vpncli -s ба GUI: Cisco Secure Client-д нэвтрэх

Cisco Secure Client нэг ижил нэвтрэх асуултад хариулах хоёр аргыг санал болгодог: vpnui.exe дотор бичих хүн, эсвэл -s ашиглан стандарт оролтоор хариултыг vpncli.exe рүү дамжуулах скрипт. Хоёр дахь нь GUI-ийн дэлгэцийг уншихгүйгээр товлосон холболтыг боломжтой болгож, нэвтрэлтийг итгэмжлэл мэт хамгаалах ёстой файл болгон хувиргадаг. Аль нь хэрэгтэй нь машин дээр хүн байгаа эсэх, нууц үг хэр олон удаа солигддогоос хамаарна. Аль ч хувилбар гарцын юу асуухыг өөрчлөхгүй, зөвхөн хэн хариулахыг өөрчилнө.

Хоёр зам нэг л туннельд төгсдөг тул харьцуулалт нь протоколын биш, ажиллагааны тухай.

Нэг ижил асуултад хариулах хоёр арга

GUI-ийн зам нь зохион бүтээлээрээ интерактив: клиент асууж, хэн нэгэн хариулж, тухайн хүн түүнийг тайван орхих хүртэл сесс амьдарна. Хүн ашигладаг зөөврийн компьютер дээр энэ нь зөв сонголт, учир нь асуултууд гарцын баталгаажуулалтын аргад тохирч, хэн ч диск дээр энгийн текстээр нууц үг хадгалах шаардлагагүй.

Скриптийн зам нь киоск, лабораторийн машин эсвэл бичих хүнгүй товлосон ажилд тохиромжтой. Солилцоо тодорхой: хяналтгүй холболтын оронд диск дээрх итгэмжлэлийн файлыг хүлээн авна. Хэрэв гарц сертификат эсвэл SAML баталгаажуулалт санал болгодог бол энэ солилцоо ихэвчлэн үнэ цэнэгүй, учир нь файл нь илүү хүчтэй аргаас зайлсхийх асуултад хариулахад л зориулагдсан.

Хоёулыг нэг машин дээр нэгэн зэрэг хольж болохгүй. Командын мөр болон график клиент нэг сессийн төлөвийн төлөө өрсөлддөг бөгөөд энэ нь дараагийн хэсгийн асуудал.

Хариултын файлд юу байх ёстой

Клиент дараалан асууна — гарц, заримдаа бүлгийн сонголт, хэрэглэгчийн нэр, нууц үг болон аливаа баннерын баталгаажуулалт. Бүгдэд нь хариулдаг файл нь бодит утгуудыг оруулахад ийм харагдана:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Тухайн файлыг бүтээх найдвартай арга нь нэг удаа гараар холбогдож, бичсэн мөр бүр болон дарсан Enter бүрийг тэмдэглэж аваад, дараа нь тэр дарааллыг яг давтах явдал юм. Бүлэг болон хэрэглэгчийн нэрийг профайлд хадгалдаг байршуулалтад тэдгээр асуулт цаашид харагдахгүй газруудад хоосон мөр хэрэгтэй байж болох бөгөөд сүүлийн мөрөнд өөрийн шинэ мөр хэрэгтэй хэвээр. Нэг мөр дутуу файл ихэвчлэн тодорхой алдаатай бүтэлгүйтэхийн оронд сүүлийн асуулт дээр гацаж, иймээс сүлжээг буруутгадаг. Файлыг өөрийн тэмдэглэлтэй хоёр удаа харьцуул, нэг удаа дарааллаар, нэг удаа хоосон мөрөөр.

Файлыг ямар ч синхрончлогддог хавтасны гадна байлгаж, зөвхөн ажлыг гүйцэтгэдэг бүртгэл уншиж болох байг. Тэр нууц үг энгийн текст тул файл нь итгэмжлэл: агуулах ч, хуваалцсан диск ч, тасалбар дахь хавсралт ч байхгүй. Клиент танд эдгээрийн талаар анхааруулахгүй.

Яагаад GUI эхлээд гарах ёстой вэ

GUI процессыйг зогсоож скриптийг эхлүүл, дараа нь CLI-г өөрийн суулгацын хавтсанд байгаа газраас ажиллуул, учир нь ажлын хавтас болон клиентийн хувилбар хоёулаа чухал. Жишээ бүрхүүл:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Энд гарах код нь найдвартай амжилтын дохио биш. Клиент явцаа хэвлээд туннелийг тусдаа процесс дээр барьдаг тул гаралтаас холболтын төлөвийн мөрийг уншаад, дараа нь л VPN-ээс хамаарсан ажлыг эхлүүл.

Хэрэв GUI-г устгахыг алгасвал одоогийн сесс хэрэглэгчийн үлдээсэн төлөвтөө байхад скрипт ажиллаж байгаа мэт харагдаж болно. Тэр гэмтэл үе үе мэт харагдах бөгөөд яг ийм алдаа долоо хоногийн таамаглалыг даваад үлддэг.

Сессийг батал, таамаглаж болохгүй

Скрипт буцаж ирсний дараа зөвхөн туннелийн дотор байдаг зүйлийг шалга — дотоод хост, эсвэл зөвхөн корпорацийн шийдэгч хариулдаг DNS дагавар. Клиентийн гаралтаас холболтын төлөвийн мөрийг мөн унш, бусад бүхнийг удаан амжилт биш, бүтэлгүйтэл гэж үз. Сесс аль хэдийн нээлттэй үед файлыг дахин ажиллуулбал клиент хагас тохиргоотой үлдэж болзошгүй тул эхлээд салга эсвэл сесс байгаа үед нэвтрэлтийг алгас.

Дараа нь дахин холболтын хариуцлага хэнд байхыг шийд. Дотоод хаяг руу пинг хийгээд нэвтрэлтийг дахин ажиллуулдаг давталт киоскийг сар сарын турш онлайн байлгаж чадна, мөн нууц үг анх солигдоход бүртгэлийг түгжиж болно. Оролдлогын тоог хязгаарлаж, хэтэрвэл анхааруул, хуучирсан нууц үг түгжигдэх хүртэл давтахын оронд таних тэмдгийн баг файлыг сольж байг.

Хуучин vpnclient.exe ижил хэрэгсэл биш

Ижил автоматжуулалт хуучин нэрээр гарч ирдэг бөгөөд хоёулаа харилцан солигдохгүй. Ашиглалтаас гарсан Cisco IPsec клиент нь vpnclient.exe хэрэгслийг нэг командын мөрөнд connect үйл үг, профайлын нэр, хэрэглэгч, нууц үг зэрэг дотор аргументуудтай ашигладаг байсан бол vpncli.exe нь стандарт оролт дээр -s-тай асуултын дарааллыг хүлээдэг. Иймээс хуучин форумын скриптийг өнөөгийн машин дээр хуулбал ажилладаг, юу ч харагдахгүй, гэм буруу нь гарц дээр буудаг команд үүснэ.

Аливаа аргументыг засахын өмнө аль клиент суулгагдсан, скрипт яг алийг нь дуудаж байгааг шалга. Нэрийн ялгаа нь товлосон ажилд анзаарагдахгүй байх хэмжээний бага бөгөөд шинэчлэлтийн дараа өвлөгдсөн скрипт ажиллахаа болиход хамгийн түрүүнд шалгах зүйл нь энэ юм.