Rhybudd AnyConnect am weinydd anniogel: derbyn neu fewnforio?

Rydych chi'n gludo enw gwesteiwr y giât i AnyConnect, mae'r ffenestr yn troi'n goch neu'n wyn, ac mae deialog yn gofyn a ddylech ymddiried mewn gweinydd na all y cleient wirio ei dystysgrif. Y symudiad naturiol yw clicio drwodd a mynd ati i weithio, a dyna'n union yw'r reflex anghywir. Mae'r ateb yn cael ei ysgrifennu yng nghyneddfau'r cleient ar y peiriant hwnnw ac yn berthnasol i gysylltiadau diweddarach, felly mae'r deialog yn benderfyniad cyfluniad wedi'i wisgo fel rhybudd untro. Dyma'r daith yr wyf yn ei chymryd, yn y drefn y mae'r cleient yn ei dangos.

Dechreuwch o'r rhybudd rydych chi'n ei weld mewn gwirionedd

Nid yw coch a gwyn yn amrywiolion cosmetig. Mae'r rhybudd coch yn golygu bod y proffil neu'r dewis wedi'i osod i rwystro gweinyddion anniogel, felly mae'r cleient yn gwrthod parhau nes bod y gosodiad hwnnw'n newid; mae'r rhybudd gwyn yn golygu y bydd yn gadael i chi barhau unwaith y byddwch yn ateb yn benodol. Mae trydydd achos yn edrych yn debyg ac yn ymddwyn yn wahanol: tystysgrif sydd wedi dod i ben, na fydd y cleient yn cynnig ei mewnforio o gwbl, oherwydd ni fyddai mewnforio yn ei gwneud yn ddilys. Mae didoli'r tri yn cymryd eiliad ac yn penderfynu popeth sy'n dilyn.

Y tu ôl i bob un ohonynt mae un rhestr fer o achosion: tystysgrif giât hunanlofnodol, CA preifat nad yw'r pwynt terfyn yn ymddiried ynddo, neu enw gwesteiwr sydd ar goll o subject alternative names y dystysgrif. Mae unrhyw un o'r tri yn cynhyrchu'r un ddeialog ac angen atgyweiriad gwahanol.

Darllenwch y dystysgrif cyn ateb y ddeialog

Agorwch fanylion y dystysgrif o'r rhybudd a edrychwch ar dri maes cyn cyffwrdd â botwm. Dylai'r subject a'r SAN enwi'r giât yr oeddech chi wir am ei chyrraedd, dylai'r cyhoeddwr fod y CA mae eich sefydliad yn ei redeg, a dylai'r dyddiadau dilysrwydd gwmpasu heddiw. Yna cymharwch yr olion SHA-256 â chopi a gawsoch yn rhywle arall na'r cysylltiad hwn, tudalen dogfennau mewnol neu docyn, oherwydd nid yw olion a ddarllenwyd o'r un ddeialog yn profi unrhyw beth o gwbl. Os na allwch ddod o hyd i gopi annibynnol, nid oes gennych unrhyw sail dros dderbyn yr eithriad.

Dyma'r cam sy'n gwahanu labordy oddi wrth giât gynhyrchu. Ar flwch prawf â thystysgrif hunanlofnodol a gynhyrchwyd gennych ddoe, mae clicio drwodd yn rhesymol. Ar giât gorfforaethol lle mae defnyddwyr yn teipio manylion mewngofnodi nesaf, mae tystysgrif na allwch ei gwirio yn drefniant rhyng-gipio tebygol, a'r cleient yw'r unig gydran sy'n dal i ofyn y cwestiwn.

