AnyConnect ar Linux: an seicheamh logála isteach a scriptiú go sábháilte

Iompraíonn an cliant vpn a thagann le Cisco AnyConnect mar chomhrá: priontálann sé leide, fanann sé le líne, ansin priontálann sé an chéad cheann eile. Má thugann tú an comhrá sin isteach ó chomhad nó ó phíopa, ritheann an dénárach céanna gan mhaoirseacht. Is é an teicníc ná aon atreorú amháin móide liosta ordaithe freagraí, agus is é an liosta, ní an t-atreorú, a shocraíonn an bhfuil an script iontaofa.

Briseann dhá rud é go praiticiúil. Athraíonn ord na leideanna nuair a fhiafraíonn geata rud éigin breise, agus déanann focal faire stóráilte de chlóscríobh amháin glasáil cuntais. Caith leis an seicheamh mar shonraí leaganaithe ar féidir leat iad a chur i gcomparáid tar éis aon athrú geata. Teip go hard in ionad iarracht a dhéanamh arís, mar is é an lúb go beacht an bealach a n-éiríonn focal faire mílitrithe ina chuntas glasáilte.

Aon seicheamh, san ord a n-iarrann an cliant

Rith an cliant go hidirghníomhach uair amháin agus scríobh síos gach leid san ord a bhfeictear é. Tagann an tras-scríbhinn sin chun bheith ina comhad freagraí. Nuair a atreoraíonn tú an comhad isteach sa dénárach, caithfidh an chéad líne a bheith ina hordú ceangail féin, agus is ar an gcúis sin a thosaíonn an seicheamh le hainm óstaigh seachas le hainm úsáideora.

connect vpn.example.com
0
<username>
<password>
y
exit

Roghnaíonn an 0 lom an chéad phróifíl ceangail nuair a thairgeann an geata liosta; úsáid cibé innéacs a phriontálann do gheata. Glacann an y le meirgire logála isteach, mar sin scrios an líne sin mura bhfuil meirgire ann agus cuir isteach líne pé áit a bhfuil do gheata ag cur ceist bhreise. Is é an exit ag an deireadh an rud a ligeann don chliant críochnú go glan nuair a bhíonn an freagra deireanach ídithe.

/opt/cisco/anyconnect/bin/vpn -s < anyconnect.txt

Níl an mód neamh-idirghníomhach roghnach anseo. Gan -s féadfaidh an cliant seilbh a ghlacadh ar an teirminéal agus neamhaird a dhéanamh d'ionchur atreoraithe; leis, léitear na freagraí ón sruth agus filleann an próiseas. San áit a bhfuil pribhléidí arda ag teastáil ón dénárach, fill an glao i sudo -n ionas go dteipfidh an script láithreach in ionad bacadh ar leid focal faire.

Cá sceitheann an comhad freagraí

Is dintiúr é comhad ina bhfuil focal faire, mar sin tabhair ceadanna dintiúir dó: mód 600, faoi úinéireacht an chuntais a ritheann an tasc, agus riamh taobh istigh de chomhadlann roinnte nó sioncronaithe. Cruthaigh é leis an mód curtha i bhfeidhm cheana féin seachas é a shocrú ina dhiaidh sin, mar bíonn comhad inléite go hachomair ag gach duine idir an scríobh agus an chmod.

install -m 600 /dev/null ~/.config/anyconnect.txt
chmod 700 ~/.config

Is é argv an leath eile. Bíonn focal faire a chuirtear mar argóint le feiceáil ag gach úsáideoir áitiúil a dhéanann liosta de phróisis, agus téann sé isteach i stair na sliogála freisin. Léigh ó thuairisceoir comhaid nó ó athróg timpeallachta ina ionad, agus cuir an t-ualach i gcomharthaí athfhriotail ionas nach féidir leis an sliogáil aon rud a leathnú istigh ann.

printf '%s\n' 'connect vpn.example.com' '0' "$VPN_USER" "$VPN_PASS" 'y' 'exit' \
  | sudo -n /opt/cisco/anyconnect/bin/vpn -s

Bí aireach faoi na comharthaí athfhriotail. Taobh istigh de chomharthaí athfhriotail dúbáilte féadfaidh sliogáil idirghníomhach focal faire ina bhfuil ! a leathnú sula bhfeiceann an cliant riamh é, agus tagann an teip mar earráid ghinearálta event-not-found a bhféachann cosúil le fadhb prótacail.

