vpncli -s prieš GUI: prisijungimas prie Cisco Secure Client

Cisco Secure Client siūlo du būdus atsakyti į tuos pačius prisijungimo raginimus: žmogus, rašantis vpnui.exe lauke, arba scenarijus, kuris atsakymus per standartinę įvestį su -s perduoda vpncli.exe programai. Antrasis leidžia vykdyti suplanuotus prisijungimus nenuskaitant GUI ekrano, be to, prisijungimą paverčia failu, kurį reikia saugoti kaip prisijungimo duomenis. Kurį pasirinkti, priklauso nuo to, ar prie įrenginio yra žmogus, ir nuo to, kaip dažnai keičiamas slaptažodis. Nė vienas variantas nekeičia to, ko prašo tarpinė, tik tai, kas atsako.

Abu keliai baigiasi tame pačiame tunelyje, todėl palyginimas yra apie eksploataciją, o ne apie protokolą.

Du būdai atsakyti į tuos pačius raginimus

GUI kelias yra interaktyvus iš prigimties: klientas klausia, kas nors atsako, o sesija gyvuoja tol, kol tas žmogus ją palieka ramybėje. Tai teisingas pasirinkimas nešiojamame kompiuteryje, kuriuo naudojasi žmogus, nes raginimai prisitaiko prie tarpinės autentifikavimo metodo, ir niekam nereikia laikyti slaptažodžio atviru tekstu diske.

Scenarijaus kelias tinka kioskui, laboratorijos kompiuteriui arba suplanuotai užduočiai, kur nėra kam rašyti. Mainai aiškūs: priimate prisijungimo duomenų failą diske mainais už priežiūros nereikalaujantį ryšį. Jei tarpinė siūlo sertifikato arba SAML autentifikavimą, tokie mainai paprastai neapsimoka, nes failas egzistuoja tik tam, kad atsakytų į raginimus, kurių stipresnis metodas išvengtų.

Nemaišykite abiejų tame pačiame kompiuteryje vienu metu. Komandinė eilutė ir grafinis klientas varžosi dėl tos pačios sesijos būsenos, ir tai jau kito skyriaus problema.

Ką turi turėti atsakymų failas

Klientas klausia iš eilės — tarpinė, kartais grupės pasirinkimas, naudotojo vardas, slaptažodis ir bet koks reklaminės juostos patvirtinimas. Failas, atsakantis į visa tai, atrodo taip, su įrašytomis tikromis reikšmėmis:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Patikimas būdas sukurti tokį failą yra vieną kartą prisijungti rankiniu būdu, užsirašyti kiekvieną įrašytą eilutę ir kiekvieną paspaustą Enter, o paskui tiksliai atkartoti tą seką. Diegimai, kurie grupę ir naudotojo vardą saugo profilyje, gali prireikti tuščių eilučių ten, kur tie raginimai nebepasirodo, o paskutinei eilutei vis tiek reikia savo naujos eilutės. Failas, kuriam trūksta vienos eilutės, paprastai užstringa prie paskutinio raginimo, o ne nepavyksta su aiškia klaida, ir dėl to kaltinamas tinklas. Palyginkite failą su savo užrašais du kartus: vieną kartą dėl eilės tvarkos, kitą — dėl tuščių eilučių.

Laikykite failą už bet kurio sinchronizuojamo aplanko ribų, ir tegul jį skaito tik užduotį vykdanti paskyra. Tas slaptažodis yra atviras tekstas, todėl failas yra prisijungimo duomenys: jokios saugyklos, jokio bendro disko, jokio priedo užduotyje. Klientas apie nieką iš to neįspės.

Kodėl GUI turi pasitraukti pirmas

Pradėkite scenarijų baigdami GUI procesą, tada paleiskite CLI iš jo paties diegimo katalogo, nes svarbūs ir darbo katalogas, ir kliento versija. Iliustracinis apvalkalas:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Išėjimo kodai čia nėra patikimas sėkmės signalas. Klientas spausdina savo eigą, o tunelį laiko atskirame procese, todėl skaitykite išvestyje ryšio būsenos eilutę ir tik tada pradėkite nuo VPN priklausantį darbą.

Jei praleisite GUI užbaigimą, scenarijus gali atrodyti veikiantis, o esama sesija liks tokioje būsenoje, kokioje naudotojas ją paliko. Toks gedimas atrodo protarpinis, ir būtent tokios klaidos išgyvena savaitę spėlionių.

Patvirtinkite sesiją, o ne manykite ją esant

Kai scenarijus grįžta, patikrinkite tai, kas egzistuoja tik tunelio viduje — vidinį mazgą arba DNS priesagą, į kurią atsako tik įmonės resolveris. Taip pat perskaitykite kliento išvestyje ryšio būsenos eilutę, o visa kita laikykite nesėkme, o ne lėtu pasisekimu. Pakartotinis failo paleidimas, kai sesija jau aktyvi, gali palikti klientą pusiau sukonfigūruotą, todėl arba pirmiausia atsijunkite, arba praleiskite prisijungimą, kai sesija yra.

Tada nuspręskite, kam priklauso pakartotinis prisijungimas. Ciklas, kuris pingina vidinį adresą ir iš naujo paleidžia prisijungimą, gali mėnesius išlaikyti kioską tinkle, bet taip pat gali užrakinti paskyrą pirmą kartą pasikeitus slaptažodžiui. Apribokite bandymų skaičių, įspėkite, kai jis viršijamas, ir leiskite tapatybės komandai pakeisti failą, o ne palikti pasenusį slaptažodį, kuris kartotų bandymus iki užrakinimo.

Senas vpnclient.exe nėra tas pats įrankis

Ta pati automatizacija pasirodo su senesniu pavadinimu, ir abu nėra sukeičiami. Išleistas Cisco IPsec klientas naudojo vpnclient.exe su eilutėje esančiais argumentais, tokiais kaip connect veiksmažodis, profilio pavadinimas, naudotojas ir slaptažodis vienoje komandinėje eilutėje; o vpncli.exe tikisi raginimų sekos standartinėje įvestyje su -s. Todėl seno forumo scenarijaus nukopiavimas į dabartinį kompiuterį sukuria komandą, kuri paleidžiama, nieko matomo nedaro ir kaltė tenka tarpinei.

Prieš redaguodami bet kurį argumentą, patikrinkite, kuris klientas įdiegtas ir kurį scenarijus iš tikrųjų kviečia. Pavadinimų skirtumas pakankamai mažas, kad būtų praleistas suplanuotoje užduotyje, ir tai pirmas dalykas, kurį reikia patikrinti, kai paveldėtas scenarijus nustojo veikti po atnaujinimo.