkeen.