vpncli -s tsjin de GUI: oanmelde by Cisco Secure Client

Cisco Secure Client jout jo twa manieren om deselde oanmeldingsfregen te beäntwurdzjen: in minske dy’t yn vpnui.exe typt, of in skript dat antwurden troch standertynfier mei -s nei vpncli.exe stjoert. De twadde makket plande ferbiningen mooglik sûnder it skerm fan de GUI te skraabjen, en it makket fan in oanmelding ek in bestân dat as in bewiisstik beskerme wurde moat. Hokker jo wolle hinget ôf fan oft der in minske by de masine sit en hoe faak it wachtwurd rotearret. Gjin fan de beide opsjes feroaret wat de gateway freget, allinnich wa’t antwurdet.

Beide paden einigje yn deselde tunnel, dus de ferliking giet oer behear, net oer protokol.

Twa manieren om deselde fregen te beäntwurdzjen

It GUI-paad is fan nature ynteraktyf: de klient freget, immen antwurdet, en de sesje libbet salang’t dy persoan him gewurde lit. It is de goede kar op in laptop dy’t in minske brûkt, want de fregen passe har oan by de autentikaasjemetoade fan de gateway en nimmen hoecht in wachtwurd yn platte tekst op skiif te hâlden.

It skriptpaad is goed foar in kiosk, in laboratoariummasine of in plande taak dêr’t gjinien is om te typen. De ruil is dúdlik: jo akseptearje in bewiisstikbestân op skiif foar in ferbining sûnder tafersjoch. As de gateway sertifikaat- of SAML-autentikaasje biedt, is dy ruil meastentiids net de muoite wurdich, want it bestân bestiet allinnich om fregen te beäntwurdzjen dy’t in sterker metoade foarkomme soe.

Mingje de beide net tagelyk op ien masine. De opdrachtregel en de grafyske klient konkurrearje om deselde sesjestatus, en dat is it probleem fan de folgjende seksje.

Wat it antwurdbestân befetsje moat

De klient freget yn oarder — gateway, soms in groepskar, brûkersnamme, wachtwurd en alle bannerbefêstiging. In bestân dat se allegear beäntwurdet sjocht der sa út, mei echte wearden ynfolle:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

De betroubere manier om dat bestân te bouwen is ien kear mei de hân te ferbinen, elke rigel dy’t jo type en elke Enter dy’t jo drukke op te skriuwen, en dan krekt dy folchoarder te reprodusearjen. Ynstallaasjes dy’t de groep en brûkersnamme yn it profyl bewarje, hawwe miskien lege rigels nedich wêr’t dy fregen net mear ferskine, en de lêste rigel hat noch hieltyd syn eigen nije rigel nedich. In bestân dat ien rigel te koart is, hinget meastentiids by de lêste fraach ynstee fan te mislearjen mei in dúdlike flater, en dêrom wurdt it op it netwurk skood. Ferlykje it bestân twa kear mei jo transkripsje, ien kear foar de oarder en ien kear foar de lege rigels.

Hâld it bestân bûten elke syngronisearre map en allinnich lêsber foar it akkount dat de taak útfiert. Dat wachtwurd is platte tekst, dus it bestân is in bewiisstik: gjin repository, gjin dielde skiif, gjin taheaksel yn in ticket. De klient sil jo nearne foar warskôgje.

Wêrom’t de GUI earst gean moat

Begjin it skript troch it GUI-proses te einigjen, en rin dan de CLI út syn eigen ynstallaasjemap, want sawol de wurkmap as de ferzje fan de klient binne fan belang. In yllustrative wrapper:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Utgongskoades binne hjir gjin betrouber súksessinjaal. De klient printsje syn foarútgong en hâldt de tunnel yn in apart proses, dus lês de útjefte foar de rigel fan ferbiningstatus en begjin pas dêrnei it wurk dat fan de VPN ôfhinget.

As jo it deadzjen fan de GUI oerslaan, kin it skript lykje te rinnen wylst de besteande sesje bliuwt yn hokker steat de brûker him ek litten hat. Dat falen liket ûnregelmjittich, en dat is krekt it soarte flater dat in wike fan rieden oerlibbet.

Befêstigje in sesje, nim it net oan

Nei’t it skript weromkomt, kontrolearje iets dat allinnich binnen de tunnel bestiet — in ynterne host of in DNS-suffiks dêr’t allinnich de bedriuwssolver op antwurdet. Lês ek de rigel fan ferbiningstatus yn de útjefte fan de klient en behannelje al it oare as falen ynstee fan in stadich súkses. It bestân opnij rinne litte wylst der al in sesje is, kin de klient heal konfigurearre efterlitte, dus of ferbrek earst, of slaan de oanmelding oer as de sesje der is.

Beslis dan wa’t de werferbining besit. In lus dy’t in yntern adres pinget en de oanmelding opnij útfiert, kin in kiosk moannen online hâlde, en hy kin ek in akkount beskoattelje de earste kear dat it wachtwurd rotearret. Behein it oantal besykjen, alaarmearje as it oer de grins giet, en lit it identiteitsteam it bestân rotearje ynstee fan in ferâldere wachtwurd trochgean te besykjen oant in beskoatteling.

Aldere vpnclient.exe is net itselde ark

Deselde automatisearring ferskynt ûnder in âlder namme, en de beide binne net útwikselber. De ôftanke Cisco IPsec-klient brûkte vpnclient.exe mei ynline-argumenten lykas in connect-tiidwurd, in profylnamme, in brûker en in wachtwurd op ien opdrachtregel; vpncli.exe ferwachtet in folchoarder fan fregen op standertynfier mei -s. Dêrom jout it kopiearjen fan in âld forumskript nei in hjoeddeistige masine in opdracht dy’t rint, neat sichtber docht en de gateway de skuld jout.

Foardat jo arguminten bewurkje, kontrolearje hokker klient ynstallearre is en hokker’t it skript eins oanropt. It ferskil yn namme is lyts genôch om it yn in plande taak te missen, en it is it earste dat ferifiearre wurde moat as in erfd skript nei in upgrade ophâldt te wurkjen.