AnyConnect-warskôging oer net-fertroude tsjinner: akseptearje of ymportearje?

Jo plakke de hostnamme fan 'e gateway yn AnyConnect, it finster wurdt read of wyt, en in dialooch freget oft jo in tsjinner fertrouwe wolle waans sertifikaat de klient net kontrolearje kin. De natuerlike beweging is trochklikke en oan it wurk, en dat is krekt de ferkearde refleks. It antwurd wurdt skreaun yn 'e foarkar fan 'e klient op dy masine en jildt foar lettere ferbiningen, dus de dialooch is in konfiguraasjebeslút yn it kostúm fan in ienmalige warskôging. Hjir is de rûte dy't ik nim, yn 'e oarder wêryn't de klient it lit sjen.

Begjin by de warskôging dy't jo eins sjogge

Read en wyt binne gjin kosmetyske farianten. De reade warskôging betsjut dat it profyl of de foarkar ynsteld is om net-fertroude tsjinners te blokkearjen, dus de klient wegeret troch te gean oant dy ynstelling feroaret; de wite warskôging betsjut dat er jo trochgean lit sadree't jo dúdlik antwurdzje. In tredde gefal liket itselde en docht oars: in ferrûn sertifikaat, dat de klient hielendal net oanbiede sil om te ymportearjen, om't ymportearjen it net jildich meitsje soe. Dy trije skiede kostet in sekonde en beslút alles wat folget.

Efter har allegear stiet ien koarte list fan oarsaken: in selsûndertekene gateway-sertifikaat, in privee CA dêr't it einpunt net op fertrout, of in hostnamme dy't ûntbrekt yn 'e subject alternative names fan it sertifikaat. Elk fan 'e trije jout deselde dialooch en freget in oare oplossing.

Lês it sertifikaat foardat jo de dialooch beantwurdzje

Iepenje de sertifikaatdetails út 'e warskôging en sjoch nei trije fjilden foardat jo in knop oanreitsje. De subject en SAN moatte de gateway neame dy't jo eins berikke woene, de útjouwer moat de CA wêze dy't jo organisaasje rint, en de jildichheidsdatums moatte hjoed dekke. Fergelykje dan de SHA-256-fingerprint mei in kopy dy't jo earne oars as troch dizze ferbining krigen hawwe, in ynterne dokumintaasjepagina of in ticket, want in fingerprint dy't út deselde dialooch lêzen is, bewiist hielendal neat. Fine jo gjin ûnôfhinklike kopy, dan hawwe jo gjin basis om de útsûndering te akseptearjen.

Dit is de stap dy't in laboratoarium fan in produksje-gateway skiedt. Op in testmasine mei in selsûndertekene sertifikaat dat jo juster makke hawwe, is trochklikke ridlik. Op in bedriuwsgateway dêr't brûkers dêrnei harren oanmeldgegevens yntype, is in sertifikaat dat jo net kontrolearje kinne in oannimlike ôflústeropstelling, en de klient is it iennichste ûnderdiel dat de fraach noch stelt.

Wit wat elk antwurd yn 'e fertrouwensopslach skriuwt

Ja antwurdzje op 'e ymportfraach foeget it sertifikaat fan 'e gateway ta oan 'e fertroude opslach fan 'e klient op dy masine. It is gjin útsûndering per sesje: lettere ferbiningen kinne sûnder deselde oanfrege foltôgje, dat is it punt en ek it risiko, want neat op it skerm herinnert immen deroan dat de útsûndering bestiet. Nee antwurdzje set de oanmelding allinnich foar dizze sesje troch. Beide paden ferbine jo, en mar ien fan harren feroaret de masine.

Binne jo op it reade paad, dan is de earste poging hielendal gjin oanmelding. De dokumintearre ynfierfolchoarder is in connect-rigel folge troch twa befêstigings, dy't de foarkar feroaret en útgiet; in skript dat dat as sukses sjocht, hat in ynstelling bewarre en him nea autentisearre. De fraach oer sertifikaatymport ferskine pas by de folgjende poging, dêrom tinke minsken dat de oanfrege ûnregelmjittich is.

Dy oarder is fan belang foar automatisearring, net allinnich foar fingers. In skriptantwurd dat altyd ja seit, bliuwt wurkjen nei't de gateway feroare is, en bliuwt elk sertifikaat fertrouwen dat dêrnei ferskynt.

Skriuw de antwurden yn 'e oarder wêryn't de klient freget

As de klient warskôget mar de ferbining tastean, komme de antwurden yn in fêste oarder: connect, ja om troch te gean, dan de ymportfraach, dan de groep, de brûkersnamme en it wachtwurd. Skriuw se as aparte rigels yn it ynfierbestân ynstee fan de timing fan 'e oanfragen te rieden. It ymportearjen wegerje is in feroaring fan ien teken yn itselde bestân, en it is de feiliger standert foar alles wat sûnder tafersjoch rint.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Ferkeapje it distribuearjen fan 'e CA fan 'e organisaasje oan 'e einpunten boppe it learen fan elk skript om in blêdsertifikaat te akseptearjen. In goed útjûn sertifikaat mei de juste SAN hellet de oanfrege foar elkenien wei, hâldt falidaasje sinfol en hinget net ôf fan 'e ûnthâld fan ien einpunt oer in beslút. In root-CA ynstallearje is in swierder feroaring as in blêd ymportearje, behannelje it dus as in behearder útrôljen en net as in flugge omwei fan 'e helpdesk.

Ferwiderje de útsûnderingen dy't har gateway oerlibje

AnyConnect bewarret dizze foarkar per masine, dus âlde antwurden sammelje har op laptops dy't tusken kantoaren ferhuze binne. Besjoch de bewarre foarkar en de ymportearre sertifikaten op beheardere einpunten, en kontrolearje oft in útsûndering noch in hostnamme neamt dy't fan eigener feroare is. In foarkar dy't elke net-fertroude tsjinner akseptearret, is breder as it sertifikaat dêr't er foar makke is.

It patroan dat it wurdich is om te hâlden is smel: in fertroud sertifikaat foar normaal gebrûk, in dokumintearre fingerprint-kontrôle bûten de bân foar in tydlike útsûndering, en in neamde eigner dy't it fuorthellet as de migraasje einiget. Fine jo op in masine dy't jo beheare in ynstelling dy't elke tsjinner akseptearret, behannelje it dan as in befinning en net as in geriif.