vpncli -s vs GUI: masuk ke Cisco Secure Client

Cisco Secure Client memberi dua cara menjawab permintaan masuk yang sama: orang yang mengetik di vpnui.exe, atau skrip yang mengalirkan jawaban ke vpncli.exe lewat masukan standar dengan -s. Cara kedua memungkinkan koneksi terjadwal tanpa membaca layar GUI, dan juga mengubah proses masuk menjadi berkas yang harus dilindungi seperti kredensial. Mana yang Anda inginkan bergantung pada ada tidaknya manusia di mesin itu dan seberapa sering kata sandi berotasi. Tidak ada opsi yang mengubah apa yang diminta gerbang, hanya siapa yang menjawab.

Kedua jalur berakhir di terowongan yang sama, jadi perbandingannya soal operasi, bukan protokol.

Dua cara menjawab permintaan yang sama

Jalur GUI interaktif secara desain: klien bertanya, seseorang menjawab, dan sesi hidup selama orang itu membiarkannya. Ini pilihan yang tepat di laptop yang dipakai manusia, karena permintaannya menyesuaikan metode autentikasi gerbang dan tidak ada yang perlu menyimpan kata sandi teks biasa di disk.

Jalur skrip cocok untuk kios, mesin laboratorium, atau tugas terjadwal yang tidak ada orang untuk mengetik. Pertukarannya jelas: Anda menerima berkas kredensial di disk sebagai ganti koneksi tanpa pengawasan. Jika gerbang menawarkan autentikasi sertifikat atau SAML, pertukaran itu biasanya tidak sepadan, karena berkasnya hanya ada untuk menjawab permintaan yang akan dihindari metode yang lebih kuat.

Jangan mencampur keduanya di satu mesin pada saat yang sama. Baris perintah dan klien grafis bersaing untuk keadaan sesi yang sama, dan itu masalah bagian berikutnya.

Apa yang harus dimuat berkas jawaban

Klien bertanya berurutan — gerbang, kadang pemilihan grup, nama pengguna, kata sandi, dan konfirmasi spanduk apa pun. Berkas yang menjawab semuanya terlihat seperti ini, dengan nilai sebenarnya disisipkan:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Cara andal menyusun berkas itu adalah terhubung sekali secara manual, catat setiap baris yang Anda ketik dan setiap penekanan Enter, lalu reproduksi urutan itu dengan tepat. Penerapan yang menyimpan grup dan nama pengguna di profil mungkin perlu baris kosong di tempat permintaan itu tidak lagi muncul, dan baris terakhir tetap butuh baris barunya sendiri. Berkas yang kurang satu baris biasanya menggantung di permintaan terakhir alih-alih gagal dengan galat yang jelas, dan itulah sebabnya jaringan yang disalahkan. Bandingkan berkas dengan transkrip Anda dua kali, sekali untuk urutan dan sekali untuk baris kosong.

Simpan berkas di luar folder tersinkron mana pun dan hanya dapat dibaca akun yang menjalankan tugas. Kata sandi itu teks biasa, jadi berkasnya adalah kredensial: tanpa repositori, tanpa disk bersama, tanpa lampiran di tiket. Klien tidak akan memperingatkan Anda soal ini.

Mengapa GUI harus pergi lebih dulu

Mulai skrip dengan mengakhiri proses GUI, lalu jalankan CLI dari direktori pemasangannya sendiri, karena direktori kerja dan versi klien sama-sama penting. Pembungkus ilustratif:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Kode keluar bukan sinyal sukses yang andal di sini. Klien mencetak kemajuannya dan menyimpan terowongan di proses terpisah, jadi baca keluaran untuk baris status koneksi dan baru setelah itu mulai pekerjaan yang bergantung pada VPN.

Jika Anda melewati pembunuhan GUI, skrip bisa tampak berjalan sementara sesi yang ada tetap pada keadaan yang ditinggalkan pengguna. Kegagalan itu tampak berselang, dan itulah jenis bug yang bertahan melewati sepekan dugaan.

Pastikan sesi, jangan menganggapnya

Setelah skrip kembali, periksa sesuatu yang hanya ada di dalam terowongan — host internal, atau sufiks DNS yang hanya dijawab resolver korporat. Baca juga baris status koneksi di keluaran klien, dan perlakukan apa pun yang lain sebagai kegagalan, bukan sukses yang lambat. Menjalankan ulang berkas saat sesi sudah aktif bisa membuat klien setengah terkonfigurasi, jadi putuskan dulu atau lewati proses masuk saat sesi ada.

Lalu tentukan siapa yang memiliki penyambungan ulang. Perulangan yang mem-ping alamat internal dan menjalankan ulang proses masuk bisa menjaga kios tetap daring berbulan-bulan, dan juga bisa mengunci akun saat kata sandi pertama kali berotasi. Batasi jumlah percobaan, beri peringatan saat terlampaui, dan biarkan tim identitas merotasi berkas alih-alih membiarkan kata sandi basi mencoba ulang sampai terkunci.

vpnclient.exe lama bukan alat yang sama

Otomatisasi yang sama muncul dengan nama yang lebih lama, dan keduanya tidak dapat dipertukarkan. Klien Cisco IPsec yang telah dipensiunkan memakai vpnclient.exe dengan argumen sebaris seperti kata kerja connect, nama profil, pengguna, dan kata sandi pada satu baris perintah; vpncli.exe mengharapkan urutan permintaan pada masukan standar dengan -s. Karena itu menyalin skrip forum lama ke mesin masa kini menghasilkan perintah yang berjalan, tidak melakukan apa pun yang terlihat, dan gerbang yang disalahkan.

Sebelum menyunting argumen apa pun, periksa klien mana yang terpasang dan mana yang benar-benar dipanggil skrip. Perbedaan nama cukup kecil untuk terlewat dalam tugas terjadwal, dan itu hal pertama yang harus diverifikasi ketika skrip warisan berhenti bekerja setelah peningkatan.