Папярэджанне AnyConnect пра ненадзейны сервер: прыняць ці імпартаваць?

Вы ўстаўляеце імя хаста шлюза ў AnyConnect, акно робіцца чырвоным або белым, і дыялог пытае, ці давяраць серверу, сертыфікат якога кліент не можа праверыць. Натуральны рух — націснуць і працягнуць працу, і гэта менавіта няправільны рэфлекс. Адказ запісваецца ў налады кліента на гэтай машыне і дзейнічае для наступных злучэнняў, таму дыялог — гэта рашэнне аб канфігурацыі ў касцюме аднаразовага папярэджання. Вось мой парадак дзеянняў, у тым парадку, у якім кліент яго паказвае.

Пачніце з папярэджання, якое вы сапраўды бачыце

Чырвоны і белы — не касметычныя варыянты. Чырвонае папярэджанне азначае, што профіль або налада настроены блакаваць ненадзейныя серверы, таму кліент адмаўляецца працягваць, пакуль гэтая налада не зменіцца; белае папярэджанне азначае, што ён дазволіць працягнуць, калі вы адкажаце відавочна. Трэці выпадак выглядае падобна і паводзіць сябе інакш: пратэрмінаваны сертыфікат, які кліент зусім не прапануе імпартаваць, бо імпарт не зробіць яго сапраўдным. Разбор гэтых трох займае секунду і вызначае ўсё далейшае.

За ўсімі імі стаіць адзін кароткі спіс прычын: самападпісаны сертыфікат шлюза, прыватны CA, якому канчатковы пункт не давярае, або імя хаста, якога няма ў subject alternative names сертыфіката. Любая з трох дае той жа дыялог і патрабуе іншага выпраўлення.

Прачытайце сертыфікат перад адказам у дыялогу

Адкрыйце дэталі сертыфіката з папярэджання і паглядзіце на тры палі, перш чым націснуць кнопку. Subject і SAN павінны называць менавіта той шлюз, да якога вы імкнуліся, выдавец павінен быць CA, якім кіруе ваша арганізацыя, а тэрміны дзеяння павінны пакрываць сённяшні дзень. Затым параўнайце адбітак SHA-256 з копіяй, якую вы атрымалі не праз гэтае злучэнне — на старонцы ўнутранай дакументацыі або ў тыкеце, — бо адбітак, прачытаны з таго ж дыялогу, не даказвае нічога. Калі вы не можаце знайсці незалежную копію, у вас няма падстаў прымаць выключэнне.

Менавіта гэты крок аддзяляе лабараторыю ад прадукцыйнага шлюза. На тэставым асяродку з самападпісаным сертыфікатам, створаным учора, націск прайсці дапушчальны. На карпаратыўным шлюзе, дзе карыстальнікі далей уводзяць уліковыя даныя, сертыфікат, які вы не можаце праверыць, — гэта праўдападобная схема перахопу, і кліент — адзіны кампанент, які яшчэ задае пытанне.

Ведайце, што кожны адказ запісвае ў сховішча даверу

Адказ так на пытанне аб імпарце дадае сертыфікат шлюза ў даверанае сховішча кліента на гэтай машыне. Гэта не выключэнне на сеанс: наступныя злучэнні могуць завяршыцца без таго ж запыту, што і ёсць мэта, а таксама рызыка, бо нішто на экране не нагадвае, што выключэнне існуе. Адказ не працягвае ўваход толькі для гэтага сеансу. Абодва шляхі вас падключаюць, і толькі адзін з іх змяняе машыну.

Калі вы на чырвоным шляху, першая спроба — зусім не ўваход. Задакументаваная паслядоўнасць уводу — радок connect і два пацверджанні, якія змяняюць наладу і выходзяць; скрыпт, які лічыць гэта поспехам, захаваў наладу і ніколі не аўтэнтыфікаваўся. Пытанне аб імпарце сертыфіката з'яўляецца толькі пры наступнай спробе, таму людзі робяць выснову, што запыт перыядычны.

Гэты парадак важны для аўтаматызацыі, а не толькі для пальцаў. Скрыптавы адказ, які заўсёды кажа так, працягвае працаваць пасля змены шлюза і працягвае давяраць любому сертыфікату, які з'явіцца далей.

Запішыце адказы ў тым парадку, у якім кліент пытае

Калі кліент папярэджвае, але дазваляе злучэнне, адказы прыходзяць у фіксаваным парадку: connect, так для працягу, затым пытанне аб імпарце, затым група, імя карыстальніка і пароль. Запішыце іх асобнымі радкамі ў файле ўводу, а не ўгадвайце час запытаў. Адмова ад імпарту — гэта змена аднаго сімвала ў тым жа файле, і гэта больш бяспечнае значэнне па змаўчанні для ўсяго, што працуе без нагляду.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Аддавайце перавагу распаўсюджванню CA арганізацыі на канчатковыя пункты, а не навучанню кожнага скрыпта прымаць канцавы сертыфікат. Правільна выдадзены сертыфікат з патрэбным SAN здымае запыт для ўсіх, захоўвае сэнс праверкі і не залежыць ад памяці аднаго канчатковага пункта пра рашэнне. Усталяванне каранёвага CA — больш цяжкае змяненне, чым імпарт канцавога, таму стаўцеся да яго як да кіруемага разгортвання, а не як да хуткага вырашэння ад службы падтрымкі.

Выдаліце выключэнні, якія жывуць даўжэй за свой шлюз

AnyConnect захоўвае гэтыя налады для кожнай машыны, таму старыя адказы назапашваюцца на ноўтбуках, якія перамяшчаліся паміж офісамі. Перагледзьце захаваныя налады і імпартаваныя сертыфікаты на кіруемых канчатковых пунктах і праверце, ці не ўказвае выключэнне імя хаста, якое змяніла ўладальніка. Налада, якая прымае любы ненадзейны сервер, шырэйшая за сертыфікат, для якога яна створана.

Узор, які варта захаваць, вузкі: давераны сертыфікат для звычайнага выкарыстання, задакументаваная пазапалосная праверка адбітка для часовага выключэння і названы ўладальнік, які выдаліць яго пасля заканчэння міграцыі. Калі вы знойдзеце на машыне, якой кіруеце, наладу, што прымае любы сервер, разглядайце яе як знаходку, а не як зручнасць.