vpncli が Windows で動かない？Cisco Secure Client を正しく起動する

Windows のコマンド プロンプトで vpncli と入力すると「認識されません」というエラーになるか、ウィンドウが開いたまま予期しない質問で止まります。どちらの症状も通常は同じ原因から来ます。マシンに複数の Cisco VPN クライアント系統がインストールされており、実行したコマンドが間違った系統のものなのです。解決策は、Secure Client に同梱される実行ファイルを起動し、その後でゲートウェイが実際に送るプロンプトに答えることです。

症状は 二つの異なるクライアントを指す

Cisco Secure Client には vpncli.exe という Windows のコマンドライン インターフェイスが含まれます。旧 Cisco IPsec VPN Client は別のプログラム vpnclient.exe を提供し、コマンドもパスワード スイッチも異なっていました。両者を混ぜた解説は、もっともらしく見えてすぐ失敗するコマンドを生みます。インストール済みのプログラム フォルダが、両者を見分ける最短の方法です。

vpncli が PATH にないことは、コンポーネントが欠けている証拠ではありません。インストーラーがフォルダを PATH に追加しないだけなので、実行ファイルを完全なパスで呼び出します。

Secure Client に属する実行ファイルを起動する

Secure Client 5.x のインストールでは、文書化されている場所は Program Files (x86) 配下の Secure Client フォルダです。PowerShell ではパスに空白があるため呼び出し演算子が必要です：& 'C:\Program Files (x86)\Cisco\Cisco Secure Client\vpncli.exe'。そのファイルがない場合は、不足を埋めるために旧クライアントをダウンロードするのではなく、インストール済みのバージョンとそのフォルダを確認してください。

cmd.exe からは同じパスを呼び出し演算子なしで実行できますが、引用符は依然として必要です。どちらか一方のシェルを選んで使い続けてください。両者は引用符の扱いが異なり、ネット上の失敗例の半分は引用符の問題です。

接続し、ゲートウェイが求める内容に答える

クライアントのプロンプトで、承認済みのゲートウェイまたは設定済みのエイリアスに接続します：connect vpn.example.com。例は自分のホスト名に置き換えてください。次にクライアントは、配備が必要とする資格情報を求めます。証明書の選択、トークン コード、第二要素が含まれることがあります。各プロンプトには表示された順に答えてください。

Cisco の文書化された例には、明示的な応答を求めるバナーも示されています。そのため、ユーザー名とパスワードだけを渡すスクリプトはそのバナーで止まることがあります。次のプロンプトがパスワードだと決めつけず、画面の質問を読んでください。

信頼する前にセッションを確認する

接続が確立すると、stats はゲートウェイ、割り当てられたアドレス、プロトコル、継続時間といったセッション情報を出力します。意図した内部リソースも 一つ確認してください。ルート、DNS、アプリケーション権限が作業を満たすと証明する前に、セッションは既に存在するからです。セッションが有効なうちに割り当てアドレスを記録します。

VPN セッションを終えるときは disconnect を、対話型 CLI を離れるときは quit を実行します。両者は同義ではなく、ウィンドウを閉じることもどちらの文書化された代替手段でもありません。

自動化は別の判断である

ターミナルでログインできても、スケジュールされたタスクが同じ認証を完了できるとは限りません。必要な ID、実行アカウント、証明書へのアクセス、ユーザー操作を、セッションをバックグラウンド ジョブに変える前に書き留めてください。配備がブラウザー サインインや承認を必要とする場合は、プロンプトを障害とみなすのではなく、サポートされるワークフローを運用担当者と確認してください。

パスワードをコマンド ラインに直接書く古い例を流用しないでください。対話型の会話に流し込む固定行は、ゲートウェイが質問を変えた時点で壊れます。スクリプトに保存された資格情報は、書かれるのを待っている指摘事項です。Cisco CLI リファレンスには、このクライアントでサポートされるコマンドが記載されています。

ログインに失敗したときは、クライアントのバージョン、ゲートウェイ、時刻、秘密でないエラー テキストを残してください。この四つがあれば、間違った実行ファイル、認証の拒否、接続済みだがアプリケーションに届かないセッションを切り分けられます。