AnyConnect-figyelmeztetés nem megbízható kiszolgálóról: elfogadni vagy importálni?

Beilleszti az átjáró hosztnevét az AnyConnectbe, az ablak piros vagy fehér lesz, és egy párbeszédablak megkérdezi, hogy megbízik-e egy kiszolgálóban, amelynek tanúsítványát a kliens nem tudja ellenőrizni. A természetes mozdulat az, hogy végigkattint és dolgozni kezd, és ez pontosan a rossz reflex. A válasz a kliens beállításaiba íródik azon a gépen, és a későbbi kapcsolatokra is érvényes, tehát a párbeszédablak egy konfigurációs döntés egyszeri figyelmeztetés jelmezében. Íme az az útvonal, amelyet követek, abban a sorrendben, ahogy a kliens mutatja.

Kezdje azzal a figyelmeztetéssel, amelyet valóban lát

A piros és a fehér nem kozmetikai változatok. A piros figyelmeztetés azt jelenti, hogy a profil vagy beállítás a nem megbízható kiszolgálók blokkolására van állítva, ezért a kliens nem hajlandó folytatni, amíg ez a beállítás nem változik; a fehér figyelmeztetés azt jelenti, hogy enged továbbhaladni, amint kifejezetten válaszol. Van egy harmadik eset, amely hasonlónak tűnik és másként viselkedik: egy lejárt tanúsítvány, amelyet a kliens egyáltalán nem kínál importálásra, mert az importálás nem tenné érvényessé. A három szétválogatása egy másodpercet vesz igénybe, és mindent eldönt, ami következik.

Mindegyikük mögött okok rövid listája áll: önaláírt átjáró-tanúsítvány, olyan privát CA, amelyben a végpont nem bízik, vagy olyan hosztnév, amely hiányzik a tanúsítvány subject alternative names mezőjéből. Bármelyikük ugyanazt a párbeszédablakot hozza, és más javítást igényel.

Olvassa el a tanúsítványt, mielőtt válaszol a párbeszédablakra

Nyissa meg a tanúsítvány részleteit a figyelmeztetésből, és nézzen meg három mezőt, mielőtt bármelyik gombot megérinti. A subject és a SAN nevezze meg azt az átjárót, amelyet valóban el akart érni, a kibocsátó az a CA legyen, amelyet a szervezete üzemeltet, az érvényességi dátumok pedig fedjék le a mai napot. Ezután hasonlítsa össze a SHA-256 ujjlenyomatot egy olyan másolattal, amelyet nem ezen a kapcsolaton keresztül szerzett be, egy belső dokumentációs oldalról vagy jegyből, mert az ugyanabból a párbeszédablakból leolvasott ujjlenyomat semmit sem bizonyít. Ha nem talál független másolatot, nincs alapja elfogadni a kivételt.

Ez az a lépés, amely elválasztja a laboratóriumot az éles átjárótól. Egy tegnap generált önaláírt tanúsítvánnyal rendelkező tesztgépen a végigkattintás ésszerű. Egy vállalati átjárón, ahol a felhasználók ezután beírják a hitelesítő adataikat, az ellenőrizhetetlen tanúsítvány valószínű lehallgatási felállítás, és a kliens az egyetlen olyan összetevő, amely még felteszi a kérdést.

Tudja, mit ír minden válasz a bizalmi tárolóba

Az importálási kérdésre adott igen válasz hozzáadja az átjáró tanúsítványát a kliens megbízható tárolójához azon a gépen. Ez nem munkamenetenkénti kivétel: a későbbi kapcsolatok ugyanazon kérés nélkül is létrejöhetnek, ami a cél és egyben a kockázat, mert semmi a képernyőn nem emlékeztet senkit arra, hogy a kivétel létezik. A nem válasz csak erre a munkamenetre folytatja a bejelentkezést. Mindkét út összekapcsolja Önt, és csak az egyik változtatja meg a gépet.

Ha a piros úton van, az első kísérlet egyáltalán nem bejelentkezés. A dokumentált bemeneti sorrend egy connect sor, majd két megerősítés, amely megváltoztatja a beállítást és kilép; az a szkript, amely ezt sikernek tekinti, beállítást mentett, és soha nem hitelesített. A tanúsítvány importálására vonatkozó kérdés csak a következő kísérletnél jelenik meg, ezért gondolják azt az emberek, hogy a kérés rendszertelen.

Ez a sorrend az automatizálás szempontjából fontos, nem csak az ujjak szempontjából. Az a szkriptválasz, amely mindig igent mond, az átjáró cseréje után is működik, és továbbra is megbízik bármely tanúsítványban, amely ezután megjelenik.

Írja a válaszokat abban a sorrendben, ahogy a kliens kérdez

Amikor a kliens figyelmeztet, de engedélyezi a kapcsolatot, a válaszok rögzített sorrendben érkeznek: connect, igen a folytatáshoz, majd az importálási kérdés, majd a csoport, a felhasználónév és a jelszó. Írja ezeket külön sorokként a bemeneti fájlba, ahelyett hogy a kérések időzítését találgatná. Az importálás elutasítása egyetlen karakter változtatása ugyanabban a fájlban, és ez a biztonságosabb alapértelmezés mindenre, ami felügyelet nélkül fut.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Inkább ossza el a szervezet CA-ját a végpontokon, mint hogy megtanítsa minden szkriptnek egy levéltanúsítvány elfogadását. A megfelelően kiállított, helyes SAN-nal rendelkező tanúsítvány mindenki számára megszünteti a kérést, értelmesen tartja az ellenőrzést, és nem függ egyetlen végpont döntésre vonatkozó emlékezetétől. A gyökér-CA telepítése nehezebb változás, mint egy levél importálása, ezért kezelje felügyelt bevezetésként, nem ügyfélszolgálati rövidítésként.

Távolítsa el az átjárójukat túlélő kivételeket

Az AnyConnect gépenként menti ezeket a beállításokat, ezért a régi válaszok felhalmozódnak az irodák között mozgatott laptopokon. Tekintse át a mentett beállításokat és az importált tanúsítványokat a felügyelt végpontokon, és ellenőrizze, hogy egy kivétel még mindig olyan hosztnevet nevez-e meg, amelynek tulajdonosa megváltozott. Az a beállítás, amely bármely nem megbízható kiszolgálót elfogad, szélesebb, mint az a tanúsítvány, amelyhez létrehozták.

A megtartásra érdemes minta szűk: megbízható tanúsítvány a normál használathoz, dokumentált sávon kívüli ujjlenyomat-ellenőrzés egy ideiglenes kivételhez, és egy megnevezett tulajdonos, aki eltávolítja, amikor a migráció véget ér. Ha egy általa felügyelt gépen olyan beállítást talál, amely bármely kiszolgálót elfogad, kezelje leletként, és ne kényelemként.