Cruthaigh an tollán, ansin dún é

Ní chruthaíonn staid cheangailte ach go gcreideann an cliant go bhfuil seisiún aige. Roghnaigh óstach nach bhfreagraíonn ach ó thaobh istigh den ghréasán corparáideach agus tástáil uair amháin é sula ndéanann tú aon rud eile. Is locht ródaithe nó beartais é teip ansin, agus ní athróidh rith an logála isteach arís é.

/opt/cisco/anyconnect/bin/vpn state
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 10 https://<internal-host>/
/opt/cisco/anyconnect/bin/vpn disconnect

Seiceáil aschur na staide roimh an dícheangal agus ina dhiaidh. Féadfaidh cliant a fhágtar le seisiún sean an chéad cheangal eile a dhiúltú fad a bhíonn an script fós ag tuairisciú ratha, agus tá an mód teipe sin dofheicthe mura bhféachann tú ach ar chóid scoir. Cuir an dá léamh i gcomparáid seachas muinín a bheith agat as an dara ceann leis féin. Is leor ailiasanna i bpróifíl sliogála le haghaidh úsáide laethúla, ach tá gach rud sceidealaithe tuillte an athbhreithniú céanna ar dhintiúirí agus féiniúlacht agus atá ag aon phost eile gan mhaoirseacht.

Nuair a éiríonn liosta seasta neamhshábháilte

Déanann comhad freagraí ord na leideanna inniu a ionchódú. Déanann meirgire athraithe, athrú focal faire éigeantach nó dúshlán dara fachtóra lúb de a fhéadfaidh an cuntas a ghlasáil, agus is ar an gcúis sin a chaithfidh an script éirí as ag an gcéad fhreagra gan choinne seachas atosú.

Gabhadh an méid a phriontáil an cliant, cuir stádas neamh-nialasach ar ais agus fág an cinneadh ag an nglaoiteoir. San áit a n-éilíonn an geata dara fachtóir, is é an freagra macánta ná nach bhfuil logáil isteach gan mhaoirseacht ar fáil don phróifíl sin, ní go bhfuil líne amháin eile ag teastáil ón seicheamh.

Baineann rothlú leis an athbhreithniú céanna. Má stóráiltear an dintiúr, socraigh cé a fhéadfaidh é a léamh, cathain a athraíonn sé agus cad a bhaineann é nuair a atógfar an t-óstach. Ní dearadh é script a oibríonn ar feadh bliana mar nár thóg aon duine an focal faire, is timpiste é ag fanacht le beartas rothlaithe.

Próifílí nach AnyConnect iad

Cuirtear dhá stíl dintiúra Cisco níos sine trí chéile leis an gceann seo. Iarrann próifíl vpnc IPSec ID, arb é ainm an ghrúpa go fírinneach é, ansin rún grúpa, ansin do dhintiúir féin, agus tagann an triúr ón té a ritheann an geata. Is prótacal difriúil ó AnyConnect é Cisco IPsec oidhreachta, mar sin ní féidir le vpnc seirbhís nach bhfuil ach AnyConnect a bhaint amach; is é openconnect --protocol=anyconnect an cliant oscailte don obair sin.

Déanann comhad .pcf cur síos ar an bpróifíl cliaint níos sine. Is féidir an t-óstach, ainm an ghrúpa agus focal faire an ghrúpa atá ann a athiontráil de láimh i gcliant a labhraíonn Cisco IPsec, cé nach allmhairiú uilíoch é an comhad agus go n-imíonn aon phort nó mód tollánaithe neamh-réamhshocraithe san aistriú de ghnáth.

Tosaigh ón méid a thairgeann an geata i ndáiríre, ansin roghnaigh an cliant a labhraíonn an prótacal sin. Is é cóipeáil próifíle ó shuíomh eile an bealach a gcríochnaíonn daoine ag dífhabhtú dintiúirí nárbh fhadhb riamh iad.