Peringatan server tidak tepercaya AnyConnect: terima atau impor?

Anda menempelkan nama host gateway ke AnyConnect, jendela menjadi merah atau putih, dan dialog bertanya apakah Anda memercayai server yang sertifikatnya tidak dapat diverifikasi klien. Gerakan alaminya adalah mengklik terus dan mulai bekerja, dan justru itulah refleks yang salah. Jawabannya ditulis ke preferensi klien di mesin itu dan berlaku untuk koneksi berikutnya, jadi dialog tersebut adalah keputusan konfigurasi yang menyamar sebagai peringatan sekali jalan. Berikut alur yang saya tempuh, sesuai urutan yang ditampilkan klien.

Mulailah dari peringatan yang benar-benar Anda lihat

Merah dan putih bukan varian kosmetik. Peringatan merah berarti profil atau preferensi diatur untuk memblokir server tidak tepercaya, sehingga klien menolak melanjutkan sampai pengaturan itu berubah; peringatan putih berarti klien akan membiarkan Anda melanjutkan begitu Anda menjawab secara eksplisit. Ada kasus ketiga yang tampak serupa dan berperilaku berbeda: sertifikat kedaluwarsa, yang tidak akan ditawarkan klien untuk diimpor sama sekali, karena mengimpornya tidak akan membuatnya valid. Memilah ketiganya butuh satu detik dan menentukan semua yang berikutnya.

Di balik semuanya ada daftar penyebab yang singkat: sertifikat gateway yang ditandatangani sendiri, CA privat yang tidak dipercaya endpoint, atau nama host yang tidak ada di subject alternative names sertifikat. Ketiganya menghasilkan dialog yang sama dan memerlukan perbaikan yang berbeda.

Baca sertifikat sebelum Anda menjawab dialog

Buka detail sertifikat dari peringatan dan lihat tiga bidang sebelum menyentuh tombol. Subject dan SAN harus menyebut gateway yang benar-benar ingin Anda capai, penerbitnya harus CA yang dijalankan organisasi Anda, dan tanggal validitasnya harus mencakup hari ini. Lalu bandingkan sidik jari SHA-256 dengan salinan yang Anda peroleh di tempat lain selain koneksi ini, halaman dokumentasi internal atau tiket, karena sidik jari yang dibaca dari dialog yang sama tidak membuktikan apa pun. Jika Anda tidak menemukan salinan independen, Anda tidak punya dasar untuk menerima pengecualian itu.

Inilah langkah yang memisahkan laboratorium dari gateway produksi. Pada mesin uji dengan sertifikat yang ditandatangani sendiri yang Anda buat kemarin, mengklik terus itu wajar. Pada gateway korporat tempat pengguna mengetik kredensial setelahnya, sertifikat yang tidak dapat Anda verifikasi adalah kemungkinan penyadapan, dan klien adalah satu-satunya komponen yang masih menanyakan hal itu.

Ketahui apa yang ditulis setiap jawaban ke penyimpanan kepercayaan

Menjawab ya pada pertanyaan impor menambahkan sertifikat gateway ke penyimpanan tepercaya klien di mesin itu. Ini bukan pengecualian per sesi: koneksi berikutnya dapat selesai tanpa permintaan yang sama, itulah tujuannya dan juga risikonya, karena tidak ada apa pun di layar yang mengingatkan siapa pun bahwa pengecualian itu ada. Menjawab tidak melanjutkan login hanya untuk sesi ini. Kedua jalur menghubungkan Anda, dan hanya satu yang mengubah mesin.

Jika Anda berada di jalur merah, percobaan pertama sama sekali bukan login. Urutan input yang didokumentasikan adalah baris connect lalu dua konfirmasi, yang mengubah preferensi lalu keluar; skrip yang menganggapnya sukses telah menyimpan pengaturan dan tidak pernah mengautentikasi. Pertanyaan impor sertifikat hanya muncul pada percobaan berikutnya, itulah sebabnya orang menyimpulkan permintaan itu muncul sesekali.

Urutan itu penting untuk otomasi, bukan hanya untuk jari. Jawaban skrip yang selalu berkata ya tetap berfungsi setelah gateway berganti, dan tetap memercayai sertifikat apa pun yang muncul berikutnya.

Tulis jawabannya sesuai urutan yang diminta klien

Ketika klien memperingatkan tetapi mengizinkan koneksi, jawabannya datang dalam urutan tetap: connect, ya untuk melanjutkan, lalu pertanyaan impor, lalu grup, nama pengguna, dan kata sandi. Tulis itu sebagai baris terpisah di berkas input daripada menebak waktu permintaan. Menolak impor adalah perubahan satu karakter di berkas yang sama, dan itu adalah default yang lebih aman untuk apa pun yang berjalan tanpa pengawasan.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Lebih baik mendistribusikan CA organisasi ke endpoint daripada mengajari setiap skrip menerima sertifikat daun. Sertifikat yang diterbitkan dengan benar dengan SAN yang tepat menghapus permintaan itu bagi semua orang, menjaga validasi tetap bermakna, dan tidak bergantung pada ingatan satu endpoint tentang sebuah keputusan. Memasang CA akar adalah perubahan yang lebih berat daripada mengimpor daun, jadi perlakukan sebagai peluncuran terkelola, bukan jalan pintas meja bantuan.

Hapus pengecualian yang bertahan lebih lama dari gateway-nya

AnyConnect menyimpan preferensi ini per mesin, jadi jawaban lama menumpuk di laptop yang berpindah antar kantor. Tinjau preferensi tersimpan dan sertifikat yang diimpor di endpoint terkelola, dan periksa apakah ada pengecualian yang masih menyebut nama host yang telah berganti pemilik. Preferensi yang menerima server tidak tepercaya apa pun lebih luas daripada sertifikat yang menjadi alasan pembuatannya.

Pola yang layak dipertahankan sempit: sertifikat tepercaya untuk penggunaan normal, pemeriksaan sidik jari luar jalur yang didokumentasikan untuk pengecualian sementara, dan pemilik bernama yang menghapusnya saat migrasi berakhir. Jika Anda menemukan pengaturan yang menerima server apa pun di mesin yang Anda kelola, perlakukan itu sebagai temuan, bukan kenyamanan.