vpncli -s laban sa GUI: pag-log in sa Cisco Secure Client

Nag-aalok ang Cisco Secure Client ng dalawang paraan upang sagutin ang parehong mga prompt sa pag-log in: isang tao na nagta-type sa vpnui.exe, o isang script na nagpapadala ng mga sagot sa vpncli.exe sa pamamagitan ng standard input gamit ang -s. Ginagawang posible ng pangalawa ang mga naka-iskedyul na koneksyon nang hindi binabasa ang screen ng GUI, at ginagawa rin nitong file ang pag-log in na dapat protektahan tulad ng kredensyal. Alin ang gusto mo ay nakadepende sa kung may tao sa makina at gaano kadalas nagbabago ang password. Wala sa dalawang opsyon ang nagbabago sa hinihingi ng gateway, kung sino lang ang sumasagot.

Parehong tunnel ang pinaghihintulutan ng dalawang landas, kaya ang paghahambing ay tungkol sa operasyon, hindi sa protocol.

Dalawang paraan upang sagutin ang parehong mga prompt

Ang landas ng GUI ay interactive ayon sa disenyo: nagtatanong ang kliyente, may sumasagot, at nabubuhay ang session hangga't hinahayaan ito ng taong iyon. Ito ang tamang pagpipilian sa laptop na ginagamit ng tao, dahil umaangkop ang mga prompt sa paraan ng pagpapatunay ng gateway at walang kailangang magtago ng password sa plain text sa disk.

Ang landas ng script ay angkop para sa kiosk, makina sa laboratoryo o naka-iskedyul na gawain kung saan walang tao na magta-type. Malinaw ang palitan: tinatanggap mo ang file ng kredensyal sa disk kapalit ng koneksyong walang pagbabantay. Kung nag-aalok ang gateway ng pagpapatunay sa sertipiko o SAML, karaniwang hindi sulit ang palitang iyon, dahil umiiral lamang ang file upang sagutin ang mga prompt na iiwasan ng mas matibay na paraan.

Huwag paghaluin ang dalawa sa isang makina nang sabay. Nagpapaligsahan ang command line at ang graphical na kliyente para sa parehong estado ng session, at iyon ang problema ng susunod na seksyon.

Ano ang dapat taglayin ng file ng sagot

Nagtatanong ang kliyente sa pagkakasunod-sunod — gateway, kung minsan ay pagpili ng grupo, username, password at anumang pag-amin sa banner. Ang file na sumasagot sa lahat ng iyon ay ganito ang hitsura, na may tunay na halaga na nakalagay:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Ang maaasahang paraan upang buuin ang file na iyon ay kumonekta nang isang beses gamit ang kamay, isulat ang bawat linyang tina-type mo at bawat Enter na pinindot mo, at pagkatapos ay kopyahin nang eksakto ang pagkakasunod-sunod na iyon. Ang mga deployment na nag-iimbak ng grupo at username sa profile ay maaaring mangailangan ng blangkong linya kung saan hindi na lumalabas ang mga prompt na iyon, at ang huling linya ay kailangan pa rin ng sarili nitong bagong linya. Ang file na kulang ng isang linya ay karaniwang bumabitin sa huling prompt sa halip na mabigo nang may malinaw na error, at iyon ang dahilan kung bakit ang network ang sinisisi. Ihambing ang file sa iyong transcript nang dalawang beses, isang beses para sa pagkakasunod-sunod at isang beses para sa mga blangkong linya.

Itago ang file sa labas ng anumang naka-sync na folder at mababasa lamang ng account na nagpapatakbo ng gawain. Ang password ay plain text, kaya ang file ay kredensyal: walang repository, walang shared drive, walang kalakip sa ticket. Hindi ka babalaan ng kliyente tungkol sa alinman sa mga ito.

Bakit kailangang mauna ang GUI

Simulan ang script sa pamamagitan ng pagtatapos sa proseso ng GUI, pagkatapos ay patakbuhin ang CLI mula sa sarili nitong installation directory, dahil mahalaga kapwa ang working directory at ang build ng kliyente. Isang halimbawang wrapper:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Ang mga exit code ay hindi maaasahang senyales ng tagumpay dito. Nagpi-print ang kliyente ng progreso nito at inihihiwalay ang tunnel sa ibang proseso, kaya basahin ang output para sa linya ng estado ng koneksyon at pagkatapos lamang simulan ang gawaing umaasa sa VPN.

Kung lalaktawan mo ang pagpatay sa GUI, maaaring magmukhang tumatakbo ang script habang ang umiiral na session ay nananatili sa estadong iniwan ng user. Ang pagkabigong iyon ay mukhang pasulput-sulpot, at iyon ang eksaktong uri ng bug na nakakaligtas sa isang linggong paghuhula.

Kumpirmahin ang session, huwag ipagpalagay

Kapag bumalik ang script, suriin ang isang bagay na umiiral lamang sa loob ng tunnel — isang panloob na host, o isang DNS suffix na sinasagot lamang ng corporate resolver. Basahin din ang linya ng estado ng koneksyon sa output ng kliyente, at ituring ang anumang iba pa bilang pagkabigo sa halip na mabagal na tagumpay. Ang muling pagpapatakbo ng file habang aktibo na ang session ay maaaring mag-iwan sa kliyente na kalahating naka-configure, kaya muna ay idiskonekta o laktawan ang pag-log in kapag may session.

Pagkatapos ay magpasya kung sino ang may responsibilidad sa muling pagkonekta. Ang loop na nagpi-ping sa panloob na address at nagpapatakbo muli ng pag-log in ay maaaring magpanatili ng kiosk na online nang mga buwan, at maaari ring mag-lock ng account sa unang pagbabago ng password. Limitahan ang bilang ng pagtatangka, mag-alerto kapag lumampas, at hayaang ang identity team ang magpalit ng file sa halip na hayaang magbalik-balik ang lumang password hanggang sa ma-lock.

Ang lumang vpnclient.exe ay hindi parehong tool

Lumilitaw ang parehong automation sa ilalim ng mas lumang pangalan, at hindi mapagpapalit ang dalawa. Ginamit ng retiradong Cisco IPsec client ang vpnclient.exe na may mga inline argument tulad ng pandiwa na connect, pangalan ng profile, user at password sa isang command line; samantalang inaasahan ng vpncli.exe ang pagkakasunod-sunod ng mga prompt sa standard input gamit ang -s. Kaya ang pagkopya ng lumang script sa forum patungo sa makina ngayon ay gumagawa ng utos na tumatakbo, walang nakikitang ginagawa, at ang gateway ang sinisisi.

Bago i-edit ang anumang argument, suriin kung aling kliyente ang naka-install at alin ang talagang tinatawag ng script. Sapat na maliit ang pagkakaiba ng pangalan upang mapalampas sa isang naka-iskedyul na gawain, at ito ang unang bagay na dapat i-verify kapag tumigil sa paggana ang minanang script pagkatapos ng upgrade.