VPN-aanmelding automatiseren wanneer de client geen API of CLI heeft

Drie vragen beslissen dit, en slechts drie. Maakt de client een verbindingsitem in het besturingssysteem dat een herstart overleeft? Levert hij een commandoregel die een geheim van iets anders dan zijn argumentenlijst kan halen? Dwingt zijn identiteitseis een mens om een browserprompt te beantwoorden? Beantwoord ze in die volgorde en de keuze is geen kwestie van smaak meer, want een geplande taak kan alleen zo headless zijn als het zwakste van de drie antwoorden toestaat.

Koppel de client aan de drie scriptbare lagen

Een native OS-profiel, een leveranciers-CLI, een client met alleen GUI en een client met browser-SSO vragen vier verschillende benaderingen. De eerste twee overleven onbeheerde herstarts, en onbeheerde herstarts zijn het hele punt. De andere twee vragen een ontwerpbeslissing voordat ze een script vragen.

Pad een: het besturingssysteem bezit het profiel al

Dit is het goedkoopste pad en degene die de meeste mensen over het hoofd zien. Op Windows verbindt rasdial "Office" en sluit rasdial "Office" /disconnect de verbinding; rasphone -d "Office" bestuurt hetzelfde item via de inbelinterface. macOS toont opgeslagen services met scutil --nc list en start er een met scutil --nc start. Linux geeft de taak aan NetworkManager.

rasdial "Office" user *
scutil --nc start "Office"
nmcli connection up id Office
nmcli -t -f GENERAL.STATE connection show Office

Deze interfaces kennen alleen profielen die het OS bezit, dus ze kunnen geen willekeurige externe client aansturen. Als het profiel ontbreekt, maak het dan een keer aan en laat het script het controleren in plaats van het bij elke run opnieuw te maken. Maak het script idempotent: lees de huidige toestand, verbind alleen wanneer er geen verbinding is, en test daarna de privenaam die de taak echt nodig heeft.

Pad twee: de leverancier levert een commandoregel

Sommige clients bieden genoeg commandoregel om te omwikkelen: Cisco AnyConnect heeft jarenlang een hulpje gehad dat alleen verbindt, en OpenConnect spreekt de protocollen AnyConnect, GlobalProtect en Pulse vanuit een binair bestand. De eis die telt is niet de vlaggenlijst maar waar het geheim vandaan komt, want een wachtwoord in de argumentenlijst is leesbaar voor iedereen die processen kan opsommen.

printf '%s\n' "$VPN_PASS" | openconnect --protocol=anyconnect \
  --user "$VPN_USER" --passwd-on-stdin vpn.example.com

FortiClient en sommige GlobalProtect-builds hebben helemaal geen ondersteunde CLI, en een communityclient of een door de leverancier gelicentieerde vervanging is een inkoopbeslissing, geen omweg. Geef in CI de serviceaccount rechten op precies dat binaire bestand en niet op een shell, zodat een geinjecteerd argument geen root-opdracht kan worden.

Pad drie: GUI-automatisering, en waarom die het laatst komt

Als de officiele client geen interface heeft, klikken scripts op knoppen via vensterberichten of SendKeys. Dat is kwetsbaar voor versie en taal, het kan een half verbonden sessie achterlaten, en het faalt stil wanneer een dialoog in de verkeerde taal verschijnt. Als je deze route neemt, pin dan de clientversie, controleer daarna de resulterende verbindingstoestand, en houd een gedocumenteerde handmatige terugval naast het script.

Dezelfde voorzichtigheid geldt voor het met geweld verbreken van een client door het proces te doden. De tunnel kan het proces overleven, of een supervisor kan het herstarten, dus dood-en-herstart is ook geen betrouwbare reset.

Wat breekt nadat de tunnel staat

Een geslaagde inbelpoging bewijst authenticatie en niets anders. Test de resource waarvoor de taak bestaat, met zijn eigen protocol en een korte time-out, en benoem de fase in de foutmelding. Profielen, certificaten en opgeslagen inloggegevens die op je bureaublad zichtbaar zijn, kunnen onzichtbaar zijn voor de servicesessie, dus voer de taak een keer uit onder het eigen account van de planner voordat je erop vertrouwt.

Beperk de herhalingen. Een lus die geweigerde inloggegevens herhaalt, vergrendelt accounts, en een MFA-prompt kan een headless taak niet beantwoorden zonder inschrijvingsontwerp; gescripte herhalingen tegen een browser-SSO-stroom verbranden alleen pogingen. Geef de voorkeur aan een VPN-payload die via MDM wordt geleverd of een configuratieprofiel voor een vloot, waar het platform de levenscyclus van de inloggegevens bezit, en houd scripts voor de clients die zo niet te beheren zijn.

Log de exitcode en de eerste falende resource, niet het feit dat het script liep. Die ene regel is wat een plannerwaarschuwing in een diagnose van vijf minuten verandert.