vpncli -s kundrejt GUI: hyrja në Cisco Secure Client

Cisco Secure Client ju jep dy mënyra për t'u përgjigjur të njëjtave kërkesa të hyrjes: një person që shkruan në vpnui.exe, ose një skript që dërgon përgjigje te vpncli.exe përmes hyrjes standarde me -s. E dyta bën të mundura lidhjet e planifikuara pa lexuar ekranin e GUI, dhe gjithashtu e kthen hyrjen në një skedar që duhet mbrojtur si kredencial. Cilën doni varet nga fakti nëse ka një person pranë makinës dhe sa shpesh ndryshon fjalëkalimi. Asnjë opsion nuk ndryshon atë që kërkon porta, vetëm kush përgjigjet.

Të dyja rrugët përfundojnë në të njëjtin tunel, prandaj krahasimi ka të bëjë me funksionimin, jo me protokollin.

Dy mënyra për t'u përgjigjur të njëjtave kërkesa

Rruga e GUI është interaktive nga dizajni: klienti pyet, dikush përgjigjet dhe sesioni jeton sa kohë ai person e lë në qetësi. Është zgjedhja e duhur në një laptop që përdoret nga një person, sepse kërkesat përshtaten me metodën e vërtetimit të portës dhe askush nuk duhet të mbajë një fjalëkalim në tekst të hapur në disk.

Rruga e skriptit është e përshtatshme për një kioskë, një makinë laboratori ose një detyrë të planifikuar ku nuk ka njeri të shkruajë. Shkëmbimi është i qartë: pranoni një skedar kredencialesh në disk në këmbim të një lidhjeje pa mbikëqyrje. Nëse porta ofron vërtetim me certifikatë ose SAML, ai shkëmbim zakonisht nuk ia vlen, sepse skedari ekziston vetëm për t'u përgjigjur kërkesave që një metodë më e fortë do t'i shmangte.

Mos i përzieni të dyja në të njëjtën makinë në të njëjtën kohë. Linja e komandës dhe klienti grafik konkurrojnë për të njëjtin gjendje sesioni, dhe ky është problemi i seksionit të ardhshëm.

Çfarë duhet të përmbajë skedari i përgjigjeve

Klienti pyet me radhë — porta, ndonjëherë një zgjedhje grupi, emri i përdoruesit, fjalëkalimi dhe çdo konfirmim baneri. Një skedar që u përgjigjet të gjithave duket kështu, me vlerat reale të vendosura:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Mënyra e besueshme për të ndërtuar atë skedar është të lidheni një herë me dorë, të shkruani çdo rresht që shtypni dhe çdo Enter që shtypni, dhe pastaj ta riprodhoni saktësisht atë sekuencë. Instalimet që ruajnë grupin dhe emrin e përdoruesit në profil mund të kenë nevojë për rreshta bosh aty ku ato kërkesa nuk shfaqen më, dhe rreshti i fundit ka ende nevojë për rreshtin e tij të ri. Një skedari që i mungon një rresht zakonisht ngec në kërkesën e fundit në vend që të dështojë me një gabim të qartë, dhe për këtë fajësohet rrjeti. Krahasoni skedarin me shënimin tuaj dy herë, një herë për rendin dhe një herë për rreshtat bosh.

Mbajeni skedarin jashtë çdo dosjeje të sinkronizuar dhe të lexueshëm vetëm nga llogaria që ekzekuton detyrën. Ai fjalëkalim është tekst i hapur, prandaj skedari është kredencial: pa depo, pa disk të përbashkët, pa bashkëngjitje në një tiketë. Klienti nuk do t'ju paralajmërojë për asnjë prej këtyre.

Pse GUI duhet të largohet i pari

Filloni skriptin duke përfunduar procesin e GUI, pastaj ekzekutoni CLI nga drejtoria e vetë instalimit, sepse rëndësi kanë edhe drejtoria e punës edhe versioni i klientit. Një mbështjellës ilustrues:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Kodet e daljes nuk janë këtu një sinjal i besueshëm suksesi. Klienti printon përparimin e vet dhe e mban tunelin në një proces të veçantë, prandaj lexoni daljen për rreshtin e gjendjes së lidhjes dhe vetëm pastaj filloni punën që varet nga VPN.

Nëse e kaloni ndalimin e GUI, skripti mund të duket se po funksionon ndërsa sesioni ekzistues mbetet në gjendjen që la përdoruesi. Ai defekt duket i ndërprerë, dhe pikërisht ky është lloji i gabimit që i mbijeton një jave hamendjesh.

Konfirmoni një sesion, mos e supozoni

Pasi skripti kthehet, kontrolloni diçka që ekziston vetëm brenda tunelit — një host të brendshëm ose një prapashtesë DNS të cilës i përgjigjet vetëm zgjidhësi i korporatës. Lexoni gjithashtu rreshtin e gjendjes së lidhjes në daljen e klientit dhe trajtoni çdo gjë tjetër si dështim, jo si sukses të ngadaltë. Riekzekutimi i skedarit me një sesion tashmë aktiv mund ta lërë klientin gjysmë të konfiguruar, prandaj ose shkëputuni së pari ose kaloni hyrjen kur sesioni është i pranishëm.

Pastaj vendosni kush është përgjegjës për rilidhjen. Një cikël që bën ping në një adresë të brendshme dhe riekzekuton hyrjen mund ta mbajë një kioskë në linjë me muaj, dhe gjithashtu mund të bllokojë një llogari herën e parë që ndryshon fjalëkalimi. Kufizoni numrin e përpjekjeve, alarmoni kur tejkalohet dhe lini ekipin e identitetit ta ndryshojë skedarin në vend që një fjalëkalim i vjetër të riprovojë deri në bllokim.

vpnclient.exe i mëparshëm nuk është i njëjti mjet

E njëjta automatizim shfaqet nën një emër më të vjetër, dhe të dyja nuk janë të këmbyeshme. Klienti i pensionuar Cisco IPsec përdorte vpnclient.exe me argumente në rresht si një folje connect, emër profili, përdorues dhe fjalëkalim në një rresht komande; ndërsa vpncli.exe pret një sekuencë kërkesash në hyrjen standarde me -s. Prandaj kopjimi i një skripti të vjetër forumi në një makinë të sotme prodhon një komandë që ekzekutohet, nuk bën asgjë të dukshme dhe portës i hidhet faji.

Përpara se të modifikoni çdo argument, kontrolloni cili klient është i instaluar dhe cilin skripti thërret në të vërtetë. Diferenca e emrit është mjaft e vogël sa të kalojë pa u vënë re në një detyrë të planifikuar, dhe është gjëja e parë që duhet verifikuar kur një skript i trashëguar ndalon së punuari pas një përditësimi.