vpncli -s наспроти GUI: најава во Cisco Secure Client

Cisco Secure Client ви дава два начина да одговорите на истите барања за најава: човек што пишува во vpnui.exe, или скрипта што одговори ги праќа на vpncli.exe преку стандардниот влез со -s. Вториот ги овозможува закажаните врски без читање на екранот на GUI и ја претвора најавата во датотека што мора да се заштити како акредитив. Кое ќе го изберете зависи од тоа дали до машината има човек и колку често се менува лозинката. Ниту една опција не го менува она што го бара порталот, само кој одговара.

Двата пата завршуваат во истиот тунел, така што споредбата е за работа, не за протокол.

Два начина да одговорите на истите барања

Патот преку GUI е интерактивен по дизајн: клиентот прашува, некој одговара и сесијата живее додека тој човек ја остава на мира. Тоа е вистинскиот избор на преносен сметач што го користи човек, бидејќи барањата се прилагодуваат на методот за автентикација на порталот и никој не мора да држи лозинка во отворен текст на дискот.

Патот преку скрипта е вистински за киоск, лабораториска машина или закажана задача каде што нема кој да пишува. Замената е јасна: прифаќате датотека со акредитиви на дискот за возврат на врска без надзор. Ако порталот нуди автентикација со сертификат или SAML, таа замена обично не се исплати, бидејќи датотеката постои само за да одговара на барања што посилен метод би ги избегнал.

Не мешајте ги двете на иста машина истовремено. Командната линија и графичкиот клиент се натпреваруваат за истото состојба на сесијата, а тоа е проблемот на следниот дел.

Што мора да содржи датотеката со одговори

Клиентот прашува по ред — портал, понекогаш избор на група, корисничко име, лозинка и секое потврдување на банер. Датотека што одговара на сето тоа изгледа вака, со вметнати вистински вредности:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Сигурниот начин да ја изградите таа датотека е да се поврзете еднаш рачно, да ја запишете секоја линија што ја пишувате и секое притискање на Enter, а потоа точно да ја повторите таа низа. Инсталациите што ја чуваат групата и корисничкото име во профилот може да бараат празни редови таму каде што тие барања веќе не се појавуваат, а последниот ред сѐ уште бара свој нов ред. Датотека на која ѝ недостасува еден ред обично заглавува на последното барање наместо да пропадне со јасна грешка, и затоа се обвинува мрежата. Споредете ја датотеката со вашиот запис двапати, еднаш за редоследот и еднаш за празните редови.

Чувајте ја датотеката надвор од секоја синхронизирана папка и читлива само за сметката што ја извршува задачата. Таа лозинка е отворен текст, па датотеката се акредитиви: без складиште, без споделен диск, без прилог во тикет. Клиентот нема да ве предупреди за ништо од ова.

Зошто GUI мора прв да си оди

Започнете ја скриптата со завршување на процесот на GUI, потоа пуштете ја CLI од нејзината сопствена инсталациона папка, бидејќи важни се и работната папка и верзијата на клиентот. Илустративна обвивка:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Излезните кодови тука не се сигурен знак за успех. Клиентот го печати својот напредок и го држи тунелот во посебен процес, затоа прочитајте го излезот за редот со состојбата на врската и само потоа започнете ја работата што зависи од VPN.

Ако го прескокнете завршувањето на GUI, скриптата може да изгледа како да работи, додека постојната сесија останува во состојбата во која ја оставил корисникот. Тој дефект изгледа повремен и токму тоа е видот грешка што преживува една недела нагаѓања.

Потврдете сесија, не претпоставувајте ја

Откако скриптата ќе се врати, проверете нешто што постои само внатре во тунелот — внатрешен домаќин или DNS суфикс на кој одговара само корпоративниот резолвер. Прочитајте го и редот со состојбата на врската во излезот на клиентот и сѐ друго сметајте го за неуспех, а не за бавен успех. Повторното пуштање на датотеката кога сесијата е веќе крената може да го остави клиентот половично конфигуриран, затоа или прво исклучете се или прескокнете ја најавата кога сесијата постои.

Потоа решете кој одговара за повторното поврзување. Јамка што пингува внатрешна адреса и повторно ја пушта најавата може да држи киоск онлајн со месеци, а може и да заклучи сметка при првата промена на лозинката. Ограничете го бројот на обиди, алармирајте при надминување и оставете тимот за идентитет да ја смени датотеката наместо застарена лозинка да обидува повторно до заклучување.

Постариот vpnclient.exe не е истиот алат

Истата автоматизација се појавува под постаро име и двете не се заменливи. Повлечениот клиент Cisco IPsec го користеше vpnclient.exe со вградени аргументи како глагол connect, име на профил, корисник и лозинка на една командна линија; а vpncli.exe очекува низа барања на стандардниот влез со -s. Затоа копирањето стара форумска скрипта на денешна машина дава команда што се извршува, не прави ништо видливо и за неа се обвинува порталот.

Пред да уредите кој било аргумент, проверете кој клиент е инсталиран и кој всушност го повикува скриптата. Разликата во името е доволно мала за да се пропушти во закажана задача, и тоа е првото што треба да се провери кога наследена скрипта престанала да работи по надградба.