Gwybyddwch beth mae pob ateb yn ei ysgrifennu i'r storfa ymddiriedaeth

Mae ateb ie i'r cwestiwn mewnforio yn ychwanegu tystysgrif y giât at storfa ymddiriedig y cleient ar y peiriant hwnnw. Nid eithriad fesul sesiwn mohono: gall cysylltiadau diweddarach gwblhau heb yr un anogwr, sef y pwynt a hefyd y risg, oherwydd nid oes dim ar y sgrin yn atgoffa unrhyw un bod yr eithriad yn bodoli. Mae ateb na yn parhau'r mewngofnodi ar gyfer y sesiwn hon yn unig. Mae'r ddwy lwybr yn eich cysylltu, a dim ond un ohonynt yn newid y peiriant.

Os ydych ar y llwybr coch, nid yw'r cynnig cyntaf yn fewngofnodi o gwbl. Y dilyniant mewnbwn dogfenedig yw llinell connect ac yna dau gadarnhad, sy'n newid y dewis ac yn gadael; mae sgript sy'n trin hynny fel llwyddiant wedi arbed gosodiad ac heb ei dilysu erioed. Dim ond yn y cynnig nesaf y mae'r cwestiwn mewnforio tystysgrif yn ymddangos, a dyna pam mae pobl yn casglu bod yr anogwr yn ysbeidiol.

Mae'r drefn honno'n bwysig i awtomeiddio, nid i fysedd yn unig. Mae ateb sgriptiedig sy'n dweud ie bob amser yn parhau i weithio ar ôl i'r giât newid, ac yn parhau i ymddiried yn unrhyw dystysgrif a ymddangosodd nesaf.

Sgriptiwch yr atebion yn y drefn y mae'r cleient yn gofyn

Pan fo'r cleient yn rhybuddio ond yn caniatáu'r cysylltiad, mae'r atebion yn cyrraedd mewn trefn sefydlog: connect, ie i barhau, yna'r cwestiwn mewnforio, yna'r grŵp, yr enw defnyddiwr a'r cyfrinair. Ysgrifennwch y rhain fel llinellau ar wahân yn y ffeil fewnbwn yn lle dyfalu amseriad yr anogwyr. Mae gwrthod y mewnforiad yn newid un nodyn yn yr un ffeil, a dyma'r rhagosodiad mwy diogel ar gyfer unrhyw beth sy'n rhedeg heb oruchwyliaeth.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Mae'n well dosbarthu CA'r sefydliad i'r pwyntiau terfyn na dysgu pob sgript i dderbyn tystysgrif deilen. Mae tystysgrif a gyhoeddwyd yn briodol gyda'r SAN iawn yn tynnu'r anogwr i bawb, yn cadw dilysu'n ystyrlon, ac nid yw'n dibynnu ar gof un pwynt terfyn am benderfyniad. Mae gosod CA gwraidd yn newid trymach na mewnforio deilen, felly triniwch ef fel rholio allan dan reolaeth yn hytrach na llwybr byr desg gymorth.

Tynnwch yr eithriadau sy'n byw'n hirach na'u giât

Mae AnyConnect yn arbed y cyneddfau hyn fesul peiriant, felly mae hen atebion yn cronni ar liniaduron sydd wedi symud rhwng swyddfeydd. Adolygwch y cyneddfau a arbedwyd a'r tystysgrifau a fewnforiwyd ar bwyntiau terfyn a reolir, a gwiriwch a yw eithriad yn dal i enwi enw gwesteiwr sydd wedi newid perchennog. Mae dewis sy'n derbyn unrhyw weinydd anniogel yn ehangach na'r dystysgrif y'i crëwyd ar ei chyfer.

Mae'r patrwm sy'n werth ei gadw yn gul: tystysgrif ymddiriededig ar gyfer defnydd arferol, gwiriad olion allanol dogfenedig ar gyfer eithriad dros dro, a pherchennog a enwir sy'n ei dynnu pan fydd y mudo'n gorffen. Os byddwch yn dod o hyd i osodiad sy'n derbyn unrhyw weinydd ar beiriant rydych yn ei reoli, triniwch ef fel canfyddiad yn hytrach na chyfleustra.