vpncli -s наспрам GUI: пријава у Cisco Secure Client

Cisco Secure Client вам даје два начина да одговорите на исте захтеве за пријаву: особа која куца у vpnui.exe, или скрипта која одговоре шаље у vpncli.exe преко стандардног улаза са -s. Други омогућава заказане везе без читања екрана GUI-ја и претвара пријаву у датотеку која мора да се штити као акредитив. Који ћете изабрати зависи од тога да ли је уз машину човек и колико се често мења лозинка. Ниједна опција не мења шта мрежни пролаз тражи, само ко одговара.

Оба пута се завршавају у истом тунелу, па је поређење о раду, не о протоколу.

Два начина да одговорите на исте захтеве

Пут кроз GUI је интерактиван по дизајну: клијент пита, неко одговара и сесија живи док је та особа не дира. То је прави избор на преносном рачунару који користи човек, јер се захтеви прилагођавају методи провере мрежног пролаза и нико не мора да држи лозинку у отвореном тексту на диску.

Пут кроз скрипту је прави за киоск, лабораторијску машину или заказани задатак где нема кога да куца. Замена је јасна: прихватате датотеку акредитива на диску у замену за везу без надзора. Ако мрежни пролаз нуди проверу сертификатом или SAML, та замена се обично не исплати, јер датотека постоји само да одговори на захтеве које би јача метода избегла.

Не мешајте оба на истој машини истовремено. Командна линија и графички клијент се такмиче за исто стање сесије, а то је проблем следећег одељка.

Шта датотека одговора мора да садржи

Клијент пита редом — мрежни пролаз, понекад избор групе, корисничко име, лозинку и свако потврђивање банера. Датотека која одговара на све то изгледа овако, са уметнутим правим вредностима:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Поуздан начин да направите ту датотеку је да се једном повежете ручно, запишете сваки ред који откуцате и сваки притисак на Enter, а затим тачно поновите тај след. Инсталације које чувају групу и корисничко име у профилу могу да захтевају празне редове тамо где се ти захтеви више не појављују, а последњи ред и даље тражи свој прелаз у нови ред. Датотека којој недостаје један ред обично се заглави на последњем захтеву уместо да пропадне са јасном грешком, и зато се за то криви мрежа. Упоредите датотеку са својим записом двапут, једном због редоследа и једном због празних редова.

Држите датотеку изван сваке синхронизоване фасцикле и читљиву само налогу који извршава задатак. Та лозинка је отворен текст, па је датотека акредитив: без складишта, без дељеног диска, без прилога у тикету. Клијент вас неће упозорити ни на шта од тога.

Зашто GUI мора први да нестане

Почните скрипту тако што ћете завршити процес GUI-ја, затим покрените CLI из његове сопствене инсталационе фасцикле, јер су важни и радна фасцикла и верзија клијента. Илустративни омотач:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Излазни кодови овде нису поуздан знак успеха. Клијент исписује напредак и држи тунел у одвојеном процесу, па прочитајте у излазу ред са стањем везе и тек онда почните посао који зависи од VPN-а.

Ако прескочите гашење GUI-ја, скрипта може да изгледа као да ради док постојећа сесија остаје у стању у ком ју је корисник оставио. Тај квар изгледа повремено, и то је управо врста грешке која преживи недељу нагађања.

Потврдите сесију, не претпостављајте је

Када се скрипта врати, проверите нешто што постоји само унутар тунела — унутрашњи домаћин или DNS суфикс на који одговара само корпоративни резолвер. Прочитајте и ред са стањем везе у излазу клијента и све остало сматрајте неуспехом, а не спорим успехом. Поновно пуштање датотеке док је сесија већ активна може да остави клијент половично конфигурисан, па се или прво одјавите или прескочите пријаву када сесија постоји.

Затим одлучите ко је одговоран за поновно повезивање. Петља која пингује унутрашњу адресу и поново покреће пријаву може да држи киоск онлајн месецима, а може и да закључа налог при првој промени лозинке. Ограничите број покушаја, алармирајте када се прекорачи и допустите тиму за идентитет да промени датотеку уместо да застарела лозинка покушава док не дође до закључавања.

Старији vpnclient.exe није исти алат

Иста аутоматизација се појављује под старијим именом и обоје није заменљиво. Повучени Cisco IPsec клијент је користио vpnclient.exe са аргументима у реду, као што су глагол connect, назив профила, корисник и лозинка у једној командној линији; а vpncli.exe очекује след захтева на стандардном улазу са -s. Зато копирање старе форумске скрипте на данашњу машину даје команду која се извршава, ништа видљиво не ради и за њу се криви мрежни пролаз.

Пре него што измените било који аргумент, проверите који је клијент инсталиран и који скрипта заиста позива. Разлика у називу је довољно мала да се пропусти у заказаном задатку, и то је прво што треба проверити када наследна скрипта престане да ради после надоградње.