vpncli -s verzus GUI: prihlásenie do Cisco Secure Client

Cisco Secure Client ponúka dva spôsoby odpovede na tie isté prihlasovacie výzvy: človek píše do vpnui.exe, alebo skript posiela odpovede do vpncli.exe cez štandardný vstup s -s. Druhý umožňuje plánované pripojenia bez čítania obrazovky GUI a tiež mení prihlásenie na súbor, ktorý treba chrániť ako prihlasovacie údaje. Ktorý chcete, závisí od toho, či pri stroji sedí človek a ako často sa mení heslo. Ani jedna možnosť nemení to, na čo sa brána pýta, iba kto odpovedá.

Obe cesty končia v tom istom tuneli, takže porovnanie je o prevádzke, nie o protokole.

Dva spôsoby odpovede na tie isté výzvy

Cesta cez GUI je interaktívna už z princípu: klient sa pýta, niekto odpovedá a relácia žije, kým ju ten človek nechá na pokoji. Je to správna voľba na notebooku, ktorý používa človek, pretože výzvy sa prispôsobujú metóde overovania brány a nikto nemusí držať heslo v otvorenom texte na disku.

Cesta cez skript je vhodná pre kiosk, laboratórny stroj alebo naplánovanú úlohu, kde nie je nikto, kto by písal. Výmena je jasná: prijímate súbor s prihlasovacími údajmi na disku výmenou za pripojenie bez dozoru. Ak brána ponúka overovanie certifikátom alebo SAML, táto výmena sa zvyčajne nevyplatí, pretože súbor existuje len preto, aby odpovedal na výzvy, ktorým by sa silnejšia metóda vyhla.

Nemiešajte oboje na jednom stroji súčasne. Príkazový riadok a grafický klient súperia o rovnaký stav relácie, a to je problém nasledujúcej časti.

Čo musí súbor odpovedí obsahovať

Klient sa pýta postupne — brána, niekedy voľba skupiny, používateľské meno, heslo a akékoľvek potvrdenie hlásenia. Súbor, ktorý na všetko odpovedá, vyzerá takto, s dosadenými skutočnými hodnotami:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Spoľahlivý spôsob, ako taký súbor zostaviť, je raz sa pripojiť ručne, zapísať každý riadok, ktorý napíšete, a každé stlačenie Enter, a potom presne zopakovať tento sled. Inštalácie, ktoré ukladajú skupinu a používateľské meno v profile, môžu potrebovať prázdne riadky tam, kde sa tieto výzvy už neobjavujú, a posledný riadok stále potrebuje vlastný nový riadok. Súboru, ktorému chýba jeden riadok, zvyčajne zamrzne na poslednej výzve namiesto zlyhania s jasnou chybou, a preto sa to zvaľuje na sieť. Porovnajte súbor so svojím prepisom dvakrát, raz kvôli poradiu a raz kvôli prázdnym riadkom.

Uchovávajte súbor mimo akejkoľvek synchronizovanej zložky a čitateľný len pre účet, ktorý úlohu spúšťa. To heslo je otvorený text, takže súbor je prihlasovací údaj: žiadny repozitár, žiadny zdieľaný disk, žiadna príloha v tikete. Klient vás na nič z toho neupozorní.

Prečo musí GUI zmiznúť ako prvé

Začnite skript ukončením procesu GUI a potom spustite CLI z jeho vlastného inštalačného adresára, pretože záleží aj na pracovnom adresári, aj na zostavení klienta. Ilustratívny obal:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Návratové kódy tu nie sú spoľahlivým signálom úspechu. Klient vypisuje priebeh a tunel drží v samostatnom procese, preto vo výstupe nájdite riadok stavu pripojenia a až potom začnite prácu, ktorá závisí od VPN.

Ak vynecháte ukončenie GUI, skript môže vyzerať, že beží, kým existujúca relácia zostane v stave, v akom ju používateľ nechal. Taká závada vyzerá občasne, a to je presne ten druh chyby, ktorý prežije týždeň hádania.

Potvrďte reláciu, nepredpokladajte ju

Po návrate skriptu skontrolujte niečo, čo existuje len vnútri tunela — interný hostiteľ alebo príponu DNS, na ktorú odpovedá iba firemný resolver. Prečítajte si aj riadok stavu pripojenia vo výstupe klienta a všetko ostatné berte ako zlyhanie, nie ako pomalý úspech. Opätovné spustenie súboru, keď už relácia beží, môže nechať klienta napoly nakonfigurovaného, takže sa buď najprv odpojte, alebo prihlásenie vynechajte, keď relácia existuje.

Potom rozhodnite, komu patrí opätovné pripojenie. Slučka, ktorá pinguje internú adresu a znova spúšťa prihlásenie, môže udržať kiosk online mesiace, a tiež môže pri prvej zmene hesla uzamknúť účet. Obmedzte počet pokusov, upozornite pri prekročení a nechajte tím identity meniť súbor, namiesto toho aby zastarané heslo opakovalo pokusy až do uzamknutia.

Starší vpnclient.exe nie je ten istý nástroj

Tá istá automatizácia sa objavuje pod starším názvom a obe nie sú zameniteľné. Vyradený klient Cisco IPsec používal vpnclient.exe s argumentmi na riadku, ako je sloveso connect, názov profilu, používateľ a heslo na jednom príkazovom riadku; vpncli.exe však očakáva sled výziev na štandardnom vstupe s -s. Preto kopírovanie starého skriptu z fóra na dnešný stroj vytvorí príkaz, ktorý sa spustí, nič viditeľné neurobí a všetko sa zvalí na bránu.

Pred úpravou akéhokoľvek argumentu, skontrolujte, ktorý klient je nainštalovaný a ktorý skript skutočne volá. Rozdiel v názve je dosť malý na to, aby v naplánovanej úlohe unikol, a je to prvá vec, ktorú treba overiť, keď zdedený skript po aktualizácii prestal fungovať.