Avertissement AnyConnect de serveur non approuvé : accepter ou importer ?

Vous collez le nom d'hôte de la passerelle dans AnyConnect, la fenêtre devient rouge ou blanche, et une boîte de dialogue demande si vous faites confiance à un serveur dont le client ne peut pas vérifier le certificat. Le geste naturel est de cliquer et de se mettre au travail, et c'est exactement le mauvais réflexe. La réponse est écrite dans les préférences du client sur cette machine et s'applique aux connexions ultérieures, donc la boîte de dialogue est une décision de configuration déguisée en avertissement ponctuel. Voici le parcours que je suis, dans l'ordre où le client le présente.

Partez de l'avertissement que vous voyez réellement

Le rouge et le blanc ne sont pas des variantes esthétiques. L'avertissement rouge signifie que le profil ou la préférence est réglé pour bloquer les serveurs non approuvés, donc le client refuse de continuer tant que ce réglage n'a pas changé ; l'avertissement blanc signifie qu'il vous laissera continuer dès que vous aurez répondu explicitement. Un troisième cas lui ressemble et se comporte autrement : un certificat expiré, que le client ne proposera pas du tout d'importer, car l'importation ne le rendrait pas valide. Trier les trois prend une seconde et décide de tout ce qui suit.

Derrière tous se trouve une courte liste de causes : un certificat de passerelle auto-signé, une CA privée à laquelle le poste ne fait pas confiance, ou un nom d'hôte absent des subject alternative names du certificat. Chacune des trois produit la même boîte de dialogue et exige une correction différente.

Lisez le certificat avant de répondre à la boîte de dialogue

Ouvrez les détails du certificat depuis l'avertissement et regardez trois champs avant de toucher un bouton. Le subject et le SAN doivent nommer la passerelle que vous vouliez réellement joindre, l'émetteur doit être la CA que gère votre organisation, et les dates de validité doivent couvrir aujourd'hui. Comparez ensuite l'empreinte SHA-256 à une copie obtenue ailleurs que par cette connexion, une page de documentation interne ou un ticket, car une empreinte lue dans la même boîte de dialogue ne prouve absolument rien. Si vous ne trouvez pas de copie indépendante, vous n'avez aucune base pour accepter l'exception.

C'est l'étape qui sépare un laboratoire d'une passerelle de production. Sur une machine de test avec un certificat auto-signé généré hier, cliquer est raisonnable. Sur une passerelle d'entreprise où les utilisateurs saisissent ensuite leurs identifiants, un certificat que vous ne pouvez pas vérifier est un dispositif d'interception plausible, et le client est le seul composant qui pose encore la question.

Sachez ce que chaque réponse écrit dans le magasin de confiance

Répondre oui à la question d'importation ajoute le certificat de la passerelle au magasin de confiance du client sur cette machine. Ce n'est pas une exception par session : les connexions ultérieures peuvent aboutir sans la même invite, ce qui est le but et aussi le risque, car rien à l'écran ne rappelle à quiconque que l'exception existe. Répondre non poursuit la connexion pour cette session seulement. Les deux chemins vous connectent, et un seul modifie la machine.

Si vous êtes sur le chemin rouge, la première tentative n'est pas du tout une connexion. La séquence de saisie documentée est une ligne connect suivie de deux confirmations, qui modifie la préférence et quitte ; un script qui y voit un succès a enregistré un réglage et ne s'est jamais authentifié. La question de l'importation du certificat n'apparaît qu'à la tentative suivante, d'où la conclusion que l'invite est intermittente.

Cet ordre compte pour l'automatisation, pas seulement pour les doigts. Une réponse scriptée qui dit toujours oui continue de fonctionner après un changement de passerelle, et continue de faire confiance à n'importe quel certificat qui se présente ensuite.

Scriptez les réponses dans l'ordre où le client les demande

Quand le client avertit mais autorise la connexion, les réponses arrivent dans un ordre fixe : connect, oui pour continuer, puis la question d'importation, puis le groupe, le nom d'utilisateur et le mot de passe. Écrivez-les comme des lignes séparées dans le fichier d'entrée au lieu de deviner le moment des invites. Refuser l'importation est un changement d'un seul caractère dans le même fichier, et c'est le choix par défaut le plus sûr pour tout ce qui tourne sans surveillance.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Préférez distribuer la CA de l'organisation aux postes plutôt que d'apprendre à chaque script à accepter un certificat feuille. Un certificat correctement émis avec le bon SAN supprime l'invite pour tout le monde, garde la validation utile et ne dépend pas de la mémoire d'un seul poste sur une décision. Installer une CA racine est un changement plus lourd que d'importer une feuille, alors traitez-le comme un déploiement géré et non comme un raccourci du service d'assistance.

Supprimez les exceptions qui survivent à leur passerelle

AnyConnect enregistre ces préférences par machine, donc les anciennes réponses s'accumulent sur les portables qui ont changé de bureau. Passez en revue les préférences enregistrées et les certificats importés sur les postes gérés, et vérifiez si une exception nomme encore un hôte qui a changé de propriétaire. Une préférence qui accepte n'importe quel serveur non approuvé est plus large que le certificat pour lequel elle a été créée.

Le modèle à conserver est étroit : un certificat de confiance pour l'usage courant, une vérification d'empreinte hors bande documentée pour une exception temporaire, et un propriétaire nommé qui la retire à la fin de la migration. Si vous trouvez sur une machine que vous gérez un réglage qui accepte n'importe quel serveur, traitez-le comme un constat et non comme une commodité.