تحذير AnyConnect من خادم غير موثوق: هل تقبل أم تستورد؟

تلصق اسم مضيف البوابة في AnyConnect، فتتحول النافذة إلى الأحمر أو الأبيض، ويسألك حوار إن كنت تثق بخادم لا يستطيع العميل التحقق من شهادته. والحركة الطبيعية هي النقر للمتابعة والعمل، وهذا بالضبط هو رد الفعل الخاطئ. يُكتب الجواب في تفضيلات العميل على ذلك الجهاز وينطبق على الاتصالات اللاحقة، فالحوار قرار إعدادات يرتدي زي تحذير لمرة واحدة. هذا هو المسار الذي أتبعه، بالترتيب الذي يعرضه العميل.

ابدأ من التحذير الذي تراه فعلاً

الأحمر والأبيض ليسا شكلين تجميليين. التحذير الأحمر يعني أن الملف الشخصي أو التفضيل مضبوط على حظر الخوادم غير الموثوقة، فيرفض العميل المتابعة حتى يتغير ذلك الإعداد؛ أما التحذير الأبيض فيعني أنه سيسمح لك بالمتابعة بمجرد أن تجيب صراحة. وهناك حالة ثالثة تشبههما وتتصرف بشكل مختلف: شهادة منتهية الصلاحية، لا يعرض العميل استيرادها إطلاقاً، لأن استيرادها لن يجعلها صالحة. ترتيب الحالات الثلاث يستغرق ثانية ويحدد كل ما يلي.

خلفها جميعاً توجد قائمة قصيرة من الأسباب: شهادة بوابة موقعة ذاتياً، أو CA خاصة لا يثق بها الطرف الآخر، أو اسم مضيف غائب عن subject alternative names في الشهادة. أي من الثلاثة ينتج الحوار نفسه ويحتاج إلى إصلاح مختلف.

اقرأ الشهادة قبل أن تجيب على الحوار

افتح تفاصيل الشهادة من التحذير وانظر في ثلاثة حقول قبل أن تلمس أي زر. يجب أن يذكر subject وSAN البوابة التي كنت تقصد الوصول إليها فعلاً، ويجب أن تكون الجهة المُصدرة هي CA التي تديرها مؤسستك، ويجب أن تغطي تواريخ الصلاحية اليوم. ثم قارن بصمة SHA-256 بنسخة حصلت عليها من مكان آخر غير هذا الاتصال، صفحة توثيق داخلية أو تذكرة، لأن بصمة تُقرأ من الحوار نفسه لا تثبت شيئاً على الإطلاق. وإن لم تجد نسخة مستقلة، فليس لديك أي أساس لقبول الاستثناء.

هذه هي الخطوة التي تفصل المختبر عن بوابة الإنتاج. على جهاز اختبار بشهادة موقعة ذاتياً أنشأتها أمس، النقر للمتابعة معقول. أما على بوابة مؤسسية يكتب المستخدمون بعدها بيانات الدخول، فشهادة لا تستطيع التحقق منها هي إعداد اعتراض محتمل، والعميل هو المكوّن الوحيد الذي ما زال يطرح السؤال.

اعرف ما يكتبه كل جواب في مخزن الثقة

الإجابة بنعم على سؤال الاستيراد تضيف شهادة البوابة إلى مخزن الثقة لدى العميل على ذلك الجهاز. وهذا ليس استثناءً لكل جلسة: يمكن للاتصالات اللاحقة أن تكتمل دون ظهور المطالبة نفسها، وهذا هو المقصود وهو الخطر أيضاً، لأن شيئاً على الشاشة لا يذكّر أحداً بوجود الاستثناء. أما الإجابة بلا فتواصل تسجيل الدخول لهذه الجلسة فقط. كلا المسارين يوصلك إلى الاتصال، وواحد فقط منهما يغيّر الجهاز.

إن كنت على المسار الأحمر، فالمحاولة الأولى ليست تسجيل دخول على الإطلاق. تسلسل الإدخال الموثّق هو سطر connect يتبعه تأكيدان، فيغيّر التفضيل ويخرج؛ والنص البرمجي الذي يعتبر ذلك نجاحاً يكون قد حفظ إعداداً ولم يوثّق الهوية قط. سؤال استيراد الشهادة لا يظهر إلا في المحاولة التالية، ولهذا يستنتج الناس أن المطالبة متقطعة.

ذلك الترتيب مهم للأتمتة، لا للأصابع فقط. الجواب المكتوب في نص برمجي الذي يقول نعم دائماً يظل يعمل بعد أن تتغير البوابة، ويظل يثق بأي شهادة تظهر بعد ذلك.

اكتب الأجوبة بالترتيب الذي يطلبه العميل

عندما يحذّر العميل لكنه يسمح بالاتصال، تصل الأجوبة بترتيب ثابت: connect، ثم نعم للمتابعة، ثم سؤال الاستيراد، ثم المجموعة، ثم اسم المستخدم، ثم كلمة المرور. اكتبها كأسطر منفصلة في ملف الإدخال بدلاً من تخمين توقيت المطالبات. ورفض الاستيراد تغيير بحرف واحد في الملف نفسه، وهو الخيار الافتراضي الأكثر أماناً لأي شيء يعمل دون إشراف.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

فضّل توزيع CA المؤسسة على الأجهزة الطرفية بدلاً من تعليم كل نص برمجي قبول شهادة طرفية. فالشهادة الصادرة بشكل صحيح مع SAN الصحيح تزيل المطالبة للجميع، وتحافظ على معنى التحقق، ولا تعتمد على ذاكرة جهاز واحد لقرار ما. وتثبيت CA جذرية تغيير أثقل من استيراد شهادة طرفية، لذا تعامل معه كطرح مُدار لا كاختصار لمكتب المساعدة.

أزل الاستثناءات التي تعيش أطول من بوابتها

يحفظ AnyConnect هذه التفضيلات لكل جهاز، فتتراكم الأجوبة القديمة على الحواسيب المحمولة التي تنقلت بين المكاتب. راجع التفضيلات المحفوظة والشهادات المستوردة على الأجهزة المُدارة، وتحقق مما إذا كان استثناء ما زال يذكر اسم مضيف تغيّر مالكه. التفضيل الذي يقبل أي خادم غير موثوق أوسع من الشهادة التي أُنشئ لأجلها.

النمط الذي يستحق الإبقاء عليه ضيق: شهادة موثوقة للاستخدام العادي، وفحص بصمة موثّق خارج النطاق لاستثناء مؤقت، ومالك مسمّى يزيله عندما تنتهي الهجرة. وإن وجدت إعداداً يقبل أي خادم على جهاز تديره، فاعتبره اكتشافاً لا راحة.