AnyConnect-Warnung virun net vertrauenswürdege Server: akzeptéieren oder importéieren?

Dir setzt den Hostnumm vum Gateway an AnyConnect, d'Fënster gëtt rout oder wäiss, an en Dialog freet, ob Dir engem Server vertraut, deem säin Zertifikat de Client net kann iwwerpréiwen. Den natierleche Reflex ass duerchzeklicken an un d'Aarbecht ze goen, an dat ass genee de falsche Reflex. D'Äntwert gëtt an den Astellunge vum Client op deem Rechner geschriwwen an zielt fir spéider Verbindungen, also ass den Dialog eng Konfiguratiounsentscheedung am Kostüm vun enger eenzeger Warnung. Hei ass de Wee, deen ech ginn, an der Reiefolleg, wéi de Client en weist.

Fänkt mat der Warnung un, déi Dir tatsächlech gesitt

Rout a wäiss sinn keng kosmetesch Varianten. D'rout Warnung bedeit, datt de Profil oder d'Astellung esou agestallt ass, datt net vertrauenswürdeg Serveren blockéiert ginn, also refuséiert de Client weiderzefueren, bis déi Astellung sech ännert; déi wäiss Warnung bedeit, datt hien Iech weiderfueren léisst, soubal Dir kloer äntwert. Et gëtt en drëtte Fall, deen ähnlech ausgesäit an anescht handelt: en ofgelafenen Zertifikat, deen de Client guer net ubitt ze importéieren, well den Import en net gülteg géif maachen. Dës dräi z'ënnerscheeden dauert eng Sekonn an entscheet alles wat duerno kënnt.

Hannert hinnen allen steet eng kuerz Lëscht vu Ursaachen: en selbstsignéierte Gateway-Zertifikat, eng privat CA, déi den Endpunkt net vertraut, oder en Hostnumm, deen an den subject alternative names vum Zertifikat feelt. Jiddwereng vun den dräi bréngt deen selwechten Dialog a verlaangt eng aner Korrektur.

Liest den Zertifikat, ier Dir den Dialog beäntwert

Maacht d'Detailer vum Zertifikat aus der Warnung op a kuckt dräi Felder, ier Dir e Knäppchen ufässt. Subject a SAN sollten de Gateway nennen, deen Dir wierklech wëllt erreechen, den Aussteller soll d'CA sinn, déi Är Organisatioun bedreift, an d'Gültegkeetsdaten sollten haut decken. Da vergläicht de SHA-256-Fangerofdrock mat enger Kopie, déi Dir soss wou kritt hutt an net iwwer dës Verbindung, eng intern Dokumentatiounssäit oder en Ticket, well en Fangerofdrock, deen aus dem selwechten Dialog gelies gëtt, beweist guer näischt. Wann Dir keng onofhängeg Kopie fannt, hutt Dir keng Basis fir d'Ausnam ze akzeptéieren.

Dëst ass de Schrëtt, deen e Laboratoire vun engem Produktiounsgateway trennt. Op enger Testmaschinn mat engem selbstsignéierte Zertifikat, deen Dir gëschter erstallt hutt, ass Duerchklicken vernünfteg. Op engem Firmegateway, wou d'Benotzer duerno hir Umeldedaten aginn, ass en Zertifikat, deen Dir net kënnt iwwerpréiwen, eng plausibel Ofhéierkonfiguratioun, an de Client ass déi eenzeg Komponent, déi d'Fro nach stellt.

Wësst, wat all Äntwert an de Vertrauensspäicher schreift

Eng Jo-Antwert op d'Importfro setzt de Gateway-Zertifikat an de vertrauenswürdege Späicher vum Client op deem Rechner. Et ass keng Ausnam pro Sessioun: spéider Verbindunge kënnen ouni déi selwecht Ufro oflafen, wat den Zweck an och de Risiko ass, well näischt um Écran een un d'Existenz vun der Ausnam erënnert. Eng Neen-Antwert setzt d'Umelung nëmme fir dës Sessioun fort. Béide Weeër verbannen Iech, a nëmmen een dovun ännert de Rechner.

Wann Dir um roude Wee sidd, ass den éischten Versuch guer keng Umeldung. Déi dokumentéiert Inputreiefolleg ass eng connect-Linn an duerno zwou Bestätegungen, déi d'Astellung ännert an dann erausgeet; e Skript, deen dat als Erfolleg behandelt, huet eng Astellung gespäichert an huet sech ni authentifizéiert. D'Fro vum Zertifikatsimport erschéngt eréischt beim nächsten Versuch, dofir kommen d'Leit op d'Iddi, d'Ufro wier onreegelméisseg.

Déi Reiefolleg zielt fir d'Automatiséierung, net nëmme fir d'Fangeren. Eng geskript Äntwert, déi ëmmer jo seet, fonctionéiert och no engem Gatewaywiessel weider an traut weider all Zertifikat, deen duerno erschéngt.

Schreift d'Äntwerten an der Reiefolleg, an där de Client freet

Wa de Client warnt, awer d'Verbindung erlaabt, kommen d'Äntwerten an enger fester Reiefolleg: connect, jo fir weiderzefueren, dann d'Importfro, dann d'Grupp, de Benotzernumm an d'Passwuert. Schreift se als eege Linnen an d'Inputdatei, amplaz d'Timing vun den Ufroe ze roden. Den Import ofzeleenen ass eng Ännerung vun engem eenzegen Zeechen an der selwechter Datei, an et ass de méi séchere Standard fir alles, wat ouni Iwwerwaachung leeft.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Verdeelt léiwer d'CA vun der Organisatioun op d'Endpunkten, amplaz all Skript ze léieren ee Blat-Zertifikat ze akzeptéieren. En ordnungsgeméiss ausgestallten Zertifikat mam richtege SAN hëlt d'Ufro fir jiddwereen ewech, hält d'Validéierung sënnvoll an hänkt net vum Gediechtnis vun engem eenzegen Endpunkt iwwer eng Entscheedung of. Eng Root-CA z'installéieren ass eng méi schwéier Ännerung wéi e Blat z'importéieren, also behandelt et als verwalt Rollout an net als Ofkierzung vum Helpdesk.

Entfernt d'Ausnamen, déi hire Gateway iwwerliewen

AnyConnect späichert dës Astellungen pro Rechner, also sammele sech al Äntwerten op Laptopen, déi tëscht Büroe gewiesselt hunn. Kuckt d'gespäichert Astellungen an d'importéiert Zertifikater op verwalt Endpunkten duerch a kontrolléiert, ob eng Ausnam nach en Hostnumm nennt, deen de Besëtzer gewiesselt huet. Eng Astellung, déi all net vertrauenswürdege Server akzeptéiert, ass méi breet wéi den Zertifikat, fir deen se ugeluecht gouf.

D'Muster, dat et wäert ass ze behalen, ass schmuel: en vertrauenswürdegen Zertifikat fir den normale Gebrauch, eng dokumentéiert Fangerofdrockkontroll baussent dem Band fir eng temporär Ausnam, an en genannten Eegentemer, deen se ewechhëlt, wann d'Migratioun eriwwer ass. Wann Dir op engem Rechner, deen Dir verwealt, eng Astellung fannt, déi all Server akzeptéiert, behandelt se als Befund an net als Bequemlechkeet.