vpncli -s proti GUI: prijava v Cisco Secure Client

Cisco Secure Client ponuja dva načina odgovarjanja na iste pozive za prijavo: oseba tipka v vpnui.exe ali skript pošilja odgovore v vpncli.exe prek standardnega vhoda z -s. Drugi omogoča načrtovane povezave brez branja zaslona GUI in tudi spremeni prijavo v datoteko, ki jo je treba zaščititi kot poverilnico. Kateri način želite, je odvisno od tega, ali je pri stroju človek, in od tega, kako pogosto se geslo menja. Nobena možnost ne spremeni tega, kar zahteva prehod, le kdo odgovarja.

Obe poti se končata v istem tunelu, zato je primerjava o obratovanju, ne o protokolu.

Dva načina odgovarjanja na iste pozive

Pot prek GUI je po zasnovi interaktivna: odjemalec vpraša, nekdo odgovori in seja živi, dokler jo ta oseba pusti pri miru. To je prava izbira na prenosniku, ki ga uporablja človek, ker se pozivi prilagajajo metodi preverjanja prehoda in nihče ne rabi hraniti gesla v odprtem besedilu na disku.

Pot prek skripta je primerna za kiosk, laboratorijski stroj ali načrtovano opravilo, kjer ni nikogar, ki bi tipkal. Zamenjava je jasna: sprejmete datoteko s poverilnicami na disku v zameno za nadzorovano povezavo. Če prehod ponuja preverjanje s potrdilom ali SAML, se ta zamenjava običajno ne izplača, ker datoteka obstaja le zato, da odgovarja na pozive, ki bi se jim močnejša metoda izognila.

Ne mešajte obeh na istem stroju hkrati. Ukazna vrstica in grafični odjemalec tekmujeta za isto stanje seje, in to je težava naslednjega razdelka.

Kaj mora vsebovati datoteka odgovorov

Odjemalec sprašuje po vrsti — prehod, včasih izbira skupine, uporabniško ime, geslo in vsaka potrditev pasice. Datoteka, ki odgovori na vse to, izgleda takole, z vstavljenimi resničnimi vrednostmi:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Zanesljiv način za sestavo te datoteke je enkrat ročno povezati se, zapisati vsako vrstico, ki jo vnesete, in vsak pritisk na Enter, nato pa natančno ponoviti to zaporedje. Namestitve, ki skupino in uporabniško ime hranijo v profilu, lahko potrebujejo prazne vrstice tam, kjer se ti pozivi ne pojavljajo več, zadnja vrstica pa še vedno potrebuje svoj prelom vrstice. Datoteka, ki ji manjka ena vrstica, običajno obvisi pri zadnjem pozivu, namesto da bi spodletela z jasno napako, in zato se krivi omrežje. Primerjajte datoteko s svojim prepisom dvakrat, enkrat zaradi vrstnega reda in enkrat zaradi praznih vrstic.

Hranite datoteko zunaj vsake sinhronizirane mape in berljivo le za račun, ki izvaja opravilo. To geslo je odprto besedilo, zato je datoteka poverilnica: brez repozitorija, brez deljenega diska, brez priponke v zahtevku. Odjemalec vas pred ničimer od tega ne bo opozoril.

Zakaj mora GUI oditi prvi

Začnite skript s končanjem procesa GUI, nato zaženite CLI iz njegove lastne namestitvene mape, ker štejeta tako delovna mapa kot različica odjemalca. Ilustrativen ovoj:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Izhodne kode tukaj niso zanesljiv znak uspeha. Odjemalec izpisuje napredek in tunel drži v ločenem procesu, zato v izhodu poiščite vrstico stanja povezave in šele nato začnite delo, ki je odvisno od VPN.

Če izpustite ukinitev GUI, lahko skript izgleda, kot da teče, medtem ko obstoječa seja ostane v stanju, v katerem jo je pustil uporabnik. Ta okvara izgleda občasna, in prav takšna napaka preživi teden ugibanj.

Potrdite sejo, ne predpostavljajte je

Ko se skript vrne, preverite nekaj, kar obstaja le znotraj tunela — notranji gostitelj ali pripono DNS, na katero odgovarja le poslovni razreševalnik. Preberite tudi vrstico stanja povezave v izhodu odjemalca in vse drugo obravnavajte kot neuspeh, ne kot počasen uspeh. Ponovno zaganjanje datoteke, ko seja že teče, lahko pusti odjemalca napol konfiguriranega, zato se bodisi najprej odklopite bodisi izpustite prijavo, ko seja obstaja.

Nato odločite, kdo skrbi za ponovno povezavo. Zanka, ki pinga notranji naslov in znova zažene prijavo, lahko ohrani kiosk na spletu mesece, lahko pa tudi zaklene račun ob prvi menjavi gesla. Omejite število poskusov, opozorite ob preseganju in pustite ekipi za identiteto, da zamenja datoteko, namesto da bi zastarelo geslo poskušalo znova do zaklenitve.

Starejši vpnclient.exe ni isto orodje

Ista avtomatizacija se pojavlja pod starejšim imenom in oba nista zamenljiva. Upokojeni odjemalec Cisco IPsec je uporabljal vpnclient.exe z vgrajenimi argumenti, kot so glagol connect, ime profila, uporabnik in geslo v eni ukazni vrstici; vpncli.exe pa pričakuje zaporedje pozivov na standardnem vhodu z -s. Zato kopiranje starega skripta s foruma na današnji stroj ustvari ukaz, ki se zažene, ne naredi nič vidnega in za to se krivi prehod.

Preden uredite kateri koli argument, preverite, kateri odjemalec je nameščen in katerega skript dejansko kliče. Razlika v imenu je dovolj majhna, da jo v načrtovanem opravilu spregledate, in to je prva stvar, ki jo je treba preveriti, ko podedovani skript po posodobitvi preneha delovati.