AnyConnectin varoitus ei-luotetusta palvelimesta: hyväksyä vai tuoda?

Liität yhdyskäytävän isäntänimen AnyConnectiin, ikkuna muuttuu punaiseksi tai valkoiseksi ja valintaikkuna kysyy, luotatko palvelimeen, jonka varmennetta asiakasohjelma ei voi tarkistaa. Luonnollinen liike on klikata läpi ja ryhtyä töihin, ja juuri se on väärä refleksi. Vastaus kirjoitetaan asiakasohjelman asetuksiin sillä koneella ja se koskee myöhempiä yhteyksiä, joten valintaikkuna on kokoonpanopäätös kertaluonteisen varoituksen asussa. Tässä on reitti, jonka kuljen, siinä järjestyksessä kuin asiakasohjelma sen näyttää.

Aloita varoituksesta, jonka todella näet

Punainen ja valkoinen eivät ole kosmeettisia muunnelmia. Punainen varoitus tarkoittaa, että profiili tai asetus on määritetty estämään ei-luotetut palvelimet, joten asiakasohjelma kieltäytyy jatkamasta, kunnes asetus muuttuu; valkoinen varoitus tarkoittaa, että se päästää sinut jatkamaan heti kun vastaat selvästi. Kolmas tapaus näyttää samalta ja käyttäytyy toisin: vanhentunut varmenne, jota asiakasohjelma ei tarjoa tuotavaksi lainkaan, koska tuonti ei tekisi siitä kelvollista. Näiden kolmen erottaminen kestää sekunnin ja ratkaisee kaiken seuraavan.

Kaikkien takana on lyhyt luettelo syistä: itse allekirjoitettu yhdyskäytävän varmenne, yksityinen CA, johon päätepiste ei luota, tai isäntänimi, joka puuttuu varmenteen subject alternative names -kentästä. Mikä tahansa kolmesta tuottaa saman valintaikkunan ja vaatii eri korjauksen.

Lue varmenne ennen kuin vastaat valintaikkunaan

Avaa varmenteen tiedot varoituksesta ja katso kolmea kenttää ennen kuin kosket painiketta. Subjectin ja SANin pitäisi nimetä yhdyskäytävä, johon todella halusit päästä, myöntäjän pitäisi olla organisaatiosi ylläpitämä CA, ja voimassaolopäivien pitäisi kattaa tämä päivä. Vertaa sitten SHA-256-sormenjälkeä kopioon, jonka hankit muualta kuin tämän yhteyden kautta, sisäiseltä dokumentaatiosivulta tai tiketistä, sillä samasta valintaikkunasta luettu sormenjälki ei todista yhtään mitään. Jos et löydä riippumatonta kopiota, sinulla ei ole perustetta hyväksyä poikkeusta.

Tämä on askel, joka erottaa laboratorion tuotantoyhdyskäytävästä. Testikoneella, jossa on eilen luotu itse allekirjoitettu varmenne, läpi klikkaaminen on järkevää. Yrityksen yhdyskäytävällä, jossa käyttäjät kirjoittavat seuraavaksi tunnuksensa, varmenne jota et voi tarkistaa on uskottava sieppausjärjestely, ja asiakasohjelma on ainoa osa, joka vielä kysyy kysymyksen.

Tiedä, mitä kukin vastaus kirjoittaa luottamusvarastoon

Kyllä-vastaus tuontikysymykseen lisää yhdyskäytävän varmenteen asiakasohjelman luotettuun varastoon sillä koneella. Se ei ole istuntokohtainen poikkeus: myöhemmät yhteydet voivat valmistua ilman samaa kehotetta, mikä on tarkoitus ja myös riski, koska mikään näytöllä ei muistuta ketään poikkeuksen olemassaolosta. Ei-vastaus jatkaa kirjautumista vain tämän istunnon ajan. Molemmat polut yhdistävät sinut, ja vain toinen niistä muuttaa konetta.

Jos olet punaisella polulla, ensimmäinen yritys ei ole kirjautuminen lainkaan. Dokumentoitu syöttöjärjestys on connect-rivi ja sen jälkeen kaksi vahvistusta, joka muuttaa asetusta ja poistuu; komentosarja, joka pitää sitä onnistumisena, on tallentanut asetuksen eikä koskaan todennut käyttäjää. Varmenteen tuontikysymys ilmestyy vasta seuraavalla yrityksellä, siksi ihmiset päättelevät kehotteen olevan ajoittainen.

Tuo järjestys merkitsee automaatiolle, ei vain sormille. Komentosarjavastaus, joka sanoo aina kyllä, toimii edelleen yhdyskäytävän vaihduttua ja luottaa edelleen mihin tahansa varmenteeseen, joka seuraavaksi ilmestyy.

Kirjoita vastaukset siinä järjestyksessä kuin asiakasohjelma kysyy

Kun asiakasohjelma varoittaa mutta sallii yhteyden, vastaukset tulevat kiinteässä järjestyksessä: connect, kyllä jatkaaksesi, sitten tuontikysymys, sitten ryhmä, käyttäjänimi ja salasana. Kirjoita ne erillisiksi riveiksi syöttötiedostoon sen sijaan että arvaisit kehotteiden ajoituksen. Tuonnista kieltäytyminen on yhden merkin muutos samassa tiedostossa, ja se on turvallisempi oletus kaikelle, mikä toimii ilman valvontaa.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Suosi organisaation CA:n jakamista päätepisteisiin sen sijaan, että opettaisit jokaiselle komentosarjalle lehtivarmenteen hyväksymisen. Asianmukaisesti myönnetty varmenne oikealla SANilla poistaa kehotteen kaikilta, pitää validoinnin mielekkäänä eikä riipu yhden päätepisteen muistista päätöksen suhteen. Juuri-CA:n asentaminen on raskaampi muutos kuin lehden tuonti, joten käsittele sitä hallittuna käyttöönottona, älä tukipalvelun oikotienä.

Poista poikkeukset, jotka elävät yhdyskäytäväänsä pidempään

AnyConnect tallentaa nämä asetukset konekohtaisesti, joten vanhat vastaukset kertyvät toimistojen välillä siirtyneisiin kannettaviin. Käy läpi tallennetut asetukset ja tuodut varmenteet hallituissa päätepisteissä ja tarkista, nimeääkö poikkeus yhä isäntänimen, jonka omistaja on vaihtunut. Asetus, joka hyväksyy minkä tahansa ei-luotetun palvelimen, on laajempi kuin varmenne, jota varten se luotiin.

Säilyttämisen arvoinen malli on kapea: luotettu varmenne normaaliin käyttöön, dokumentoitu kaistan ulkopuolinen sormenjälkitarkistus tilapäiselle poikkeukselle ja nimetty omistaja, joka poistaa sen migraation päätyttyä. Jos löydät hallitsemaltasi koneelta asetuksen, joka hyväksyy minkä tahansa palvelimen, kohtele sitä havaintona äläkä mukavuutena.