Aviso de servidor non fiable de AnyConnect: aceptar ou importar?

Pegas o nome de host da pasarela en AnyConnect, a xanela vólvese vermella ou branca e un diálogo pregunta se confiar nun servidor cuxo certificado o cliente non pode verificar. O movemento natural é facer clic e pórse a traballar, e ese é exactamente o reflexo equivocado. A resposta escríbese nas preferencias do cliente nesa máquina e aplícase ás conexións posteriores, así que o diálogo é unha decisión de configuración disfrazada de aviso único. Este é o percorrido que fago, na orde en que o cliente o mostra.

Comeza polo aviso que realmente ves

Vermello e branco non son variantes estéticas. O aviso vermello significa que o perfil ou a preferencia está configurado para bloquear servidores non fiables, así que o cliente négase a continuar ata que cambie ese axuste; o aviso branco significa que che deixará continuar en canto respondas de forma explícita. Hai un terceiro caso que parece igual e compórtase distinto: un certificado caducado, que o cliente non ofrecerá importar de ningún xeito, porque importalo non o faría válido. Distinguir os tres leva un segundo e decide todo o que segue.

Detrás de todos hai unha lista curta de causas: un certificado de pasarela autoasinado, unha CA privada na que o extremo non confía, ou un nome de host que falta nos subject alternative names do certificado. Calquera das tres produce o mesmo diálogo e necesita unha corrección distinta.

Le o certificado antes de responder ao diálogo

Abre os detalles do certificado desde o aviso e mira tres campos antes de tocar un botón. O subject e o SAN deben nomear a pasarela á que realmente querías chegar, o emisor debe ser a CA que xestiona a túa organización, e as datas de validez deben cubrir hoxe. Despois compara a pegada SHA-256 cunha copia que obtiveches noutro sitio que non sexa esta conexión, unha páxina de documentación interna ou un tícket, porque unha pegada lida do mesmo diálogo non demostra absolutamente nada. Se non atopas unha copia independente, non tes base para aceptar a excepción.

Este é o paso que separa un laboratorio dunha pasarela de produción. Nunha máquina de probas cun certificado autoasinado que xeraches onte, facer clic é razoable. Nunha pasarela corporativa onde os usuarios escriben credenciais a continuación, un certificado que non podes verificar é unha configuración de interceptación plausible, e o cliente é o único compoñente que aínda fai a pregunta.

Sabe que escribe cada resposta no almacén de confianza

Responder si á pregunta de importación engade o certificado da pasarela ao almacén de confianza do cliente nesa máquina. Non é unha excepción por sesión: as conexións posteriores poden completarse sen o mesmo aviso, que é o obxectivo e tamén o risco, porque nada na pantalla lle lembra a ninguén que a excepción existe. Responder non continúa o inicio de sesión só para esta sesión. Ambos os camiños che conectan, e só un deles cambia a máquina.

Se estás no camiño vermello, o primeiro intento non é un inicio de sesión en absoluto. A secuencia de entrada documentada é unha liña connect seguida de dúas confirmacións, que cambia a preferencia e sae; un script que o tome como éxito gardou un axuste e nunca se autenticou. A pregunta de importación do certificado só aparece no seguinte intento, e por iso a xente conclúe que o aviso é intermitente.

Esa orde importa para a automatización, non só para os dedos. Unha resposta escrita que sempre di si segue funcionando despois de que cambie a pasarela, e segue confiando en calquera certificado que apareza despois.

Escribe as respostas na orde en que o cliente as pide

Cando o cliente avisa pero permite a conexión, as respostas chegan nunha orde fixa: connect, si para continuar, despois a pregunta de importación, despois o grupo, o usuario e o contrasinal. Escríbeas como liñas separadas no ficheiro de entrada en lugar de adiviñar o momento dos avisos. Rexeitar a importación é un cambio dun só carácter no mesmo ficheiro, e é o valor predeterminado máis seguro para todo o que se executa sen supervisión.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Prefire distribuir a CA da organización aos extremos antes que ensinar a cada script a aceptar un certificado folla. Un certificado emitido correctamente co SAN axeitado elimina o aviso para todos, mantén a validación con sentido e non depende da memoria dun só extremo sobre unha decisión. Instalar unha CA raíz é un cambio máis pesado que importar unha folla, así que trátao como un despregamento xestionado e non como un atallo do servizo de asistencia.

Elimina as excepcións que sobreviven á súa pasarela

AnyConnect garda estas preferencias por máquina, así que as respostas antigas acumúlanse en portátiles que cambiaron de oficina. Revisa as preferencias gardadas e os certificados importados nos extremos xestionados, e comproba se unha excepción aínda nomea un host que cambiou de propietario. Unha preferencia que acepta calquera servidor non fiable é máis ampla que o certificado para o que se creou.

O patrón que merece conservarse é estreito: un certificado de confianza para o uso normal, unha comprobación de pegada fóra de banda documentada para unha excepción temporal e un propietario con nome que a retira cando remata a migración. Se atopas nunha máquina que xestionas un axuste que acepta calquera servidor, trátao como un achado e non como unha comodidade.