AnyConnect-averto pri nefidinda servilo: akcepti aŭ importi?

Vi enmetas la gastignomon de la enirejo en AnyConnect, la fenestro ruĝiĝas aŭ blankiĝas, kaj dialogo demandas ĉu fidi servilon, kies atestilon la kliento ne povas kontroli. La natura movo estas klaki kaj eklabori, kaj ĝuste tio estas la malĝusta reflekso. La respondo estas skribata en la agordojn de la kliento sur tiu maŝino kaj validas por postaj konektoj, do la dialogo estas decido pri agordo vestita kiel unufoja averto. Jen la vojo, kiun mi sekvas, laŭ la ordo, en kiu la kliento montras ĝin.

Komencu de la averto, kiun vi efektive vidas

Ruĝa kaj blanka ne estas kosmetikaj variantoj. La ruĝa averto signifas, ke la profilo aŭ agordo estas fiksita por bloki nefidindajn servilojn, do la kliento rifuzas daŭrigi ĝis tiu agordo ŝanĝiĝos; la blanka averto signifas, ke ĝi lasos vin daŭrigi post kiam vi respondos eksplicite. Tria kazo aspektas simila kaj kondutas alie: eksvalida atestilo, kiun la kliento tute ne proponos importi, ĉar importo ne igus ĝin valida. Distingi la tri daŭras sekundon kaj decidas ĉion sekvan.

Malantaŭ ĉiuj staras mallonga listo de kaŭzoj: memsubskribita atestilo de la enirejo, privata CA, kiun la finpunkto ne fidas, aŭ gastignomo mankanta en la subject alternative names de la atestilo. Ĉiu el la tri produktas la saman dialogon kaj bezonas alian riparon.

Legu la atestilon antaŭ ol respondi la dialogon

Malfermu la detalojn de la atestilo el la averto kaj rigardu tri kampojn antaŭ ol tuŝi butonon. La subject kaj SAN devas nomi la enirejon, kiun vi vere celis atingi, la eldoninto devas esti la CA, kiun via organizo funkciigas, kaj la validaj datoj devas kovri hodiaŭ. Poste komparu la SHA-256-fingrospuron kun kopio, kiun vi akiris aliloke ol per ĉi tiu konekto, interna dokumenta paĝo aŭ bileto, ĉar fingrospuro legita el la sama dialogo pruvas nenion. Se vi ne trovas sendependan kopion, vi havas neniun bazon por akcepti la escepton.

Ĉi tio estas la paŝo, kiu apartigas laboratorion de produka enirejo. Sur testmaŝino kun memsubskribita atestilo, kiun vi kreis hieraŭ, klaki estas racia. Sur entreprena enirejo, kie uzantoj poste tajpas akreditaĵojn, atestilo, kiun vi ne povas kontroli, estas verŝajna interkapta aranĝo, kaj la kliento estas la sola komponanto, kiu ankoraŭ demandas la demandon.

Sciu, kion ĉiu respondo skribas en la fidan konservejon

Respondi jes al la importa demando aldonas la atestilon de la enirejo al la fidinda konservejo de la kliento sur tiu maŝino. Ĝi ne estas escepto por unu sesio: postaj konektoj povas finiĝi sen la sama invito, kio estas la celo kaj ankaŭ la risko, ĉar nenio sur la ekrano memorigas al iu, ke la escepto ekzistas. Respondi ne daŭrigas la saluton nur por ĉi tiu sesio. Ambaŭ vojoj konektas vin, kaj nur unu el ili ŝanĝas la maŝinon.

Se vi estas sur la ruĝa vojo, la unua provo tute ne estas saluto. La dokumentita eniga sinsekvo estas linio connect kaj poste du konfirmoj, kio ŝanĝas la agordon kaj eliras; skripto, kiu taksas tion sukceso, konservis agordon kaj neniam aŭtentikigis. La demando pri importo de atestilo aperas nur ĉe la sekva provo, tial homoj konkludas, ke la invito estas intermita.

Tiu ordo gravas por aŭtomatigo, ne nur por fingroj. Skripta respondo, kiu ĉiam diras jes, daŭre funkcias post kiam la enirejo ŝanĝiĝos, kaj daŭre fidas kiun ajn atestilon, kiu aperos poste.

Skriptu la respondojn laŭ la ordo, en kiu la kliento demandas

Kiam la kliento avertas sed permesas la konekton, la respondoj alvenas en fiksa ordo: connect, jes por daŭrigi, poste la importa demando, poste la grupo, la uzantnomo kaj la pasvorto. Skribu ilin kiel apartajn liniojn en la eniga dosiero anstataŭ diveni la tempon de la invitoj. Rifuzi la importon estas ŝanĝo de unu signo en la sama dosiero, kaj ĝi estas la pli sekura defaŭlto por io ajn, kio funkcias sen superrigardo.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Preferu disdoni la CA de la organizo al la finpunktoj anstataŭ instrui ĉiun skripton akcepti folian atestilon. Ĝuste eldonita atestilo kun la ĝusta SAN forigas la inviton por ĉiuj, tenas la kontroladon senchava kaj ne dependas de la memoro de unu finpunkto pri decido. Instali radikan CA estas pli peza ŝanĝo ol importi folion, do traktu ĝin kiel administritan enkondukon, ne kiel helpdeskan ŝparvojon.

Forigu la esceptojn, kiuj vivas pli longe ol sia enirejo

AnyConnect konservas ĉi tiujn agordojn por ĉiu maŝino, do malnovaj respondoj amasiĝas sur tekkomputiloj, kiuj migris inter oficejoj. Revizu la konservitajn agordojn kaj la importitajn atestilojn sur administritaj finpunktoj, kaj kontrolu, ĉu escepto ankoraŭ nomas gastignomon, kiu ŝanĝis posedanton. Agordo, kiu akceptas iun ajn nefidindan servilon, estas pli larĝa ol la atestilo, por kiu ĝi estis kreita.

La ŝablono inda je konservo estas mallarĝa: fidinda atestilo por normala uzo, dokumentita eksterbenda fingrospura kontrolo por provizora escepto, kaj nomita posedanto, kiu forigas ĝin kiam la migrado finiĝos. Se vi trovas sur maŝino, kiun vi administras, agordon, kiu akceptas iun ajn servilon, traktu ĝin kiel trovaĵon, ne kiel oportunaĵon.