vpncli -s GUI'ye karşı: Cisco Secure Client'a giriş

Cisco Secure Client aynı oturum açma istemlerine yanıt vermenin iki yolunu sunar: vpnui.exe içine yazan bir kişi ya da yanıtları -s ile standart girişe aktarıp vpncli.exe programına veren bir betik. İkincisi, GUI ekranını okumadan zamanlanmış bağlantıları mümkün kılar ve oturum açmayı bir kimlik bilgisi gibi korunması gereken dosyaya dönüştürür. Hangisini istediğiniz, makinenin başında bir insan olup olmamasına ve parolanın ne sıklıkla döndüğüne bağlıdır. Hiçbir seçenek ağ geçidinin ne istediğini değiştirmez, yalnızca kimin yanıt verdiğini değiştirir.

İki yol da aynı tünelde biter, bu yüzden karşılaştırma protokolle değil işletmeyle ilgilidir.

Aynı istemlere yanıt vermenin iki yolu

GUI yolu tasarımı gereği etkileşimlidir: istemci sorar, biri yanıtlar ve o kişi kendi hâline bıraktığı sürece oturum yaşar. İnsanın kullandığı bir dizüstünde doğru seçim budur, çünkü istemler ağ geçidinin kimlik doğrulama yöntemine uyum sağlar ve kimsenin diskte düz metin parola tutması gerekmez.

Betik yolu, kimsenin yazmadığı bir kiosk, laboratuvar makinesi veya zamanlanmış görev için uygundur. Takas açıktır: gözetimsiz bağlantı karşılığında diskte bir kimlik bilgisi dosyasını kabul edersiniz. Ağ geçidi sertifika veya SAML kimlik doğrulaması sunuyorsa bu takas genellikle değmez, çünkü dosya yalnızca daha güçlü bir yöntemin kaçınacağı istemlere yanıt vermek için vardır.

İkisini aynı makinede aynı anda karıştırmayın. Komut satırı ve grafik istemci aynı oturum durumu için yarışır ve bu, sonraki bölümün sorunudur.

Yanıt dosyasında ne olmalı

İstemci sırayla sorar — ağ geçidi, bazen grup seçimi, kullanıcı adı, parola ve varsa afiş onayı. Hepsine yanıt veren bir dosya, gerçek değerler yerine konduğunda şöyle görünür:

connect vpn.example.com
MyGroup
alice
correct-horse-battery
y

Bu dosyayı oluşturmanın güvenilir yolu bir kez elle bağlanmak, yazdığınız her satırı ve bastığınız her Enter'ı not etmek, sonra bu sırayı tam olarak yeniden üretmektir. Grubu ve kullanıcı adını profilde saklayan kurulumlar, bu istemlerin artık görünmediği yerlerde boş satırlara ihtiyaç duyabilir ve son satırın hâlâ kendi satır sonuna ihtiyacı vardır. Bir satırı eksik dosya genellikle açık bir hatayla başarısız olmak yerine son istemde takılır ve bu yüzden ağ suçlanır. Dosyayı kaydınızla iki kez karşılaştırın, bir kez sıra için ve bir kez boş satırlar için.

Dosyayı eşitlenen herhangi bir klasörün dışında tutun ve yalnızca görevi çalıştıran hesap okuyabilsin. O parola düz metindir, yani dosya bir kimlik bilgisidir: depo yok, paylaşılan disk yok, kayıtta ek yok. İstemci bunların hiçbiri konusunda sizi uyarmaz.

GUI neden önce gitmeli

GUI sürecini sonlandırarak betiği başlatın, ardından CLI'yi kendi kurulum dizininden çalıştırın, çünkü hem çalışma dizini hem istemci sürümü önemlidir. Örnek bir sarmalayıcı:

@echo off
taskkill /IM vpnui.exe /F >nul 2>&1
cd /d "%PROGRAMFILES(x86)%\Cisco\Cisco Secure Client"
vpncli.exe -s < C:\secure\login.txt

Çıkış kodları burada güvenilir bir başarı sinyali değildir. İstemci ilerlemesini yazdırır ve tüneli ayrı bir süreçte tutar, bu yüzden çıktıda bağlantı durumu satırını okuyun ve ancak ondan sonra VPN'e bağlı işe başlayın.

GUI'yi öldürmeyi atlarsanız, betik çalışıyor gibi görünürken mevcut oturum kullanıcının bıraktığı durumda kalır. Bu arıza aralıklı görünür ve tam da bir haftalık tahmine dayanan türde bir hatadır.

Oturumu doğrulayın, varsaymayın

Betik döndükten sonra yalnızca tünelin içinde var olan bir şeyi kontrol edin — iç ana bilgisayar ya da yalnızca kurumsal çözümleyicinin yanıtladığı bir DNS son eki. İstemci çıktısındaki bağlantı durumu satırını da okuyun ve başka her şeyi yavaş bir başarı değil başarısızlık olarak değerlendirin. Oturum zaten açıkken dosyayı yeniden çalıştırmak istemciyi yarı yapılandırılmış bırakabilir, bu yüzden ya önce bağlantıyı kesin ya da oturum varken oturum açmayı atlayın.

Sonra yeniden bağlanmanın sorumluluğunun kimde olduğuna karar verin. İç adrese ping atıp oturum açmayı yeniden çalıştıran bir döngü bir kiosku aylarca çevrimiçi tutabilir ve parola ilk kez döndüğünde bir hesabı kilitleyebilir. Deneme sayısını sınırlayın, aşıldığında uyarın ve eski parolanın kilitlenene kadar yeniden denemesine izin vermek yerine kimlik ekibinin dosyayı döndürmesine izin verin.

Eski vpnclient.exe aynı araç değildir

Aynı otomasyon daha eski bir ad altında görünür ve ikisi birbirinin yerine geçmez. Kullanımdan kaldırılan Cisco IPsec istemcisi vpnclient.exe aracını tek bir komut satırında connect fiili, profil adı, kullanıcı ve parola gibi satır içi bağımsız değişkenlerle kullanıyordu; vpncli.exe ise standart girişte -s ile bir istem dizisi bekler. Bu yüzden eski bir forum betiğini bugünkü bir makineye kopyalamak çalışan, görünürde hiçbir şey yapmayan ve suçu ağ geçidine kalan bir komut üretir.

Herhangi bir bağımsız değişkeni düzenlemeden önce hangi istemcinin kurulu olduğunu ve betiğin gerçekte hangisini çağırdığını kontrol edin. Ad farkı zamanlanmış bir görevde gözden kaçacak kadar küçüktür ve devralınan bir betik yükseltmeden sonra çalışmayı bıraktığında ilk doğrulanması gereken şey budur.