AnyConnect-ის გაფრთხილება არასანდო სერვერზე: მივიღოთ თუ შემოვიტანოთ?

თქვენ ჩასვამთ გეითვეის ჰოსტის სახელს AnyConnect-ში, ფანჯარა წითლდება ან თეთრდება და დიალოგი გკითხავთ, ენდოთ თუ არა სერვერს, რომლის სერტიფიკატსაც კლიენტი ვერ ამოწმებს. ბუნებრივი მოძრაობაა დაწკაპუნება და მუშაობის გაგრძელება და სწორედ ეს არის არასწორი რეფლექსი. პასუხი იწერება კლიენტის პარამეტრებში ამ მანქანაზე და ვრცელდება შემდგომ კავშირებზეც, ამიტომ დიალოგი არის კონფიგურაციის გადაწყვეტილება ერთჯერადი გაფრთხილების კოსტიუმში. აქ არის გზა, რომელსაც გავდივარ, იმ თანმიმდევრობით, როგორც კლიენტი აჩვენებს.

დაიწყეთ იმ გაფრთხილებით, რომელსაც რეალურად ხედავთ

წითელი და თეთრი კოსმეტიკური ვარიანტები არ არის. წითელი გაფრთხილება ნიშნავს, რომ პროფილი ან პარამეტრი დაყენებულია არასანდო სერვერების დაბლოკვაზე, ამიტომ კლიენტი უარს ამბობს გაგრძელებაზე, სანამ ეს პარამეტრი არ შეიცვლება; თეთრი გაფრთხილება ნიშნავს, რომ გაგრძელების ნებას მოგცემთ, როგორც კი ნათლად უპასუხებთ. არის მესამე შემთხვევაც, რომელიც მსგავსად გამოიყურება და სხვაგვარად იქცევა: ვადაგასული სერტიფიკატი, რომლის შემოტანასაც კლიენტი საერთოდ არ შემოგთავაზებთ, რადგან შემოტანა მას ვალიდურად არ გახდის. ამ სამის გარჩევას წამი სჭირდება და განსაზღვრავს ყველაფერს, რაც შემდეგ მოდის.

ყველა მათგანის უკან მიზეზების მოკლე სიაა: თვითნაწერი გეითვეის სერტიფიკატი, კერძო CA, რომელსაც ბოლო წერტილი არ ენდობა, ან ჰოსტის სახელი, რომელიც აკლია სერტიფიკატის subject alternative names-ს. სამივე ერთსა და იმავე დიალოგს იძლევა და განსხვავებულ შესწორებას მოითხოვს.

წაიკითხეთ სერტიფიკატი სანამ დიალოგს უპასუხებთ

გახსენით სერტიფიკატის დეტალები გაფრთხილებიდან და შეხედეთ სამ ველს სანამ რომელიმე ღილაკს შეეხებით. subject და SAN უნდა ასახელებდეს იმ გეითვეის, რომელზეც ნამდვილად გსურდათ მისვლა, გამომცემელი უნდა იყოს CA, რომელსაც თქვენი ორგანიზაცია მართავს, ხოლო ვადები დღევანდელ დღეს უნდა ფარავდეს. შემდეგ შეადარეთ SHA-256 ანაბეჭდი იმ ასლს, რომელიც ამ კავშირის გარდა სხვაგან მიიღეთ, შიდა დოკუმენტაციის გვერდიდან ან ბილეთიდან, რადგან იმავე დიალოგიდან წაკითხული ანაბეჭდი არაფერს ამტკიცებს. თუ დამოუკიდებელ ასლს ვერ იპოვით, გამონაკლისის მიღების საფუძველი არ გაქვთ.

ეს არის ნაბიჯი, რომელიც ლაბორატორიას საწარმოო გეითვეისგან ჰყოფს. სატესტო მანქანაზე გუშინ შექმნილი თვითნაწერი სერტიფიკატით დაწკაპუნება გონივრულია. კორპორატიულ გეითვეიზე, სადაც მომხმარებლები შემდეგ შეიყვანენ მონაცემებს, თქვენთვის შეუმოწმებელი სერტიფიკატი შესაძლო ჩარევის მოწყობაა და კლიენტი ერთადერთი კომპონენტია, რომელიც ჯერ კიდევ სვამს კითხვას.

