vpncli -s жана GUI: Cisco Secure Client'ке кирүү

Cisco Secure Client бирдей кирүү суроолоруна жооп берүүнүн эки жолун сунуштайт: vpnui.exe ичине терип жаткан адам же -s менен стандарттык киргизүү аркылуу жоопторду vpncli.exe программасына жөнөткөн скрипт. Экинчи жол GUI экранын окубастан эле пландалган туташууларды мүмкүн кылат жана кирүүнү күбөлүк катары коргоого тийиш файлга айландырат. Кайсынысы керек экени машинанын жанында адам бар-жогуна жана сырсөз канчалык тез алмашып турарына байланыштуу. Эки вариант тең шлюз эмнени сураарын өзгөртпөйт, ким жооп берерин гана өзгөртөт.

Эки жол тең бир эле туннелде бүтөт, ошондуктан салыштыруу протокол жөнүндө эмес, иштетүү жөнүндө.

Бирдей суроолорго жооп берүүнүн эки жолу

GUI жолу табиятынан интерактивдүү: клиент сурайт, бирөө жооп берет жана ал адам аны тынч койгонго чейин сессия жашайт. Адам колдонгон ноутбукта бул туура тандоо, анткени суроолор шлюздун аутентификация ыкмасына ылайыкташат жана эч ким дискте ачык текст менен сырсөз кармоого мажбур эмес.

Скрипт жолу киоскке, лабораториялык машинага же тере турган адам жок пландалган тапшырмага ылайыктуу. Алмашуу ачык: көзөмөлсүз туташуу үчүн дисктеги күбөлүк файлын кабыл аласыз. Эгер шлюз сертификат же SAML аутентификациясын сунуштаса, бул алмашуу адатта татыктуу эмес, анткени файл күчтүүрөөк ыкма болтурбай турган суроолорго жооп берүү үчүн гана бар.

Экөөнү бир машинада бир убакта аралаштырбаңыз. Буйрук сабы жана графикалык клиент бир эле сессия абалы үчүн атаандашат, жана бул кийинки бөлүмдүн маселеси.

Жооп файлында эмне болушу керек

Клиент ирети менен сурайт — шлюз, кээде топ тандоо, колдонуучу аты, сырсөз жана ар кандай баннер ырастоосу. Алардын баарына жооп берген файл мындай көрүнөт, чыныгы маанилер коюлуп:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Бул файлды түзүүнүн ишенимдүү жолу — бир жолу кол менен туташып, терген ар бир сапты жана баскан ар бир Enter'ди жазып алуу, анан ошол ырааттуулукту так кайталоо. Топ менен колдонуучу атын профилде сактаган жайгаштырууларга бул суроолор мындан ары көрүнбөгөн жерлерде бош саптар керек болушу мүмкүн, ал эми акыркы сапка дагы эле өзүнүн сап алмашуусу керек. Бир сабы жетишпеген файл адатта так ката менен ийгиликсиз болуунун ордуна акыркы суроодо илинип калат, ошондуктан күнөө тармакка тагылат. Файлды өз жазууңуз менен эки жолу салыштырыңыз, бир жолу ирети үчүн, бир жолу бош саптар үчүн.

Файлды ар кандай синхрондоштурулуучу папкадан тышкары кармаңыз жана аны тапшырманы аткарган эсеп гана окуй алсын. Бул сырсөз ачык текст, ошондуктан файл күбөлүк: камдык жок, жалпы диск жок, билетке тиркеме жок. Клиент сизди булардын эч бири жөнүндө эскертпейт.

Эмне үчүн GUI биринчи кетиши керек

Скриптти GUI процессин бүтүрүү менен баштаңыз, анан CLI'ни анын өз орнотуу папкасынан иштетиңиз, анткени жумуш папкасы да, клиенттин версиясы да маанилүү. Мисал кабык:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Чыгуу коддору бул жерде ишенимдүү ийгилик белгиси эмес. Клиент өзүнүн жүрүшүн басып чыгарат жана туннелди өзүнчө процессте кармайт, ошондуктан чыгуудан туташуу абалынын сабын окуп, андан кийин гана VPN'ге көз каранды ишти баштаңыз.

Эгер GUI'ни өлтүрүүнү өткөрүп жиберсеңиз, скрипт иштеп жаткандай көрүнүшү мүмкүн, ал эми бар сессия колдонуучу калтырган абалда калат. Бул бузулуу үзгүлтүктүү болуп көрүнөт, жана дал ушундай ката бир жумалык божомолго чыдайт.

Сессияны ырастаңыз, аны божомолдобоңуз

Скрипт кайткандан кийин туннелдин ичинде гана бар нерсени текшериңиз — ички хост же корпоративдик чечүүчү гана жооп берген DNS уландысы. Клиенттин чыгуусундагы туташуу абалынын сабын да окуңуз жана калган нерсенин баарын жай ийгилик эмес, ийгиликсиздик деп эсептеңиз. Сессия мурунтан ачык турганда файлды кайра иштетүү клиентти жарым конфигурацияланган абалда калтырышы мүмкүн, ошондуктан адегенде ажыратыңыз же сессия бар болгондо кирүүнү өткөрүп жибериңиз.

Анан кайра туташуу кимдин жоопкерчилигинде экенин чечиңиз. Ички дарекке пинг жасап, кирүүнү кайра иштеткен цикл киоскту айлар бою онлайн кармай алат, ошондой эле сырсөз биринчи жолу алмашканда эсепти кулпулашы мүмкүн. Аракеттердин санын чектеңиз, чектен ашканда эскертиңиз жана эскирген сырсөз кулпулоого чейин кайталай берүүнүн ордуна идентификация тобу файлды алмаштырсын.

Эски vpnclient.exe — ошол эле курал эмес

Ошол эле автоматташтыруу эскирээк ат менен кездешет жана экөө бирин-бирин алмаштырбайт. Пайдалануудан чыгарылган Cisco IPsec клиенти vpnclient.exe куралын бир буйрук сабында connect этиши, профиль аты, колдонуучу жана сырсөз сыяктуу ички аргументтер менен колдонгон, ал эми vpncli.exe стандарттык киргизүүдө -s менен суроолордун ырааттуулугун күтөт. Ошондуктан эски форум скриптин бүгүнкү машинага көчүрүү иштеген, эч нерсе көрүнбөгөн жана күнөөсү шлюзга тагылган буйрукту жаратат.

Ар кандай аргументти оңдоодон мурун кайсы клиент орнотулганын жана скрипт чындыгында кайсынысын чакырганын текшериңиз. Ат айырмасы пландалган тапшырмада байкалбай калгыдай кичине, жана мураска калган скрипт жаңыртуудан кийин иштебей калганда эң алды менен текшерүү керек болгон нерсе ушул.