AnyConnecti hoiatus usaldamata serveri kohta: kas nõustuda või importida?

Kleebite lüüsi hostinime AnyConnecti, aken muutub punaseks või valgeks ja dialoog küsib, kas usaldada serverit, mille sertifikaati klient ei suuda kontrollida. Loomulik liigutus on läbi klõpsata ja tööle asuda, ja just see on vale refleks. Vastus kirjutatakse selle masina kliendi eelistustesse ja kehtib hilisemate ühenduste puhul, seega on dialoog konfiguratsiooniotsus ühekordse hoiatuse kostüümis. Siin on käik, mille teen, selles järjekorras, nagu klient seda näitab.

Alustage hoiatusest, mida te tegelikult näete

Punane ja valge ei ole kosmeetilised variandid. Punane hoiatus tähendab, et profiil või eelistus on seatud usaldamata servereid blokeerima, mistõttu klient keeldub jätkamast, kuni see säte muutub; valge hoiatus tähendab, et klient laseb teil jätkata, kui vastate selgesõnaliselt. Kolmas juhtum näeb sarnane välja ja käitub teisiti: aegunud sertifikaat, mida klient ei paku üldse importida, sest import ei muudaks seda kehtivaks. Nende kolme eristamine võtab sekundi ja otsustab kõik järgneva.

Nende kõigi taga on lühike põhjuste loend: iseallkirjastatud lüüsi sertifikaat, privaatne CA, mida lõpp-punkt ei usalda, või hostinimi, mis puudub sertifikaadi subject alternative names väljal. Iga kolmest annab sama dialoogi ja vajab erinevat parandust.

Lugege sertifikaati enne, kui dialoogile vastate

Avage hoiatuse alt sertifikaadi üksikasjad ja vaadake kolme välja enne, kui nupule vajutate. Subject ja SAN peaksid nimetama lüüsi, kuhu te tegelikult jõuda tahtsite, väljaandja peaks olema CA, mida teie organisatsioon haldab, ja kehtivuskuupäevad peaksid katma tänast. Seejärel võrrelge SHA-256 sõrmejälge koopiaga, mille hankisite mujalt kui selle ühenduse kaudu, sisemiselt dokumentatsioonilehelt või piletist, sest samast dialoogist loetud sõrmejälg ei tõesta midagi. Kui te ei leia sõltumatut koopiat, puudub teil alus erandi vastuvõtmiseks.

See on samm, mis eraldab labori tootmislüüsist. Testmasinas, kus on eile loodud iseallkirjastatud sertifikaat, on läbi klõpsamine mõistlik. Ettevõtte lüüsis, kuhu kasutajad seejärel volitusi sisestavad, on sertifikaat, mida te ei saa kontrollida, tõenäoline pealtkuulamise lahendus, ja klient on ainus komponent, mis veel küsimust esitab.

Tea, mida iga vastus usaldushoidlasse kirjutab

Jah-vastus impordiküsimusele lisab lüüsi sertifikaadi selle masina kliendi usaldusväärsesse hoidlasse. See ei ole sessioonipõhine erand: hilisemad ühendused võivad toimuda ilma sama viipeta, mis ongi mõte ja ka risk, sest miski ekraanil ei tuleta kellelegi meelde, et erand on olemas. Ei-vastus jätkab sisselogimist ainult selle sessiooni jaoks. Mõlemad teed ühendavad teid ja ainult üks neist muudab masinat.

Kui olete punasel teel, ei ole esimene katse üldse sisselogimine. Dokumenteeritud sisendjärjestus on connect-rida, millele järgneb kaks kinnitust, mis muudab eelistust ja väljub; skript, mis peab seda õnnestumiseks, on salvestanud sätte ega ole kunagi autentinud. Sertifikaadi importimise küsimus ilmub alles järgmisel katsel, mistõttu inimesed järeldavad, et viip on katkendlik.

See järjekord loeb automatiseerimise jaoks, mitte ainult sõrmede jaoks. Skriptitud vastus, mis ütleb alati jah, töötab edasi ka pärast lüüsi vahetust ja usaldab edasi iga sertifikaati, mis järgmisena ilmub.

Kirjutage vastused selles järjekorras, nagu klient küsib

Kui klient hoiatab, aga lubab ühenduse, saabuvad vastused kindlas järjekorras: connect, jah jätkamiseks, siis impordiküsimus, siis grupp, kasutajanimi ja parool. Kirjutage need sisendfaili eraldi ridadeks, selle asemel et viipade ajastust oletada. Importimisest keeldumine on ühe märgi muudatus samas failis ja see on turvalisem vaikeväärtus kõigele, mis töötab järelevalveta.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Eelistage organisatsiooni CA levitamist lõpp-punktidesse selle asemel, et õpetada igale skriptile lehtsertifikaadi vastuvõtmist. Nõuetekohaselt välja antud sertifikaat õige SAN-iga eemaldab viipa kõigi jaoks, hoiab valideerimise mõtestatuna ega sõltu ühe lõpp-punkti mälust otsuse kohta. Juur-CA paigaldamine on raskem muudatus kui lehe importimine, seega käsitlege seda juhitava juurutamisena, mitte tugiteenuse otseteena.

Eemaldage erandid, mis elavad oma lüüsist kauem

AnyConnect salvestab need eelistused masinapõhiselt, seega kogunevad vanad vastused sülearvutitesse, mis on kontorite vahel liikunud. Vaadake läbi salvestatud eelistused ja imporditud sertifikaadid hallatavates lõpp-punktides ning kontrollige, kas erand nimetab veel hostinime, mille omanik on muutunud. Eelistus, mis võtab vastu iga usaldamata serveri, on laiem kui sertifikaat, mille jaoks see loodi.

Muster, mida tasub hoida, on kitsas: usaldusväärne sertifikaat tavakasutuseks, dokumenteeritud ribaväline sõrmejälje kontroll ajutise erandi jaoks ja nimetatud omanik, kes selle migratsiooni lõppedes eemaldab. Kui leiate masinas, mida haldad, kõiki servereid aktsepteeriva sätte, käsitlege seda leiuna, mitte mugavusena.