იცოდეთ, რას წერს თითოეული პასუხი ნდობის საცავში

შემოტანის კითხვაზე დიახ პასუხი გეითვეის სერტიფიკატს ამატებს ამ მანქანის კლიენტის სანდო საცავს. ეს არ არის სესიისეული გამონაკლისი: შემდგომი კავშირები შეიძლება დასრულდეს იმავე მოთხოვნის გარეშე, რაც მიზანიც არის და რისკიც, რადგან ეკრანზე არაფერი ახსენებს არავის, რომ გამონაკლისი არსებობს. არა პასუხი მხოლოდ ამ სესიისთვის აგრძელებს შესვლას. ორივე გზა გაკავშირებთ და მხოლოდ ერთი ცვლის მანქანას.

თუ წითელ გზაზე ხართ, პირველი ცდა საერთოდ არ არის შესვლა. დოკუმენტირებული შეტანის თანმიმდევრობაა connect ხაზი და შემდეგ ორი დადასტურება, რომელიც პარამეტრს ცვლის და გადის; სკრიპტი, რომელიც ამას წარმატებად მიიჩნევს, პარამეტრი შეინახა და არასდროს უსარგებლია ავთენტიფიკაციით. სერტიფიკატის შემოტანის კითხვა მხოლოდ შემდეგ ცდაზე ჩნდება, ამიტომ ხალხი ფიქრობს, რომ მოთხოვნა წყვეტილია.

ეს რიგი მნიშვნელოვანია ავტომატიზაციისთვის და არა მხოლოდ თითებისთვის. სკრიპტული პასუხი, რომელიც ყოველთვის ამბობს დიახ, აგრძელებს მუშაობას გეითვეის შეცვლის შემდეგ და აგრძელებს ნდობას ნებისმიერი სერტიფიკატის მიმართ, რომელიც შემდეგ გამოჩნდება.

დაწერეთ პასუხები იმ რიგით, რომლითაც კლიენტი ითხოვს

როცა კლიენტი აფრთხილებს, მაგრამ კავშირს უშვებს, პასუხები მოდის ფიქსირებული რიგით: connect, დიახ გაგრძელებისთვის, შემდეგ შემოტანის კითხვა, შემდეგ ჯგუფი, მომხმარებლის სახელი და პაროლი. დაწერეთ ისინი ცალკე ხაზებად შეტანის ფაილში იმის ნაცვლად, რომ მოთხოვნების დრო გამოიცნოთ. შემოტანაზე უარი იგივე ფაილში ერთი სიმბოლოს ცვლილებაა და უფრო უსაფრთხო ნაგულისხმევია ყველაფრისთვის, რაც ზედამხედველობის გარეშე მუშაობს.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

ამჯობინეთ ორგანიზაციის CA-ის გავრცელება ბოლო წერტილებზე, ვიდრე თითოეული სკრიპტისთვის ფოთლის სერტიფიკატის მიღების სწავლება. სათანადოდ გამოცემული სერტიფიკატი სწორი SAN-ით ყველასთვის აქრობს მოთხოვნას, ინარჩუნებს შემოწმების აზრს და არ არის დამოკიდებული ერთი ბოლო წერტილის მეხსიერებაზე გადაწყვეტილების შესახებ. ფესვური CA-ის დაყენება უფრო მძიმე ცვლილებაა, ვიდრე ფოთლის შემოტანა, ამიტომ მოეპყარით როგორც მართულ გაშვებას და არა დახმარების სამსახურის მოკლე გზას.

მოაშორეთ გამონაკლისები, რომლებიც თავიანთ გეითვეიზე დიდხანს ცოცხლობენ

AnyConnect ამ პარამეტრებს მანქანის მიხედვით ინახავს, ამიტომ ძველი პასუხები გროვდება ოფისებს შორის გადაადგილებულ ლეპტოპებზე. გადახედეთ შენახულ პარამეტრებს და შემოტანილ სერტიფიკატებს მართულ ბოლო წერტილებზე და შეამოწმეთ, კვლავ ასახელებს თუ არა გამონაკლისი ჰოსტის სახელს, რომელმაც მფლობელი შეიცვალა. პარამეტრი, რომელიც ნებისმიერ არასანდო სერვერს იღებს, უფრო ფართოა, ვიდრე სერტიფიკატი, რომლისთვისაც შეიქმნა.

შესანარჩუნებელი ნიმუში ვიწროა: სანდო სერტიფიკატი ჩვეულებრივი გამოყენებისთვის, დოკუმენტირებული ზოლსგარე ანაბეჭდის შემოწმება დროებითი გამონაკლისისთვის და დასახელებული მფლობელი, რომელიც მას მიგრაციის დასრულებისას მოხსნის. თუ თქვენს მართვაში არსებულ მანქანაზე იპოვით პარამეტრს, რომელიც ნებისმიერ სერვერს იღებს, მოეპყარით როგორც აღმოჩენას და არა როგორც სიმარტივეს.