AnyConnect-тің сенімсіз сервер туралы ескертуі: қабылдау керек пе, әлде импорттау керек пе?

Сіз шлюздің хост атын AnyConnect-ке қоясыз, терезе қызыл немесе ақ болады, және диалог клиент тексере алмайтын сертификаты бар серверге сену керектігін сұрайды. Табиғи қимыл — басып, жұмысты жалғастыру, және дәл осы дұрыс емес рефлекс. Жауап сол машинадағы клиент параметрлеріне жазылады және келесі қосылымдарға да қолданылады, сондықтан диалог — бір реттік ескерту киімін киген конфигурациялық шешім. Міне, клиент көрсететін ретпен жүретін жолым.

Шын мәнінде көріп отырған ескертуден бастаңыз

Қызыл мен ақ — косметикалық нұсқалар емес. Қызыл ескерту профиль немесе параметр сенімсіз серверлерді блоктауға қойылғанын білдіреді, сондықтан бұл параметр өзгермейінше клиент жалғастырудан бас тартады; ақ ескерту айқын жауап бергеннен кейін жалғастыруға рұқсат беретінін білдіреді. Үшінші жағдай ұқсас көрінеді және басқаша әрекет етеді: мерзімі өткен сертификат, оны клиент импорттауды мүлде ұсынбайды, өйткені импорт оны жарамды етпейді. Осы үшеуін ажырату бір секунд алады және кейінгінің бәрін анықтайды.

Олардың бәрінің артында себептердің қысқа тізімі бар: өзі қол қойған шлюз сертификаты, соңғы нүкте сенбейтін жеке CA, немесе сертификаттың subject alternative names өрісінде жоқ хост аты. Үшеуінің кез келгені бірдей диалог шығарады және басқа түзетуді қажет етеді.

Диалогқа жауап бермес бұрын сертификатты оқыңыз

Ескертуден сертификат мәліметтерін ашып, түймеге тимес бұрын үш өрісті қараңыз. Subject пен SAN шын мәнінде жеткіңіз келген шлюзді атауы керек, шығарушы ұйымыңыз басқаратын CA болуы керек, ал жарамдылық мерзімдері бүгінгі күнді қамтуы керек. Содан кейін SHA-256 ізін осы қосылымнан тыс жерден алған көшірмемен салыстырыңыз, ішкі құжаттама бетінен немесе билеттен, өйткені сол диалогтан оқылған із ешнәрсені дәлелдемейді. Тәуелсіз көшірме таба алмасаңыз, ерекшелікті қабылдауға негізіңіз жоқ.

Бұл — зертхананы өндірістік шлюзден бөлетін қадам. Кеше жасаған өзі қол қойған сертификаты бар сынақ машинасында басу орынды. Пайдаланушылар одан кейін тіркелу деректерін енгізетін корпоративтік шлюзде сіз тексере алмайтын сертификат — ықтимал тыңдау құрылғысы, ал клиент әлі де сұрақ қойып отырған жалғыз компонент.

Әр жауаптың сенім қоймасына нені жазатынын біліңіз

Импорт сұрағына иә деп жауап беру сол машинадағы клиенттің сенімді қоймасына шлюз сертификатын қосады. Бұл сессия сайынғы ерекшелік емес: кейінгі қосылымдар сол сұраусыз аяқталуы мүмкін, бұл мақсат та, қауіп те, өйткені экранда ешнәрсе ерекшеліктің бар екенін еске салмайды. Жоқ деп жауап беру кіруді тек осы сессия үшін жалғастырады. Екі жол да сізді қосады, ал тек біреуі машинаны өзгертеді.

Егер қызыл жолда болсаңыз, бірінші әрекет мүлде кіру емес. Құжатталған енгізу реті — connect жолы және одан кейін екі растау, ол параметрді өзгертіп шығады; мұны сәттілік деп санайтын скрипт параметрді сақтап, ешқашан аутентификация жасамаған. Сертификатты импорттау сұрағы тек келесі әрекетте шығады, сондықтан адамдар сұрау үзілісті деп қорытындылайды.

Бұл рет автоматизация үшін маңызды, тек саусақтар үшін емес. Әрқашан иә дейтін скрипт жауабы шлюз ауысқаннан кейін де жұмыс істейді және кейін пайда болатын кез келген сертификатқа сенуді жалғастырады.

Жауаптарды клиент сұрайтын ретпен жазыңыз

Клиент ескертіп, бірақ қосылымға рұқсат бергенде, жауаптар белгілі ретпен келеді: connect, жалғастыру үшін иә, содан кейін импорт сұрағы, содан кейін топ, пайдаланушы аты және құпия сөз. Оларды сұрау уақытын болжаудың орнына енгізу файлында жеке жолдар ретінде жазыңыз. Импорттан бас тарту — сол файлдағы бір таңбаның өзгеруі, және қадағалаусыз жұмыс істейтіннің бәрі үшін бұл қауіпсіз әдепкі.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Ұйымның CA-сын соңғы нүктелерге таратуды әр скриптке жапырақ сертификатын қабылдауды үйретуден артық көріңіз. Дұрыс SAN-мен тиісті түрде берілген сертификат бәрі үшін сұрауды алып тастайды, тексерудің мәнін сақтайды және бір соңғы нүктенің шешім туралы жадына тәуелді емес. Түбірлік CA орнату — жапырақты импорттаудан ауыр өзгеріс, сондықтан оған қолдау қызметінің қысқа жолы емес, басқарылатын енгізу ретінде қараңыз.

Өз шлюзінен ұзақ өмір сүретін ерекшеліктерді жойыңыз

AnyConnect бұл параметрлерді әр машина бойынша сақтайды, сондықтан ескі жауаптар кеңселер арасында жылжыған ноутбуктерде жинақталады. Басқарылатын соңғы нүктелердегі сақталған параметрлер мен импортталған сертификаттарды қарап шығыңыз және ерекшеліктің иесі ауысқан хост атын әлі атайтынын тексеріңіз. Кез келген сенімсіз серверді қабылдайтын параметр ол жасалған сертификаттан кеңірек.

Сақтауға тұрарлық үлгі тар: қалыпты қолдану үшін сенімді сертификат, уақытша ерекшелік үшін құжатталған жолақтан тыс із тексеруі және көшіру аяқталғанда оны жоятын атаулы иесі. Өзіңіз басқаратын машинада кез келген серверді қабылдайтын жалпы параметр тапсаңыз, оны қолайлылық емес, табылым ретінде қараңыз.