AnyConnect'тин ишенимсиз сервер жөнүндө эскертүүсү: кабыл алуубу же импорттообу?

Сиз шлюздун хост атын AnyConnect'ке чаптайсыз, терезе кызыл же ак болуп калат, жана клиент текшире албаган сертификаты бар серверге ишенүү керекпи деп диалог сурайт. Табигый кыймыл — басып, ишти улантуу, жана дал ушул туура эмес рефлекс. Жооп ошол машинадагы клиенттин жөндөөлөрүнө жазылат жана кийинки туташууларга да колдонулат, ошондуктан диалог — бир жолку эскертүүнүн кийимин кийген конфигурация чечими. Бул — клиент көрсөткөн тартипте мен басган жол.

Чындап көрүп турган эскертүүдөн баштаңыз

Кызыл жана ак — косметикалык варианттар эмес. Кызыл эскертүү профиль же жөндөө ишенимсиз серверлерди бөгөттөөгө коюлганын билдирет, ошондуктан бул жөндөө өзгөрмөйүнчө клиент улантуудан баш тартат; ак эскертүү ачык жооп бергениңизден кийин улантууга уруксат берерин билдирет. Үчүнчү учур окшош көрүнөт жана башкача жүрөт: мөөнөтү өткөн сертификат, аны клиент импорттоону таптакыр сунуштабайт, анткени импорт аны жарактуу кылбайт. Ушул үчөөнү ажыратуу бир секунд алат жана кийинкинин баарын аныктайт.

Алардын баарынын артында себептердин кыска тизмеси бар: өзү кол койгон шлюз сертификаты, акыркы чекит ишенбеген жеке CA, же сертификаттын subject alternative names талаасында жок хост аты. Үчөөнүн кайсынысы болбосун бирдей диалог чыгарат жана башка оңдоону талап кылат.

Диалогго жооп берүүдөн мурун сертификатты окуңуз

Эскертүүдөн сертификаттын чоо-жайын ачып, баскычты тийгенге чейин үч талааны караңыз. Subject жана SAN чындап жетүүнү каалаган шлюзду аташы керек, чыгаруучу уюмуңуз башкарган CA болушу керек, ал эми жарактуулук мөөнөттөрү бүгүнкү күндү камтышы керек. Андан кийин SHA-256 изин ушул туташуудан тышкары жерден алган көчүрмө менен салыштырыңыз, ички документ баракчасынан же билеттен, анткени ошол эле диалогдон окулган из эч нерсени далилдебейт. Көз карандысыз көчүрмө таппасаңыз, эрежени кабыл алууга негизиңиз жок.

Бул — лабораторияны өндүрүштүк шлюзден бөлгөн кадам. Кечээ жараткан өзү кол койгон сертификаты бар сыноо машинасында басуу орундуу. Колдонуучулар андан кийин кирүү маалыматтарын жаза турган корпоративдик шлюзде сиз текшере албаган сертификат — ыктымал угуу түзүлүшү, ал эми клиент дагы эле суроо берип жаткан жалгыз компонент.

Ар бир жооп ишеним кампасына эмнени жазарын билиңиз

Импорт суроосуна ооба деп жооп берүү ошол машинадагы клиенттин ишенимдүү кампасына шлюз сертификатын кошот. Бул сессия сайын эреже эмес: кийинки туташуулар ошол эле суроосуз бүтүшү мүмкүн, бул максат да, коркунуч да, анткени экранда эч нерсе эреженин бар экенин эске салбайт. Жок деп жооп берүү кирүүнү ушул сессия үчүн гана улантат. Эки жол тең сизди туташтырат, ал эми машинаны алардын бири гана өзгөртөт.

Эгер кызыл жолдо болсоңуз, биринчи аракет кирүү эмес. Документтелген киргизүү тартиби — connect сабы жана андан кийин эки ырастоо, ал жөндөөнү өзгөртүп чыгат; муну ийгилик деп эсептеген скрипт жөндөөнү сактап, эч качан аутентификация кылган эмес. Сертификатты импорттоо суроосу кийинки аракетте гана чыгат, ошондуктан адамдар суроо үзгүлтүктүү деп ойлошот.

Бул тартип автоматташтыруу үчүн маанилүү, сандар үчүн гана эмес. Дайыма ооба деген скрипт жообу шлюз алмашкандан кийин да иштей берет жана кийин пайда болгон ар кандай сертификатка ишене берет.

Жоопторду клиент сураган тартипте жазыңыз

Клиент эскертип, бирок туташууга уруксат бергенде, жооптор белгилүү тартипте келет: connect, улантуу үчүн ооба, андан кийин импорт суроосу, андан кийин топ, колдонуучу аты жана сырсөз. Аларды суроолордун убактысын болжолдоонун ордуна киргизүү файлында өзүнчө саптар катары жазыңыз. Импорттон баш тартуу — ошол файлдагы бир белгинин өзгөрүшү, жана көзөмөлсүз иштегендин баары үчүн бул коопсузураак демейки.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Уюмдун CA'сын акыркы чекиттерге таратууну ар бир скриптке жалбырак сертификатын кабыл алууну үйрөтүүдөн артык көрүңүз. Туура SAN менен тийиштүү түрдө берилген сертификат баары үчүн суроону алып салат, текшерүүнүн маанисин сактайт жана бир акыркы чекиттин чечим жөнүндө эсинде кармоосуна көз каранды эмес. Тамыр CA орнотуу — жалбыракты импорттоодон оор өзгөрүү, ошондуктан ага колдоо кызматынын кыска жолу эмес, башкарылуучу киргизүү катары мамиле кылыңыз.

Өз шлюзүнөн узак жашаган эрежелерди алып салыңыз

AnyConnect бул жөндөөлөрдү ар бир машина боюнча сактайт, ошондуктан эски жооптор кеңселердин ортосунда жылган ноутбуктарда топтолот. Башкарылуучу акыркы чекиттердеги сакталган жөндөөлөрдү жана импорттолгон сертификаттарды карап чыгыңыз жана эреженин ээси алмашкан хост атын дагы эле атайбы же жокпу текшериңиз. Каалаган ишенимсиз серверди кабыл алган жөндөө ал түзүлгөн сертификаттан кененирээк.

Сактоого татыктуу үлгү тар: кадимки колдонуу үчүн ишенимдүү сертификат, убактылуу эреже үчүн документтелген тилкеден тышкаркы из текшерүү жана көчүрүү бүткөндө аны алып салган аталган ээси. Өзүңүз башкарган машинада каалаган серверди кабыл алган жалпы жөндөө тапсаңыз, ага ыңгайлуулук эмес, табылга катары мамиле кылыңыз.