vpncli -s GUI-ს წინააღმდეგ: შესვლა Cisco Secure Client-ში

Cisco Secure Client გაძლევთ ერთი და იმავე შესვლის მოთხოვნებზე პასუხის გაცემის ორ გზას: ადამიანი აკრეფს vpnui.exe-ში, ან სკრიპტი პასუხებს -s-ის გამოყენებით სტანდარტული შეყვანით უგზავნის vpncli.exe-ს. მეორე გზა შესაძლებელს ხდის დაგეგმილ კავშირებს GUI-ის ეკრანის წაკითხვის გარეშე და ასევე აქცევს შესვლას ფაილად, რომელიც სერტიფიკატივად უნდა დავიცვათ. რომელი გინდათ, დამოკიდებულია იმაზე, არის თუ არა მანქანასთან ადამიანი და რამდენად ხშირად იცვლება პაროლი. არც ერთი ვარიანტი არ ცვლის იმას, რასაც კარიბჭე ითხოვს, მხოლოდ იმას, ვინ პასუხობს.

ორივე გზა ერთსა და იმავე გვირაბში მთავრდება, ამიტომ შედარება ეხება ექსპლუატაციას და არა პროტოკოლს.

ერთი და იმავე მოთხოვნებზე პასუხის ორი გზა

GUI-ის გზა ინტერაქტიულია ბუნებით: კლიენტი იკითხავს, ვიღაც პასუხობს და სესია ცოცხლობს მანამ, სანამ ის ადამიანი მას მარტო დატოვებს. ეს სწორი არჩევანია ადამიანის მიერ გამოყენებულ ლეპტოპზე, რადგან მოთხოვნები კარიბჭის ავთენტიფიკაციის მეთოდს ერგება და არავის უწევს დისკზე ღია ტექსტით პაროლის შენახვა.

სკრიპტის გზა შესაფერისია კიოსკისთვის, ლაბორატორიული მანქანისთვის ან დაგეგმილი ამოცანისთვის, სადაც საბეჭდად არავინ არის. გაცვლა ნათელია: უყურადღებო კავშირის სანაცვლოდ იღებთ სერტიფიკატივის ფაილს დისკზე. თუ კარიბჭე გთავაზობთ სერტიფიკატით ან SAML ავთენტიფიკაციას, ეს გაცვლა ჩვეულებრივ არ ღირს, რადგან ფაილი არსებობს მხოლოდ იმ მოთხოვნებზე პასუხისთვის, რომლებსაც უფრო ძლიერი მეთოდი აირიდებდა.

არ აურიოთ ეს ორი ერთ მანქანაზე ერთდროულად. ბრძანების სტრიქონი და გრაფიკული კლიენტი ერთი და იმავე სესიის მდგომარეობისთვის ეჯიბრებიან, და ეს შემდეგი ნაწილის პრობლემაა.

რა უნდა შეიცავდეს პასუხების ფაილი

კლიენტი რიგრიგობით იკითხავს — კარიბჭე, ზოგჯერ ჯგუფის არჩევა, მომხმარებლის სახელი, პაროლი და ნებისმიერი ბანერის დადასტურება. ფაილი, რომელიც ყველა მათგანს პასუხობს, ასე გამოიყურება, რეალური მნიშვნელობებით ჩასმული:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

ამ ფაილის აგების საიმედო გზაა ერთხელ ხელით დაკავშირება, ყოველი აკრეფილი სტრიქონისა და ყოველი Enter-ის ჩაწერა, შემდეგ კი ზუსტად იმ თანმიმდევრობის გამეორება. განლაგებებს, რომლებიც ჯგუფსა და მომხმარებლის სახელს პროფილში ინახავენ, შეიძლება დასჭირდეს ცარიელი სტრიქონები იქ, სადაც ეს მოთხოვნები აღარ ჩანს, და ბოლო სტრიქონს მაინც სჭირდება საკუთარი ახალი სტრიქონი. ერთი სტრიქონით ნაკლები ფაილი ჩვეულებრივ ბოლო მოთხოვნაზე ჩერდება და არა მკაფიო შეცდომით მარცხდება, ამიტომაც მას ქსელს აბრალებენ. შეადარეთ ფაილი თქვენს ჩანაწერს ორჯერ, ერთხელ რიგისთვის და ერთხელ ცარიელი სტრიქონებისთვის.

