Si të shkruash një skript për hyrjen në AnyConnect në Linux dhe macOS

Skripti përfundon me zero, tuneli shfaqet dhe ekzekutimi tjetër refuzohet para se të kërkojë edhe fjalëkalimin. Ose i njëjti komandë funksionon në një terminal dhe dështon nga një punë e planifikuar me një gabim «ngjarja nuk u gjet» që nuk emërton asgjë të dobishme. Të dyja janë biseda në hyrjen standarde të klientit AnyConnect që shkon keq, jo një defekt rrjeti. Trajto hyrjen si një pyetje dhe përgjigje të shkruar dhe dështimet bëhen të parashikueshme dhe të vogla.

Pse i njëjti komandë dështon brenda një skripti

Klienti lexon përgjigjet e tij nga hyrja standarde, një rresht për çdo kërkesë, sipas rendit që porta i kërkon ato. Çdo gjë që ndryshon numrin e kërkesave, si një baner i ri, një zgjedhës grupi ose një sfidë e faktorit të dytë, zhvendos çdo përgjigje të mëvonshme për një rresht. Pastaj klienti lexon një emër përdoruesi aty ku priste një fjalëkalim dhe raporton një dështim që nuk tregon asnjërën.

Një fjalëkalim që përmban pikëçuditëse shton një dështim të dytë më të qetë. Brenda thonjëzave të dyfishta shell-i e zgjeron shumë përpara se klienti të shohë gjë.

Vendos ngarkesën brenda thonjëzave të vetme dhe karakteri udhëton i paprekur. Kjo është e gjithë rregullimi, dhe shpjegon një klasë të tërë raportesh ku i njëjti kredencial funksionon kur shtypet dhe dështon kur ruhet. Kontrollo çfarë bëri shell-i përpara se të kontrollosh portën: printo ngarkesën përmes një mbështjellësi që tregon bajtët e saktë dhe numëro rreshtat. Shumica e këtyre hetimeve mbarojnë pikërisht aty.

Shkruaj përgjigjet sipas rendit që klienti kërkon

Ekzekuto klientin një herë në mënyrë interaktive dhe shkruaj çdo kërkesë sipas radhës. Zgjedhësi i grupit shfaqet vetëm kur porta publikon disa profile, dhe kërkesa e banerit shfaqet vetëm kur një është konfiguruar. Skedari i përgjigjeve duhet të përputhet me portën ku jeni drejtuar vërtet, jo me atë të dokumentacionit.

Pastaj ndërto skedarin me pikërisht atë sekuencë, një përgjigje për rresht. Indeksi i grupit është numri që klienti liston, jo pozicioni i një profili në një dokument. Prano banerin vetëm nëse porta juaj dërgon një, dhe shto një rresht për çdo pyetje shtesë që dihet se bën ajo portë. Nise klientin me flamurin jointeraktiv që të konsumojë skedarin në vend që të presë një terminal.

connect vpn.lab.example
0
username
password
y
exit

/opt/cisco/anyconnect/bin/vpn -s < anyconnect.txt

E njëjta sekuencë mund të vijë përmes një tubi kur preferoni të mos mbani një skedar në disk. Rregullat e citimit ende vendosin nëse mbijeton.

Mbaje kredencialin jashtë listës së proceseve

Një argument në rreshtin e komandës lexohet nga çdo përdorues lokal gjatë gjithë jetës së procesit, prandaj fjalëkalimi i përket një skedari ose një tubi dhe kurrë listës së argumenteve. Bëje atë skedar të lexueshëm vetëm nga llogaria që ekzekuton skriptin, dhe fshije kur puna mbaron. Në macOS binari zakonisht ndodhet në të njëjtën rrugë si në Linux, por konfirmo vendndodhjen e instaluar në vend që ta supozosh. Një mbështjellës që provon të dyja rrugët është më i shkurtër se raporti i incidentit.

printf 'username\npassword\ny\n' | /opt/cisco/anyconnect/bin/vpn -s connect vpn.lab.example

Mos lejo as skriptin të riprovojë përgjithmonë. Një baner i ndryshuar ose një fjalëkalim që skadoi gjatë natës e kthejnë një skedar përgjigjesh fiks në një cikël riprovash, dhe ai cikël është ai që bllokon llogarinë.

Dështo një herë, printo tekstin e gabimit të vetë klientit dhe dil. Një punë e planifikuar ka nevojë për të njëjtin rishikim të identitetit dhe disponueshmërisë së kredencialeve si çdo detyrë tjetër pa mbikëqyrje, sepse një kredencial që skadon në heshtje nuk dallohet nga një ndërprerje në orën tre të mëngjesit.

Konfirmo sesionin përpara se t’i besosh kodit të daljes

Një gjendje e lidhur provon se tuneli ekziston dhe asgjë më shumë. Provo një burim që duhet të jetë i arritshëm përmes tij përpara se skripti të fillojë punën e vërtetë, dhe trajto një dështim atje si një defekt tjetër nga një hyrje e dështuar. Përndryshe do të riprovosh një lidhje krejtësisht të mirë që thjesht nuk arrin destinacionin e saj.

Pyet klientin për gjendjen e tij para dhe pas shkëputjes, sepse një sesion i vjetëruar mund të refuzojë lidhjen tjetër ndërsa skripti yt raporton sukses.

/opt/cisco/anyconnect/bin/vpn state
/opt/cisco/anyconnect/bin/vpn disconnect

Regjistro daljen e gjendjes pranë kodit të daljes, sepse vetëm kodi nuk mund të ndajë një hyrje të refuzuar nga një sesion që nuk u mbyll kurrë. Kur porta kërkon një faktor të dytë ose një miratim interaktiv, ndal së skriptuari atë hap dhe përdor në vend të tij mekanizmin që mbështet klienti. Një skedar përgjigjesh fiks është një lehtësi për një kredencial që ti kontrollon, jo një mënyrë për të anashkaluar një hap autentikimi që nuk e kontrollon. Mbaje shtrirjen kaq të ngushtë dhe kjo mbetet një skript i shkurtër.

Kur një skedar përgjigjesh fiks është mjeti i gabuar

Një faktor i dytë ose një kërkesë miratimi e mposhtin plotësisht modelin, dhe kjo është një kufi projektimi, jo një enigmë skripti. Përdor çfarëdo mekanizmi që klienti mbështet për atë hap në vend që ta hamendësosh përgjigjen paraprakisht. Një skedar fiks funksionon vetëm për kredenciale që mbeten të njëjta midis ekzekutimeve.

Dy stile më të vjetra kredenciale gjithashtu ngatërrohen me AnyConnect. Një profil vpnc flet një protokoll tjetër dhe kërkon emrin e grupit si identifikues IPSec, pastaj një sekret grupi të përbashkët, pastaj të dhënat e llogarisë tënde.

Meqenëse protokollet ndryshojnë, vpnc nuk mund të arrijë një portë që publikon vetëm profile AnyConnect, dhe alternativa e hapur e zakonshme për atë shërbim është openconnect me protokollin anyconnect të zgjedhur. Një skedar pcf i përket klientit të vjetër Cisco dhe, ndonëse host-i, emri i grupit dhe fjalëkalimi i grupit mund të ritenërohen në një klient që flet ende Cisco IPsec, skedari nuk kalon midis klientëve. Një port i pazakontë ose një mënyrë tunelimi jo standarde humbet zakonisht në atë transferim. Vendos cili protokoll ofron porta para se të zgjedhësh një mjet.