vpncli -s kontra a GUI: bejelentkezés a Cisco Secure Clientbe

A Cisco Secure Client két módot ad ugyanazokra a bejelentkezési kérésekre válaszolni: egy ember gépel a vpnui.exe ablakba, vagy egy szkript válaszokat küld a vpncli.exe programnak a szabványos bemeneten keresztül a -s kapcsolóval. A második ütemezett kapcsolatokat tesz lehetővé anélkül, hogy a GUI képernyőjét olvasnánk, és a bejelentkezést olyan fájllá alakítja, amelyet hitelesítő adatként kell védeni. Hogy melyiket akarja, attól függ, van-e ember a gépnél, és milyen gyakran cserélődik a jelszó. Egyik lehetőség sem változtat azon, mit kér az átjáró, csak azon, ki válaszol.

Mindkét útvonal ugyanabban az alagútban végződik, tehát az összehasonlítás az üzemeltetésről szól, nem a protokollról.

Két mód ugyanazokra a kérésekre válaszolni

A GUI útvonala tervezésénél fogva interaktív: a kliens kérdez, valaki válaszol, és a munkamenet addig él, amíg az az ember békén hagyja. Ez a helyes választás ember által használt laptopon, mert a kérések alkalmazkodnak az átjáró hitelesítési módszeréhez, és senkinek nem kell sima szövegben jelszót tartania a lemezen.

A szkript útvonala kioszkhoz, laboratóriumi géphez vagy ütemezett feladathoz való, ahol nincs, aki gépeljen. A csere egyértelmű: elfogad egy hitelesítőadat-fájlt a lemezen a felügyelet nélküli kapcsolatért cserébe. Ha az átjáró tanúsítványos vagy SAML-hitelesítést kínál, ez a csere általában nem éri meg, mert a fájl csak olyan kérések megválaszolására létezik, amelyeket egy erősebb módszer elkerülne.

Ne keverje a kettőt ugyanazon a gépen egyszerre. A parancssor és a grafikus kliens ugyanazért a munkamenet-állapotért verseng, és ez a következő szakasz problémája.

Mit kell tartalmaznia a válaszfájlnak

A kliens sorrendben kérdez — átjáró, néha csoportválasztás, felhasználónév, jelszó és bármilyen szalagcím-nyugtázás. Az a fájl, amely mindegyikre válaszol, így néz ki, valódi értékekkel behelyettesítve:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

A fájl megbízható felépítésének módja, hogy egyszer kézzel csatlakozik, felírja minden begépelt sort és minden Entert, majd pontosan megismétli azt a sorrendet. Azoknál a telepítéseknél, amelyek a csoportot és a felhasználónevet a profilban tárolják, üres sorokra lehet szükség ott, ahol ezek a kérések már nem jelennek meg, és az utolsó sornak továbbra is kell saját sortörés. Az egy sorral rövidebb fájl általában az utolsó kérésnél akad el ahelyett, hogy világos hibával bukna el, és ezért a hálózatot okolják. Hasonlítsa össze a fájlt a saját jegyzetével kétszer, egyszer a sorrend, egyszer az üres sorok miatt.

Tartsa a fájlt minden szinkronizált mappán kívül, és csak a feladatot futtató fiók olvashassa. Az a jelszó sima szöveg, tehát a fájl hitelesítő adat: se tároló, se megosztott lemez, se melléklet egy jegyben. A kliens semmiről nem fog figyelmeztetni.

Miért kell a GUI-nak előbb eltűnnie

A szkriptet a GUI-folyamat leállításával kezdje, majd futtassa a CLI-t a saját telepítési könyvtárából, mert a munkakönyvtár és a kliens verziója is számít. Szemléltető burkoló:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

A kilépési kódok itt nem megbízható sikerjelzés. A kliens kiírja a haladását, és az alagutat külön folyamatban tartja, ezért olvassa ki a kimenetből a kapcsolat állapotsorát, és csak azután kezdje el a VPN-től függő munkát.

Ha kihagyja a GUI leállítását, a szkript úgy tűnhet, hogy fut, miközben a meglévő munkamenet abban az állapotban marad, amelyben a felhasználó hagyta. Ez a hiba szakaszosnak látszik, és pontosan ez az a fajta hiba, amely túlél egy hét találgatást.

Erősítsen meg egy munkamenetet, ne feltételezze

Miután a szkript visszatér, ellenőrizzen valamit, ami csak az alagútban létezik — egy belső gazdagépet vagy olyan DNS-utótagot, amelyre csak a vállalati feloldó válaszol. Olvassa ki a kliens kimenetéből a kapcsolat állapotsorát is, és minden mást kezeljen hibaként, ne lassú sikerként. A fájl újrafuttatása már futó munkamenet mellett félkész konfigurációt hagyhat, ezért vagy előbb bontsa a kapcsolatot, vagy hagyja ki a bejelentkezést, ha a munkamenet jelen van.

Utána döntse el, ki felel az újracsatlakozásért. Egy hurok, amely belső címre pingel és újrafuttatja a bejelentkezést, hónapokig online tarthat egy kioszkot, és első jelszócserekor zárolhat egy fiókot is. Korlátozza a kísérletek számát, riasszon, ha túllépi, és hagyja, hogy az identitáscsapat cserélje a fájlt, ahelyett hogy egy elavult jelszó zárolásig próbálkozna.

A régebbi vpnclient.exe nem ugyanaz az eszköz

Ugyanaz az automatizálás régebbi néven jelenik meg, és a kettő nem felcserélhető. A kivont Cisco IPsec kliens a vpnclient.exe programot használta soron belüli argumentumokkal, például connect igével, profilnévvel, felhasználóval és jelszóval egyetlen parancssorban; a vpncli.exe viszont kérések sorozatát várja a szabványos bemeneten a -s kapcsolóval. Ezért egy régi fórumparancsfájl mai gépre másolása olyan parancsot ad, amely lefut, semmi láthatót nem tesz, és az átjárót okolják érte.

Mielőtt bármely argumentumot szerkesztene, ellenőrizze, melyik kliens van telepítve, és melyiket hívja valójában a szkript. A névkülönbség elég kicsi ahhoz, hogy egy ütemezett feladatban elvesszen, és ez az első dolog, amit ellenőrizni kell, amikor egy örökölt szkript frissítés után leállt.