vpncli -s pret GUI: pierakstīšanās Cisco Secure Client

Cisco Secure Client piedāvā divus veidus, kā atbildēt uz tiem pašiem pierakstīšanās vaicājumiem: cilvēks, kas raksta vpnui.exe, vai skripts, kas atbildes caur standarta ievadi ar -s padevi vpncli.exe. Otrais ļauj veikt plānotus savienojumus, nelasot GUI ekrānu, un pārvērš pierakstīšanos failā, kas jāsargā kā akreditācijas dati. Kuru izvēlēties, atkarīgs no tā, vai pie mašīnas ir cilvēks, un no tā, cik bieži mainās parole. Neviens variants nemaina to, ko prasa vārteja, tikai to, kas atbild.

Abi ceļi beidzas vienā tunelī, tāpēc salīdzinājums ir par ekspluatāciju, nevis protokolu.

Divi veidi, kā atbildēt uz tiem pašiem vaicājumiem

GUI ceļš pēc būtības ir interaktīvs: klients jautā, kāds atbild, un sesija dzīvo, kamēr tas cilvēks to atstāj mierā. Tas ir pareizā izvēle klēpjdatorā, ko lieto cilvēks, jo vaicājumi pielāgojas vārtejas autentifikācijas metodei un nevienam nav diskā jātur parole atklātā tekstā.

Skripta ceļš ir piemērots kioskam, laboratorijas mašīnai vai plānotam uzdevumam, kur nav neviena, kas rakstītu. Maiņa ir skaidra: jūs pieņemat akreditācijas datu failu diskā pret uzraudzību neprasošu savienojumu. Ja vārteja piedāvā sertifikāta vai SAML autentifikāciju, šī maiņa parasti nav tā vērta, jo fails pastāv tikai tāpēc, lai atbildētu uz vaicājumiem, kurus spēcīgāka metode izvairītos.

Nejauc abus vienā mašīnā vienlaikus. Komandrinda un grafiskais klients sacenšas par vienu un to pašu sesijas stāvokli, un tā ir nākamās sadaļas problēma.

Kas jāsatur atbilžu failam

Klients jautā pēc kārtas — vārteja, dažreiz grupas izvēle, lietotājvārds, parole un jebkurš reklāmjoslas apstiprinājums. Fails, kas atbild uz visu to, izskatās šādi, ar ievietotām īstajām vērtībām:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Uzticamais veids, kā izveidot šo failu, ir vienreiz pieslēgties ar roku, pierakstīt katru ievadīto rindu un katru Enter nospiedumu, un pēc tam precīzi atkārtot šo secību. Izvietojumiem, kas grupu un lietotājvārdu glabā profilā, var būt vajadzīgas tukšas rindas tur, kur šie vaicājumi vairs neparādās, un pēdējai rindai joprojām vajadzīga sava jaunā rinda. Failam, kuram trūkst vienas rindas, parasti ieķeras pēdējā vaicājumā, nevis neizdodas ar skaidru kļūdu, un tāpēc tiek vainota tīkls. Salīdziniet failu ar saviem pierakstiem divreiz: vienreiz par secību un vienreiz par tukšajām rindām.

Glabājiet failu ārpus jebkuras sinhronizētas mapes, un lai to lasa tikai konta, kas izpilda uzdevumu. Šī parole ir atklāts teksts, tāpēc fails ir akreditācijas dati: bez krātuves, bez koplietota diska, bez pielikuma biļetenā. Klients par neko no tā nebrīdinās.

Kāpēc GUI jāaiziet pirmajam

Sāciet skriptu, izbeidzot GUI procesu, pēc tam palaidiet CLI no tās pašas instalācijas mapes, jo svarīga ir gan darba mape, gan klienta versija. Ilustratīvs ietvars:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Izejas kodi šeit nav uzticama panākumu pazīme. Klients izdrukā savu gaitu un tur tuneli atsevišķā procesā, tāpēc izlasiet izvadē savienojuma stāvokļa rindu un tikai tad sāciet darbu, kas atkarīgs no VPN.

Ja izlaižat GUI izbeigšanu, skripts var izskatīties kā strādājošs, kamēr esošā sesija paliek tādā stāvoklī, kādā lietotājs to atstājis. Šis defekts izskatās periodisks, un tas ir tieši tāda veida kļūda, kas pārdzīvo nedēļu minējumu.

Apstipriniet sesiju, nepieņemiet to

Kad skripts atgriežas, pārbaudiet kaut ko tādu, kas pastāv tikai tuneļa iekšpusē — iekšēju resursdatoru vai DNS sufiksu, uz kuru atbild tikai uzņēmuma atrisinātājs. Izlasiet arī savienojuma stāvokļa rindu klienta izvadē un visu citu uzskatiet par neveiksmi, nevis lēnu panākumu. Faila atkārtota palaišana, kad sesija jau ir pacelta, var atstāt klientu pusceļā konfigurētu, tāpēc vai nu vispirms atvienojieties, vai izlaidiet pierakstīšanos, kad sesija ir.

Pēc tam izlemiet, kam pieder atkārtota savienošana. Cikls, kas pingē iekšēju adresi un atkārtoti palaiž pierakstīšanos, var mēnešiem uzturēt kiosku tiešsaistē, un tas var arī nobloķēt kontu pirmajā paroles maiņā. Ierobežojiet mēģinājumu skaitu, brīdiniet, kad tas pārsniegts, un ļaujiet identitātes komandai nomainīt failu, nevis atstāt novecojušu paroli, kas atkārto mēģinājumus līdz bloķēšanai.

Vecākais vpnclient.exe nav tas pats rīks

Tā pati automatizācija parādās ar vecāku nosaukumu, un abi nav savstarpēji aizstājami. Izņemtais Cisco IPsec klients izmantoja vpnclient.exe ar iekļautiem argumentiem, piemēram, connect darbības vārdu, profila nosaukumu, lietotāju un paroli vienā komandrindā; savukārt vpncli.exe gaida vaicājumu secību standarta ievadē ar -s. Tāpēc veca foruma skripta kopēšana uz mūsdienu mašīnu rada komandu, kas palaižas, neko redzamu nedara un par to tiek vainota vārteja.

Pirms rediģējat jebkuru argumentu, pārbaudiet, kurš klients ir instalēts un kuru skripts patiešām izsauc. Nosaukumu atšķirība ir pietiekami maza, lai to palaistu garām plānotā uzdevumā, un tas ir pirmais, kas jāpārbauda, kad mantots skripts pēc jauninājuma pārstājis darboties.