Προειδοποίηση AnyConnect για μη αξιόπιστο διακομιστή: αποδοχή ή εισαγωγή;

Επικολλάτε το όνομα κεντρικού υπολογιστή της πύλης στο AnyConnect, το παράθυρο γίνεται κόκκινο ή λευκό και ένα παράθυρο διαλόγου ρωτά αν θέλετε να εμπιστευτείτε έναν διακομιστή του οποίου το πιστοποιητικό ο πελάτης δεν μπορεί να επαληθεύσει. Η φυσική κίνηση είναι να κάνετε κλικ και να συνεχίσετε τη δουλειά, και αυτό είναι ακριβώς το λάθος αντανακλαστικό. Η απάντηση γράφεται στις προτιμήσεις του πελάτη σε αυτό το μηχάνημα και ισχύει για επόμενες συνδέσεις, άρα ο διάλογος είναι απόφαση διαμόρφωσης ντυμένη ως προειδοποίηση μίας φοράς. Αυτή είναι η διαδρομή που ακολουθώ, με τη σειρά που τη δείχνει ο πελάτης.

Ξεκινήστε από την προειδοποίηση που βλέπετε πραγματικά

Το κόκκινο και το λευκό δεν είναι καλλωπιστικές παραλλαγές. Η κόκκινη προειδοποίηση σημαίνει ότι το προφίλ ή η προτίμηση έχει ρυθμιστεί να αποκλείει μη αξιόπιστους διακομιστές, οπότε ο πελάτης αρνείται να συνεχίσει μέχρι να αλλάξει αυτή η ρύθμιση· η λευκή προειδοποίηση σημαίνει ότι θα σας αφήσει να συνεχίσετε μόλις απαντήσετε ρητά. Μια τρίτη περίπτωση μοιάζει ίδια και συμπεριφέρεται διαφορετικά: ένα ληγμένο πιστοποιητικό, το οποίο ο πελάτης δεν θα προσφέρει καθόλου για εισαγωγή, γιατί η εισαγωγή δεν θα το έκανε έγκυρο. Η διάκριση των τριών παίρνει ένα δευτερόλεπτο και καθορίζει όλα τα επόμενα.

Πίσω από όλες βρίσκεται ένας σύντομος κατάλογος αιτιών: αυτο-υπογεγραμμένο πιστοποιητικό πύλης, ιδιωτική CA στην οποία το τελικό σημείο δεν εμπιστεύεται, ή όνομα κεντρικού υπολογιστή που λείπει από τα subject alternative names του πιστοποιητικού. Οποιαδήποτε από τις τρεις παράγει τον ίδιο διάλογο και χρειάζεται διαφορετική διόρθωση.

Διαβάστε το πιστοποιητικό πριν απαντήσετε στον διάλογο

Ανοίξτε τις λεπτομέρειες του πιστοποιητικού από την προειδοποίηση και κοιτάξτε τρία πεδία πριν αγγίξετε κουμπί. Το subject και το SAN πρέπει να ονομάζουν την πύλη που πραγματικά θέλατε να φτάσετε, ο εκδότης πρέπει να είναι η CA που διαχειρίζεται ο οργανισμός σας, και οι ημερομηνίες ισχύος πρέπει να καλύπτουν σήμερα. Έπειτα συγκρίνετε το αποτύπωμα SHA-256 με ένα αντίγραφο που πήρατε από αλλού και όχι από αυτή τη σύνδεση, μια εσωτερική σελίδα τεκμηρίωσης ή ένα δελτίο, γιατί ένα αποτύπωμα που διαβάζεται από τον ίδιο διάλογο δεν αποδεικνύει τίποτα απολύτως. Αν δεν βρείτε ανεξάρτητο αντίγραφο, δεν έχετε καμία βάση να δεχτείτε την εξαίρεση.

Αυτό είναι το βήμα που χωρίζει ένα εργαστήριο από μια πύλη παραγωγής. Σε μηχάνημα δοκιμής με αυτο-υπογεγραμμένο πιστοποιητικό που δημιουργήσατε χθες, το κλικ είναι λογικό. Σε εταιρική πύλη όπου οι χρήστες πληκτρολογούν στη συνέχεια διαπιστευτήρια, ένα πιστοποιητικό που δεν μπορείτε να επαληθεύσετε είναι πιθανή διάταξη υποκλοπής, και ο πελάτης είναι το μόνο στοιχείο που εξακολουθεί να θέτει το ερώτημα.

