Avís de servidor no fiable d'AnyConnect: acceptar o importar?

Enganxeu el nom d'amfitrió de la passarel·la a AnyConnect, la finestra es torna vermella o blanca i un diàleg us pregunta si voleu confiar en un servidor el certificat del qual el client no pot verificar. El moviment natural és fer clic i posar-se a treballar, i aquest és exactament el reflex equivocat. La resposta s'escriu a les preferències del client en aquella màquina i s'aplica a les connexions posteriors, així que el diàleg és una decisió de configuració disfressada d'avís d'una sola vegada. Aquest és el recorregut que faig, en l'ordre en què el client el mostra.

Comenceu per l'avís que veieu realment

El vermell i el blanc no són variants estètiques. L'avís vermell vol dir que el perfil o la preferència està configurat per bloquejar servidors no fiables, així que el client es nega a continuar fins que canviï aquest paràmetre; l'avís blanc vol dir que us deixarà continuar quan respongueu explícitament. Hi ha un tercer cas que sembla igual i es comporta diferent: un certificat caducat, que el client no oferirà gens per importar, perquè importar-lo no el faria vàlid. Distingir els tres casos triga un segon i decideix tot el que ve després.

Darrere de tots hi ha una llista curta de causes: un certificat de passarel·la autosignat, una CA privada en què l'extrem no confia, o un nom d'amfitrió que falta a les subject alternative names del certificat. Qualsevol de les tres produeix el mateix diàleg i necessita una solució diferent.

Llegiu el certificat abans de respondre el diàleg

Obriu els detalls del certificat des de l'avís i mireu tres camps abans de tocar cap botó. El subject i el SAN han de nomenar la passarel·la a què realment volíeu arribar, l'emissor ha de ser la CA que gestiona la vostra organització, i les dates de validesa han de cobrir avui. Després compareu l'empremta SHA-256 amb una còpia que hàgiu obtingut fora d'aquesta connexió, una pàgina de documentació interna o un tiquet, perquè una empremta llegida del mateix diàleg no demostra absolutament res. Si no trobeu una còpia independent, no teniu cap base per acceptar l'excepció.

Aquest és el pas que separa un laboratori d'una passarel·la de producció. En una màquina de prova amb un certificat autosignat que vau generar ahir, fer clic és raonable. En una passarel·la corporativa on els usuaris escriuen credencials a continuació, un certificat que no podeu verificar és una configuració d'intercepció plausible, i el client és l'únic component que encara fa la pregunta.

Saber què escriu cada resposta a l'emmagatzematge de confiança

Respondre sí a la pregunta d'importació afegeix el certificat de la passarel·la a l'emmagatzematge de confiança del client en aquella màquina. No és una excepció per sessió: les connexions posteriors poden completar-se sense el mateix avís, que és l'objectiu i també el risc, perquè res a la pantalla recorda a ningú que l'excepció existeix. Respondre no continua l'inici de sessió només per aquesta sessió. Els dos camins us connecten, i només un d'ells canvia la màquina.

Si sou al camí vermell, el primer intent no és cap inici de sessió. La seqüència d'entrada documentada és una línia connect seguida de dues confirmacions, que canvia la preferència i surt; un script que ho tracti com un èxit ha desat un paràmetre i no s'ha autenticat mai. La pregunta d'importació del certificat només apareix al següent intent, i per això la gent conclou que l'avís és intermitent.

Aquest ordre importa per a l'automatització, no només per als dits. Una resposta escrita que sempre diu sí continua funcionant després que canviï la passarel·la, i continua confiant en qualsevol certificat que aparegui després.

Escriviu les respostes en l'ordre en què el client les demana

Quan el client avisa però permet la connexió, les respostes arriben en un ordre fix: connect, sí per continuar, després la pregunta d'importació, després el grup, el nom d'usuari i la contrasenya. Escriviu-los com a línies separades al fitxer d'entrada en lloc d'endevinar el moment dels avisos. Rebutjar la importació és un canvi d'un sol caràcter al mateix fitxer, i és el valor per defecte més segur per a qualsevol cosa que funcioni sense supervisió.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Preferiu distribuir la CA de l'organització als extrems abans que ensenyar a cada script a acceptar un certificat fulla. Un certificat emès correctament amb el SAN adequat elimina l'avís per a tothom, manté el sentit de la validació i no depèn de la memòria d'una sola màquina sobre una decisió. Instal·lar una CA arrel és un canvi més pesat que importar una fulla, així que tracteu-ho com un desplegament gestionat i no com una drecera del servei d'assistència.

Traieu les excepcions que sobreviuen a la seva passarel·la

AnyConnect desa aquestes preferències per màquina, així que les respostes antigues s'acumulen en portàtils que han canviat d'oficina. Reviseu les preferències desades i els certificats importats als extrems gestionats, i comproveu si una excepció encara anomena un nom d'amfitrió que ha canviat de propietari. Una preferència que accepta qualsevol servidor no fiable és més àmplia que el certificat per al qual es va crear.

El patró que val la pena mantenir és estret: un certificat de confiança per a l'ús normal, una comprovació d'empremta fora de banda documentada per a una excepció temporal, i un propietari nomenat que la retira quan acaba la migració. Si trobeu en una màquina que gestioneu un paràmetre que accepta qualsevol servidor, tracteu-lo com una troballa i no com una comoditat.