Varování AnyConnect na nedůvěryhodný server: přijmout, nebo importovat?

Vložíte název hostitele brány do AnyConnect, okno zčervená nebo zbělí a dialog se ptá, zda důvěřovat serveru, jehož certifikát klient nedokáže ověřit. Přirozený pohyb je kliknout a jít pracovat, a to je přesně špatný reflex. Odpověď se zapisuje do předvoleb klienta na tom stroji a platí pro další připojení, takže dialog je rozhodnutí o konfiguraci v kostýmu jednorázového varování. Tady je postup, který dělám, v pořadí, v jakém ho klient ukazuje.

Začněte varováním, které skutečně vidíte

Červená a bílá nejsou kosmetické varianty. Červené varování znamená, že profil nebo předvolba je nastavena na blokování nedůvěryhodných serverů, takže klient odmítá pokračovat, dokud se to nastavení nezmění; bílé varování znamená, že vás nechá pokračovat, jakmile odpovíte výslovně. Třetí případ vypadá podobně a chová se jinak: prošlý certifikát, který klient vůbec nenabídne k importu, protože import by ho neudělal platným. Roztřídit ty tři trvá sekundu a rozhoduje o všem, co následuje.

Za všemi stojí krátký seznam příčin: certifikát brány podepsaný sám sebou, privátní CA, které koncový bod nedůvěřuje, nebo název hostitele, který v certifikátu chybí v subject alternative names. Každá z těch tří dává stejný dialog a potřebuje jinou opravu.

Přečtěte certifikát, než odpovíte dialogu

Otevřete podrobnosti certifikátu z varování a podívejte se na tři pole, než se dotknete tlačítka. Subject a SAN mají jmenovat bránu, na kterou jste opravdu chtěli dosáhnout, vydavatel má být CA, kterou provozuje vaše organizace, a data platnosti mají pokrývat dnešek. Pak porovnejte otisk SHA-256 s kopií, kterou jste získali jinde než tímto připojením, na stránce interní dokumentace nebo v tiketu, protože otisk přečtený ze stejného dialogu nedokazuje vůbec nic. Pokud nezávislou kopii nenajdete, nemáte žádný základ pro přijetí výjimky.

To je krok, který odděluje laboratoř od produkční brány. Na testovacím stroji s certifikátem podepsaným sám sebou, který jste vygenerovali včera, je kliknutí rozumné. Na firemní bráně, kde uživatelé následně zadávají přihlašovací údaje, je certifikát, který nedokážete ověřit, pravděpodobné odposlouchávací uspořádání a klient je jediná součást, která se ještě ptá.

Vězte, co každá odpověď zapíše do úložiště důvěry

Odpověď ano na otázku importu přidá certifikát brány do klientova důvěryhodného úložiště na tom stroji. Není to výjimka pro jedno připojení: další připojení se mohou dokončit bez stejného dotazu, což je smysl a také riziko, protože nic na obrazovce nikomu nepřipomíná, že výjimka existuje. Odpověď ne pokračuje v přihlášení jen pro toto připojení. Obě cesty vás připojí a jen jedna z nich mění stroj.

Jste-li na červené cestě, první pokus vůbec není přihlášení. Dokumentovaná posloupnost vstupu je řádek connect a pak dvě potvrzení, což změní předvolbu a ukončí se; skript, který to považuje za úspěch, uložil nastavení a nikdy se neautentizoval. Otázka importu certifikátu se objeví až při dalším pokusu, a proto lidé usuzují, že je dotaz občasný.

To pořadí je důležité pro automatizaci, ne jen pro prsty. Skriptovaná odpověď, která vždy říká ano, funguje dál i po změně brány a dál důvěřuje každému certifikátu, který se objeví.

Napište odpovědi v pořadí, v jakém se klient ptá

Když klient varuje, ale připojení povolí, odpovědi přicházejí v pevném pořadí: connect, ano pro pokračování, pak otázka importu, pak skupina, uživatelské jméno a heslo. Napište je jako samostatné řádky do vstupního souboru, místo abyste hádali časování dotazů. Odmítnutí importu je změna jediného znaku ve stejném souboru a je bezpečnější výchozí hodnotou pro cokoli, co běží bez dozoru.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Upřednostněte distribuci CA organizace na koncové body před učením každého skriptu přijímat koncový certifikát. Správně vydaný certifikát se správným SAN odstraní dotaz pro všechny, zachová smysl ověřování a nezávisí na paměti jednoho koncového bodu o rozhodnutí. Instalace kořenové CA je těžší změna než import koncového certifikátu, takže k ní přistupujte jako k řízenému zavádění, ne jako ke zkratce podpory.

Odstraňte výjimky, které žijí déle než jejich brána

AnyConnect ukládá tyto předvolby pro každý stroj, takže se staré odpovědi hromadí na noteboocích, které se stěhovaly mezi kancelářemi. Projděte uložené předvolby a importované certifikáty na spravovaných koncových bodech a zkontrolujte, zda výjimka ještě jmenuje název hostitele, který změnil vlastníka. Předvolba, která přijímá jakýkoli nedůvěryhodný server, je širší než certifikát, pro který vznikla.

Vzor, který stojí za to udržet, je úzký: důvěryhodný certifikát pro běžné použití, dokumentovaná mimosíťová kontrola otisku pro dočasnou výjimku a jmenovaný vlastník, který ji odstraní, když migrace skončí. Pokud na stroji, který spravujete, najdete nastavení přijímající jakýkoli server, berte to jako nález, ne jako pohodlí.