هشدار AnyConnect درباره سرور غیرقابل‌اعتماد: بپذیریم یا وارد کنیم؟

نام میزبان دروازه را در AnyConnect می‌چسبانید، پنجره قرمز یا سفید می‌شود و کادری می‌پرسد آیا به سروری اعتماد می‌کنید که کارخواه نمی‌تواند گواهی آن را بررسی کند. حرکت طبیعی کلیک کردن و شروع کار است و این دقیقاً واکنش اشتباه است. پاسخ در تنظیمات کارخواه روی همان ماشین نوشته می‌شود و برای اتصال‌های بعدی هم اعمال می‌شود، پس این کادر تصمیمی درباره پیکربندی است که لباس هشداری یک‌باره پوشیده است. این مسیری است که طی می‌کنم، به همان ترتیبی که کارخواه نشان می‌دهد.

از همان هشداری شروع کنید که واقعاً می‌بینید

قرمز و سفید گونه‌های ظاهری نیستند. هشدار قرمز یعنی نمایه یا تنظیم برای مسدود کردن سرورهای غیرقابل‌اعتماد تنظیم شده است، پس کارخواه تا تغییر آن تنظیم از ادامه خودداری می‌کند؛ هشدار سفید یعنی به‌محض پاسخ صریح شما اجازه ادامه می‌دهد. حالت سومی هم شبیه است و رفتار دیگری دارد: گواهی منقضی، که کارخواه اصلاً پیشنهاد وارد کردنش را نمی‌دهد، چون وارد کردن آن را معتبر نمی‌کند. جدا کردن این سه یک ثانیه طول می‌کشد و همه‌چیز بعدی را تعیین می‌کند.

پشت همه آن‌ها فهرست کوتاهی از علت‌ها هست: گواهی خودامضای دروازه، یک CA خصوصی که نقطه پایانی به آن اعتماد ندارد، یا نام میزبانی که در subject alternative names گواهی نیست. هر یک از این سه همان کادر را می‌سازد و اصلاح متفاوتی می‌خواهد.

پیش از پاسخ به کادر، گواهی را بخوانید

جزئیات گواهی را از هشدار باز کنید و پیش از لمس هر دکمه سه فیلد را ببینید. subject و SAN باید همان دروازه‌ای را نام ببرند که واقعاً می‌خواستید به آن برسید، صادرکننده باید CA باشد که سازمان شما اداره می‌کند، و تاریخ‌های اعتبار باید امروز را بپوشانند. سپس اثر انگشت SHA-256 را با نسخه‌ای مقایسه کنید که از جایی جز این اتصال گرفته‌اید، یک صفحه مستندات داخلی یا یک تیکت، چون اثر انگشتی که از همان کادر خوانده شود هیچ چیزی را ثابت نمی‌کند. اگر نسخه مستقلی پیدا نکنید، هیچ مبنایی برای پذیرش استثنا ندارید.

این همان گامی است که یک آزمایشگاه را از دروازه تولید جدا می‌کند. روی ماشین آزمایشی با گواهی خودامضایی که دیروز ساخته‌اید، کلیک کردن معقول است. روی دروازه سازمانی که کاربران بعد از آن اطلاعات ورود را تایپ می‌کنند، گواهی‌ای که نمی‌توانید بررسی کنید آرایش شنود محتملی است و کارخواه تنها جزئی است که هنوز سؤال را می‌پرسد.

بدانید هر پاسخ چه چیزی در مخزن اعتماد می‌نویسد

پاسخ بله به پرسش وارد کردن، گواهی دروازه را به مخزن مورد اعتماد کارخواه روی همان ماشین اضافه می‌کند. این استثنای هر نشست نیست: اتصال‌های بعدی می‌توانند بدون همان اعلان کامل شوند، که هم هدف است و هم خطر، چون چیزی روی صفحه به کسی یادآوری نمی‌کند که آن استثنا وجود دارد. پاسخ خیر ادامه ورود را فقط برای همین نشست نگه می‌دارد. هر دو مسیر شما را وصل می‌کنند و فقط یکی از آن‌ها ماشین را تغییر می‌دهد.

اگر روی مسیر قرمز هستید، تلاش اول اصلاً ورود نیست. دنباله ورودی مستند یک خط connect و سپس دو تأیید است که تنظیم را تغییر می‌دهد و خارج می‌شود؛ اسکریپتی که این را موفقیت بداند تنظیمی را ذخیره کرده و هرگز احراز هویت نکرده است. پرسش وارد کردن گواهی فقط در تلاش بعدی ظاهر می‌شود، از همین رو مردم نتیجه می‌گیرند که این اعلان گاه‌به‌گاه است.

این ترتیب برای خودکارسازی مهم است، نه فقط برای انگشتان. پاسخ اسکریپتی که همیشه بله می‌گوید پس از تغییر دروازه هم کار می‌کند و همچنان به هر گواهی‌ای که بعداً برسد اعتماد می‌کند.

پاسخ‌ها را به ترتیبی بنویسید که کارخواه می‌پرسد

وقتی کارخواه هشدار می‌دهد اما اجازه اتصال می‌دهد، پاسخ‌ها به ترتیب ثابتی می‌رسند: connect، بله برای ادامه، سپس پرسش وارد کردن، سپس گروه، نام کاربری و گذرواژه. آن‌ها را به‌صورت خطوط جداگانه در فایل ورودی بنویسید نه اینکه زمان اعلان‌ها را حدس بزنید. رد کردن وارد کردن تغییر یک نویسه در همان فایل است و گزینه پیش‌فرض ایمن‌تر برای هر چیزی است که بدون نظارت اجرا می‌شود.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

ترجیح دهید CA سازمان را به نقاط پایانی توزیع کنید تا اینکه به هر اسکریپت بیاموزید گواهی برگ را بپذیرد. گواهی درست صادرشده با SAN مناسب اعلان را برای همه حذف می‌کند، اعتبارسنجی را معنادار نگه می‌دارد و به حافظه یک نقطه پایانی درباره یک تصمیم وابسته نیست. نصب CA ریشه تغییر سنگین‌تری از وارد کردن برگ است، پس آن را به‌عنوان استقرار مدیریت‌شده ببینید نه میان‌بر میز پشتیبانی.

استثناهایی را که بیش از دروازه‌شان عمر می‌کنند بردارید

AnyConnect این تنظیمات را برای هر ماشین ذخیره می‌کند، پس پاسخ‌های قدیمی روی لپ‌تاپ‌هایی که بین دفترها جابه‌جا شده‌اند جمع می‌شوند. تنظیمات ذخیره‌شده و گواهی‌های واردشده را روی نقاط پایانی مدیریت‌شده مرور کنید و ببینید آیا استثنایی هنوز نام میزبانی را می‌آورد که مالکش عوض شده است. تنظیمی که هر سرور غیرقابل‌اعتمادی را می‌پذیرد گسترده‌تر از گواهی‌ای است که برایش ساخته شده.

الگویی که ارزش نگه داشتن دارد باریک است: گواهی مورد اعتماد برای استفاده معمول، بررسی مستند اثر انگشت خارج از باند برای یک استثنای موقت، و مالکی نام‌دار که وقتی مهاجرت تمام شد آن را برمی‌دارد. اگر روی ماشینی که مدیریت می‌کنید تنظیمی یافتید که هر سروری را می‌پذیرد، آن را یافته بدانید نه راحتی.