Μάθετε τι γράφει κάθε απάντηση στο χώρο εμπιστοσύνης

Η απάντηση ναι στην ερώτηση εισαγωγής προσθέτει το πιστοποιητικό της πύλης στον αξιόπιστο χώρο του πελάτη σε αυτό το μηχάνημα. Δεν είναι εξαίρεση ανά συνεδρία: οι επόμενες συνδέσεις μπορούν να ολοκληρωθούν χωρίς την ίδια προτροπή, που είναι το νόημα και επίσης ο κίνδυνος, γιατί τίποτα στην οθόνη δεν θυμίζει σε κανέναν ότι η εξαίρεση υπάρχει. Η απάντηση όχι συνεχίζει τη σύνδεση μόνο για αυτή τη συνεδρία. Και οι δύο διαδρομές σας συνδέουν, και μόνο μία από αυτές αλλάζει το μηχάνημα.

Αν είστε στην κόκκινη διαδρομή, η πρώτη προσπάθεια δεν είναι καθόλου σύνδεση. Η τεκμηριωμένη ακολουθία εισόδου είναι μια γραμμή connect και μετά δύο επιβεβαιώσεις, που αλλάζει την προτίμηση και εξέρχεται· ένα σενάριο που το θεωρεί επιτυχία έχει αποθηκεύσει ρύθμιση και δεν έχει ποτέ πιστοποιήσει ταυτότητα. Η ερώτηση εισαγωγής πιστοποιητικού εμφανίζεται μόνο στην επόμενη προσπάθεια, γι' αυτό οι άνθρωποι συμπεραίνουν ότι η προτροπή είναι διακοπτόμενη.

Αυτή η σειρά μετράει για την αυτοματοποίηση, όχι μόνο για τα δάχτυλα. Μια απάντηση σε σενάριο που λέει πάντα ναι συνεχίζει να δουλεύει αφού αλλάξει η πύλη και συνεχίζει να εμπιστεύεται ό,τι πιστοποιητικό εμφανιστεί μετά.

Γράψτε τις απαντήσεις με τη σειρά που ρωτά ο πελάτης

Όταν ο πελάτης προειδοποιεί αλλά επιτρέπει τη σύνδεση, οι απαντήσεις φτάνουν με σταθερή σειρά: connect, ναι για συνέχεια, μετά η ερώτηση εισαγωγής, μετά η ομάδα, το όνομα χρήστη και ο κωδικός. Γράψτε τις ως ξεχωριστές γραμμές στο αρχείο εισόδου αντί να μαντεύετε τον χρόνο των προτροπών. Η άρνηση της εισαγωγής είναι αλλαγή ενός χαρακτήρα στο ίδιο αρχείο, και είναι η ασφαλέστερη προεπιλογή για ό,τι τρέχει χωρίς επίβλεψη.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Προτιμήστε να διανέμετε την CA του οργανισμού στα τελικά σημεία αντί να μαθαίνετε σε κάθε σενάριο να δέχεται πιστοποιητικό φύλλου. Ένα σωστά εκδοθέν πιστοποιητικό με το σωστό SAN αφαιρεί την προτροπή για όλους, κρατά την επαλήθευση ουσιαστική και δεν εξαρτάται από τη μνήμη ενός τελικού σημείου για μια απόφαση. Η εγκατάσταση ριζικής CA είναι βαρύτερη αλλαγή από την εισαγωγή φύλλου, οπότε αντιμετωπίστε την ως διαχειριζόμενη ανάπτυξη και όχι ως συντόμευση της υπηρεσίας υποστήριξης.

Αφαιρέστε τις εξαιρέσεις που ζουν περισσότερο από την πύλη τους

Το AnyConnect αποθηκεύει αυτές τις προτιμήσεις ανά μηχάνημα, οπότε παλιές απαντήσεις συσσωρεύονται σε φορητούς που άλλαξαν γραφεία. Ελέγξτε τις αποθηκευμένες προτιμήσεις και τα εισαγμένα πιστοποιητικά στα διαχειριζόμενα τελικά σημεία και δείτε αν μια εξαίρεση ονομάζει ακόμη όνομα κεντρικού υπολογιστή που άλλαξε ιδιοκτήτη. Μια προτίμηση που δέχεται οποιονδήποτε μη αξιόπιστο διακομιστή είναι ευρύτερη από το πιστοποιητικό για το οποίο δημιουργήθηκε.

Το μοτίβο που αξίζει να κρατήσετε είναι στενό: αξιόπιστο πιστοποιητικό για κανονική χρήση, τεκμηριωμένος έλεγχος αποτυπώματος εκτός ζώνης για προσωρινή εξαίρεση, και ονομαστικός ιδιοκτήτης που την αφαιρεί όταν τελειώσει η μετεγκατάσταση. Αν βρείτε σε μηχάνημα που διαχειρίζεστε ρύθμιση που δέχεται οποιονδήποτε διακομιστή, αντιμετωπίστε την ως εύρημα και όχι ως ευκολία.