AnyConnect etibarsız server xəbərdarlığı: qəbul etmək, yoxsa idxal etmək?

Gateway host adını AnyConnect-ə yapışdırırsınız, pəncərə qırmızı və ya ağ olur və dialoq müştərinin sertifikatını yoxlaya bilmədiyi serverə etibar edib-etməməyinizi soruşur. Təbii hərəkət klikləyib işə keçməkdir və bu, məhz səhv refleksdir. Cavab həmin maşındakı müştəri seçimlərinə yazılır və sonrakı bağlantılara da aiddir, yəni dialoq birdəfəlik xəbərdarlıq paltarı geyinmiş konfiqurasiya qərarıdır. Budur mənim keçdiyim yol, müştərinin göstərdiyi sıra ilə.

Həqiqətən gördüyünüz xəbərdarlıqdan başlayın

Qırmızı və ağ kosmetik variantlar deyil. Qırmızı xəbərdarlıq profil və ya seçimin etibarsız serverləri bloklamağa qurulduğunu bildirir, ona görə müştəri bu ayar dəyişməyincə davam etməkdən imtina edir; ağ xəbərdarlıq isə açıq cavab verdikdən sonra davam etməyə icazə verəcəyini bildirir. Üçüncü hal oxşar görünür və fərqli davranır: vaxtı keçmiş sertifikat, müştəri onu ümumiyyətlə idxal etməyi təklif etməyəcək, çünki idxal onu etibarlı etməz. Üçünü ayırmaq bir saniyə çəkir və sonrakı hər şeyi müəyyən edir.

Hamısının arxasında bir qısa səbəb siyahısı dayanır: özü imzalanmış gateway sertifikatı, son nöqtənin etibar etmədiyi özəl CA, ya da sertifikatın subject alternative names sahəsində olmayan host adı. Üçü də eyni dialoqu yaradır və fərqli düzəliş tələb edir.

Dialoqa cavab verməzdən əvvəl sertifikatı oxuyun

Xəbərdarlıqdan sertifikat təfərrüatlarını açın və düyməyə toxunmazdan əvvəl üç sahəyə baxın. Subject və SAN həqiqətən çatmaq istədiyiniz gateway-i göstərməli, verən təşkilatınızın idarə etdiyi CA olmalı və etibarlılıq tarixləri bugünü əhatə etməlidir. Sonra SHA-256 barmaq izini bu bağlantıdan başqa yerdən — daxili sənədləşmə səhifəsindən və ya biletdən — aldığınız nüsxə ilə müqayisə edin, çünki eyni dialoqdan oxunan barmaq izi heç nə sübut etmir. Müstəqil nüsxə tapa bilmirsinizsə, istisnanı qəbul etmək üçün heç bir əsasınız yoxdur.

Laboratoriyanı istehsal gateway-indən ayıran addım budur. Dünən yaratdığınız özü imzalanmış sertifikatı olan test maşınında klikləmək məqbuldur. İstifadəçilərin sonra giriş məlumatlarını yazdığı korporativ gateway-də yoxlaya bilmədiyiniz sertifikat ehtimal olunan müdaxilə quraşdırmasıdır və müştəri hələ də sual verən yeganə komponentdir.

Hər cavabın etimad anbarına nə yazdığını bilin

İdxal sualına bəli cavabı gateway sertifikatını həmin maşındakı müştərinin etibarlı anbarına əlavə edir. Bu, hər sessiya üçün istisna deyil: sonrakı bağlantılar eyni sorğu olmadan tamamlana bilər, bu da həm məqsəd, həm riskdir, çünki ekranda heç nə kiməsə istisnanın mövcud olduğunu xatırlatmır. Xeyr cavabı girişi yalnız bu sessiya üçün davam etdirir. Hər iki yol sizi qoşur və yalnız biri maşını dəyişir.

Qırmızı yoldasınızsa, ilk cəhd ümumiyyətlə giriş deyil. Sənədləşdirilmiş giriş ardıcıllığı connect sətri və ardınca iki təsdiqdir, bu seçimi dəyişir və çıxır; bunu uğur sayan skript bir ayarı saxlamış və heç vaxt doğrulama etməmişdir. Sertifikat idxalı sualı yalnız növbəti cəhddə görünür, buna görə insanlar sorğunun fasiləli olduğu qənaətinə gəlir.

Bu sıra yalnız barmaqlar üçün deyil, avtomatlaşdırma üçün vacibdir. Həmişə bəli deyən skript cavabı gateway dəyişdikdən sonra da işləməyə davam edir və sonra görünən hər sertifikata etibar etməyə davam edir.

Cavabları müştərinin soruşduğu sıra ilə yazın

Müştəri xəbərdarlıq edir amma bağlantıya icazə verirsə, cavablar sabit sıra ilə gəlir: connect, davam etmək üçün bəli, sonra idxal sualı, sonra qrup, istifadəçi adı və parol. Bunları sorğu vaxtını təxmin etmək əvəzinə giriş faylında ayrı sətirlər kimi yazın. İdxaldan imtina eyni faylda bir simvol dəyişikliyidir və nəzarətsiz işləyən hər şey üçün daha təhlükəsiz standartdır.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Təşkilatın CA-sını son nöqtələrə paylamağı hər skriptə son sertifikatı qəbul etməyi öyrətməkdən üstün tutun. Düzgün verilmiş və düzgün SAN-lı sertifikat sorğunu hamı üçün aradan qaldırır, yoxlamanın mənasını saxlayır və bir son nöqtənin qərar yaddaşından asılı olmur. Kök CA quraşdırmaq son sertifikat idxal etməkdən daha ağır dəyişiklikdir, ona görə ona dəstək masası qısayolu kimi deyil, idarə olunan yayım kimi yanaşın.

Gateway-indən uzun yaşayan istisnaları silin

AnyConnect bu seçimləri maşın üzrə saxlayır, ona görə köhnə cavablar ofislər arasında köçən noutbuklarda yığılır. İdarə olunan son nöqtələrdə saxlanan seçimləri və idxal edilmiş sertifikatları nəzərdən keçirin və istisnanın sahibi dəyişmiş host adını hələ də göstərib-göstərmədiyini yoxlayın. Hər etibarsız serveri qəbul edən seçim yaradıldığı sertifikatdan daha genişdir.

Saxlamağa dəyər naxış dardır: normal istifadə üçün etibarlı sertifikat, müvəqqəti istisna üçün sənədləşdirilmiş kənar barmaq izi yoxlaması və miqrasiya bitəndə onu silən adlı sahib. İdarə etdiyiniz maşında hər serveri qəbul edən ümumi ayar tapsanız, ona rahatlıq kimi deyil, aşkar kimi baxın.