Viðvörun AnyConnect um ótraustan þjón: samþykkja eða flytja inn?

Þú límir hostnafn gáttarinnar inn í AnyConnect, glugginn verður rauður eða hvítur og gluggi spyr hvort treysta eigi þjóni sem biðlarinn getur ekki staðfest skírteinið á. Eðlilega hreyfingin er að smella í gegn og fara að vinna, og einmitt það er rangt viðbragð. Svarið er skrifað í stillingar biðlarans á þeirri vél og gildir fyrir síðari tengingar, svo glugginn er stillingarákvörðun í búningi einnar viðvörunar. Hér er leiðin sem ég fer, í þeirri röð sem biðlarinn sýnir hana.

Byrjaðu á þeirri viðvörun sem þú sérð í raun

Rautt og hvítt eru ekki snyrtilegar afbrigði. Rauð viðvörun þýðir að sniðið eða stillingin er sett til að loka á ótrausta þjóna, svo biðlarinn neitar að halda áfram þar til sú stilling breytist; hvít viðvörun þýðir að hann leyfir þér að halda áfram um leið og þú svarar skýrt. Þriðja tilvikið lítur svipað út og hagar sér öðruvísi: skírteini sem er runnið út, sem biðlarinn býður alls ekki innflutning á, því innflutningur myndi ekki gera það gilt. Að greina þessi þrjú tekur sekúndu og ræður öllu sem á eftir kemur.

Á bak við þau öll er stuttur listi orsaka: sjálfundað skírteini gáttarinnar, einkaaðili CA sem endapunkturinn treystir ekki, eða hostnafn sem vantar í subject alternative names skírteinisins. Hvert þeirra þriggja framleiðir sama glugga og krefst annarrar leiðréttingar.

Lestu skírteinið áður en þú svarar glugganum

Opnaðu upplýsingar skírteinisins úr viðvöruninni og skoðaðu þrjá reiti áður en þú snertir hnapp. Subject og SAN eiga að nefna þá gátt sem þú ætlaðir þér í raun að ná, útgefandinn á að vera CA sem þitt fyrirtæki rekur, og gildistímar eiga að ná yfir daginn í dag. Berðu síðan SHA-256 fingrafarið saman við eintak sem þú fékkst annars staðar en í gegnum þessa tengingu, innri skjalsíðu eða miða, því fingrafar sem lesið er úr sama glugga sannar alls ekkert. Ef þú finnur ekki óháð eintak hefur þú engan grunn til að samþykkja undantekninguna.

Þetta er skrefið sem aðgreinir rannsóknarstofu frá framleiðslugátt. Á prófunarvél með sjálf unduðu skírteini sem þú bjóst til í gær er í lagi að smella í gegn. Á fyrirtækjagátt þar sem notendur slá síðan inn skilríki er skírteini sem þú getur ekki staðfest líkleg tilraun til hlerunar, og biðlarinn er eina einingin sem spyr enn spurningarinnar.

Vitaðu hvað hvert svar skrifar í traustageymsluna

Já-svar við innflutningsspurningunni bætir skírteini gáttarinnar við traustageymslu biðlarans á þeirri vél. Þetta er ekki undantekning fyrir hverja lotu: síðari tengingar geta klárast án sama fyrirspurnar, sem er tilgangurinn og líka áhættan, því ekkert á skjánum minnir neinn á að undantekningin sé til. Nei-svar heldur innskráningunni áfram aðeins fyrir þessa lotu. Báðar leiðir tengja þig, og aðeins önnur þeirra breytir vélinni.

Ef þú ert á rauðu leiðinni er fyrsta tilraun alls ekki innskráning. Skjalfesta inntaksröðin er connect-lína og svo tvær staðfestingar, sem breytir stillingunni og hættir; skrift sem telur það árangur hefur vistað stillingu og hefur aldrei auðkennt sig. Spurningin um innflutning skírteinisins birtist aðeins við næstu tilraun, þess vegna álykta menn að fyrirspurnin sé slitrótt.

Þessi röð skiptir máli fyrir sjálfvirkni, ekki bara fingur. Skriftasvar sem segir alltaf já heldur áfram að virka eftir að gáttinni er breytt, og heldur áfram að treysta hvaða skírteini sem næst birtist.

Skrifaðu svörin í þeirri röð sem biðlarinn spyr

Þegar biðlarinn varar við en leyfir tenginguna koma svörin í fastri röð: connect, já til að halda áfram, svo innflutningsspurningin, svo hópurinn, notandanafnið og lykilorðið. Skrifaðu þau sem sér línur í inntaksskrána í stað þess að giska á tímasetningu fyrirspurnanna. Að hafna innflutningi er breyting á einu stafi í sömu skrá, og það er öruggara sjálfgefna gildið fyrir allt sem keyrir án eftirlits.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Kjósa frekar að dreifa CA fyrirtækisins til endapunktanna en að kenna hverri skrift að samþykkja laufskírteini. Rétt útgefið skírteini með réttu SAN fjarlægir fyrirspurnina fyrir alla, heldur staðfestingunni merkingu og er ekki háð minni eins endapunkts um ákvörðun. Að setja upp rót-CA er þyngri breyting en að flytja inn lauf, svo meðhöndlaðu það sem stýrða útrullingu en ekki flýtileið hjálparborðsins.

Fjarlægðu undantekningarnar sem lifa lengur en gáttin sín

AnyConnect vistar þessar stillingar fyrir hverja vél, svo gömul svör safnast upp á fartölvum sem hafa flutt milli skrifstofa. Farðu yfir vistaðar stillingar og innflutt skírteini á stýrðum endapunktum og athugaðu hvort undantekning nefnir enn hostnafn sem hefur skipt um eiganda. Stilling sem samþykkir hvaða ótraustan þjón sem er er víðtækari en skírteinið sem hún var búin til fyrir.

Mynstrið sem er þess virði að halda er þröngt: traust skírteini fyrir venjulega notkun, skjalfest fingrafarsskoðun utan bands fyrir tímabundna undantekningu, og nafngreindur eigandi sem fjarlægir hana þegar flutningnum lýkur. Ef þú finnur stillingu sem samþykkir hvaða þjón sem er á vél sem þú stýrir, meðhöndlaðu hana sem niðurstöðu en ekki þægindi.