შეინახეთ ფაილი ნებისმიერი სინქრონიზებული საქაღალდის გარეთ და წაკითხვადი იყოს მხოლოდ იმ ანგარიშისთვის, რომელიც ამოცანას ასრულებს. ეს პაროლი ღია ტექსტია, ამიტომ ფაილი სერტიფიკატივია: არც საცავი, არც საერთო დისკი, არც დანართი ბილეთში. კლიენტი ამაზე არაფერს გაფრთხილებთ.

რატომ უნდა წავიდეს GUI პირველი

დაიწყეთ სკრიპტი GUI-ის პროცესის დასრულებით, შემდეგ გაუშვით CLI მისივე ინსტალაციის საქაღალდიდან, რადგან მნიშვნელოვანია როგორც სამუშაო საქაღალდე, ისე კლიენტის ვერსია. საილუსტრაციო გარსი:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

გამოსვლის კოდები აქ წარმატების საიმედო ნიშანი არ არის. კლიენტი ბეჭდავს პროგრესს და გვირაბს ცალკე პროცესში ინახავს, ამიტომ წაიკითხეთ გამოტანაში კავშირის მდგომარეობის სტრიქონი და მხოლოდ ამის შემდეგ დაიწყეთ VPN-ზე დამოკიდებული სამუშაო.

თუ გამოტოვებთ GUI-ის მოკვლას, სკრიპტი შეიძლება მუშაობად გამოიყურებოდეს, სანამ არსებული სესია იმ მდგომარეობაში რჩება, რომელშიც მომხმარებელმა დატოვა. ეს ხარვეზი წყვეტილად გამოიყურება და სწორედ ისეთი შეცდომაა, რომელიც ერთი კვირის ვარაუდს გადაურჩება.

დაადასტურეთ სესია, ნუ ჩათვლით მას

სკრიპტის დაბრუნების შემდეგ შეამოწმეთ ისეთი რამ, რაც მხოლოდ გვირაბის შიგნით არსებობს — შიდა ჰოსტი ან DNS სუფიქსი, რომელზეც მხოლოდ კორპორატიული ამომხსნელი პასუხობს. ასევე წაიკითხეთ კავშირის მდგომარეობის სტრიქონი კლიენტის გამოტანაში და ყველაფერი სხვა მარცხად ჩათვალეთ და არა ნელი წარმატებად. ფაილის ხელახლა გაშვებამ, როცა სესია უკვე აწეულია, შეიძლება კლიენტი ნახევრად კონფიგურირებული დატოვოს, ამიტომ ან ჯერ გათიშეთ ან გამოტოვეთ შესვლა, როცა სესია არსებობს.

შემდეგ გადაწყვიტეთ, ვის ეკუთვნის ხელახალი დაკავშირება. ციკლი, რომელიც შიდა მისამართს პინგავს და შესვლას ხელახლა უშვებს, შეიძლება კიოსკი თვეების განმავლობაში ონლაინში შეინახოს და ასევე შეიძლება ანგარიში ჩაკეტოს პაროლის პირველივე შეცვლისას. შეზღუდეთ ცდების რაოდენობა, გააფრთხილეთ ლიმიტის გადაჭარბებისას და ნება მიეცით ვინაობის გუნდს შეცვალოს ფაილი იმის ნაცვლად, რომ ძველმა პაროლმა ჩაკეტვამდე გაიმეოროს მცდელობები.

ძველი vpnclient.exe იგივე ხელსაწყო არ არის

იგივე ავტომატიზაცია უფრო ძველი სახელით ჩნდება და ორივე ურთიერთშემცვლელი არ არის. გაუქმებული Cisco IPsec კლიენტი იყენებდა vpnclient.exe-ს სტრიქონში ჩაშენებული არგუმენტებით, როგორიცაა connect ზმნა, პროფილის სახელი, მომხმარებელი და პაროლი ერთ ბრძანების სტრიქონზე, vpncli.exe კი სტანდარტულ შეყვანაზე -s-ით მოთხოვნების თანმიმდევრობას ელოდება. ამიტომ ძველი ფორუმის სკრიპტის დღევანდელ მანქანაზე კოპირება ქმნის ბრძანებას, რომელიც სრულდება, არაფერ შესამჩნევს არ აკეთებს, და ბრალს კარიბჭე იღებს.

სანამ რომელიმე არგუმენტს შეცვლით, შეამოწმეთ რომელი კლიენტია დაინსტალირებული და რომელს იძახებს სკრიპტი სინამდვილეში. სახელების სხვაობა საკმარისად მცირეა, რომ დაგეგმილ ამოცანაში გამოგვრჩეს, და ეს პირველია, რაც უნდა გადამოწმდეს, როცა მემკვიდრეობით მიღებული სკრიპტი განახლების შემდეგ შეწყვიტა მუშაობა.