AnyConnect įspėjimas apie nepatikimą serverį: priimti ar importuoti?

Įklijuojate šliuzo host vardą į AnyConnect, langas tampa raudonas arba baltas, ir dialogas klausia, ar pasitikėti serveriu, kurio sertifikato klientas negali patikrinti. Natūralus judesys yra spustelėti ir dirbti toliau, ir būtent tai yra neteisingas refleksas. Atsakymas įrašomas į kliento nuostatas tame kompiuteryje ir galioja vėlesniems prisijungimams, todėl dialogas yra konfigūracijos sprendimas, apsivilkęs vienkartinio įspėjimo kostiumu. Štai kelias, kuriuo einu, tokia tvarka, kokia jį rodo klientas.

Pradėkite nuo įspėjimo, kurį tikrai matote

Raudona ir balta nėra kosmetiniai variantai. Raudonas įspėjimas reiškia, kad profilis arba nuostata nustatyta blokuoti nepatikimus serverius, todėl klientas atsisako tęsti, kol tas nustatymas nepasikeis; baltas įspėjimas reiškia, kad jis leis jums tęsti, kai aiškiai atsakysite. Yra trečias atvejis, kuris atrodo panašiai ir elgiasi kitaip: pasibaigęs sertifikatas, kurio klientas visai nesiūlys importuoti, nes importavimas nepadarytų jo galiojančio. Šių trijų atskyrimas užima sekundę ir nulemia viską, kas toliau.

Už visų jų yra trumpas priežasčių sąrašas: savarankiškai pasirašytas šliuzo sertifikatas, privatus CA, kuriuo galinis taškas nepasitiki, arba host vardas, kurio trūksta sertifikato subject alternative names lauke. Bet kuris iš trijų sukuria tą patį dialogą ir reikalauja kitokios pataisos.

Perskaitykite sertifikatą prieš atsakydami į dialogą

Atidarykite sertifikato duomenis iš įspėjimo ir pažiūrėkite tris laukus prieš liesdami mygtuką. Subject ir SAN turėtų įvardyti šliuzą, į kurį tikrai norėjote patekti, išdavėjas turėtų būti CA, kurią valdo jūsų organizacija, o galiojimo datos turėtų apimti šiandieną. Tada palyginkite SHA-256 piršto atspaudą su kopija, kurią gavote ne per šį ryšį, vidiniame dokumentacijos puslapyje arba biliete, nes piršto atspaudas, perskaitytas iš to paties dialogo, nieko neįrodo. Jei nerandate nepriklausomos kopijos, neturite pagrindo priimti išimties.

Tai žingsnis, skiriantis laboratoriją nuo produkcinio šliuzo. Testiniame kompiuteryje su vakar sugeneruotu savarankiškai pasirašytu sertifikatu spustelėti yra pagrįsta. Įmonės šliuze, kuriame vartotojai toliau įveda prisijungimo duomenis, sertifikatas, kurio negalite patikrinti, yra tikėtina perėmimo schema, o klientas yra vienintelis komponentas, kuris dar užduoda klausimą.

Žinokite, ką kiekvienas atsakymas įrašo į pasitikėjimo saugyklą

Atsakymas taip į importavimo klausimą prideda šliuzo sertifikatą į to kompiuterio kliento patikimą saugyklą. Tai nėra išimtis vienai sesijai: vėlesni prisijungimai gali baigtis be to paties raginimo, ir tai yra tikslas bei rizika, nes niekas ekrane neprimena, kad išimtis egzistuoja. Atsakymas ne tęsia prisijungimą tik šiai sesijai. Abu keliai jus prijungia, ir tik vienas iš jų keičia kompiuterį.

Jei esate raudoname kelyje, pirmasis bandymas visai nėra prisijungimas. Dokumentuota įvesties seka yra connect eilutė ir po jos du patvirtinimai, kurie pakeičia nuostatą ir išeina; scenarijus, kuris tai laiko sėkme, išsaugojo nustatymą ir niekada neatliko autentifikavimo. Sertifikato importavimo klausimas pasirodo tik kitame bandyme, todėl žmonės daro išvadą, kad raginimas periodiškas.

Ši tvarka svarbi automatizavimui, ne tik pirštams. Scenarijaus atsakymas, kuris visada sako taip, veikia ir po to, kai šliuzas pasikeičia, ir toliau pasitiki bet kuriuo sertifikatu, kuris pasirodys.

Rašykite atsakymus tokia tvarka, kokia klausia klientas

Kai klientas įspėja, bet leidžia prisijungti, atsakymai ateina fiksuota tvarka: connect, taip norint tęsti, tada importavimo klausimas, tada grupė, vartotojo vardas ir slaptažodis. Rašykite juos atskiromis eilutėmis įvesties faile, o ne spėliokite raginimų laiką. Importavimo atsisakymas yra vieno simbolio pakeitimas tame pačiame faile, ir tai saugesnė numatytoji reikšmė viskam, kas veikia be priežiūros.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Geriau platinkite organizacijos CA galiniams taškams, nei mokykite kiekvieną scenarijų priimti lapo sertifikatą. Tinkamai išduotas sertifikatas su tinkamu SAN pašalina raginimą visiems, išlaiko patikrinimo prasmę ir nepriklauso nuo vieno galinio taško atminties apie sprendimą. Šakninio CA įdiegimas yra sunkesnis pakeitimas nei lapo importavimas, todėl traktuokite jį kaip valdomą diegimą, o ne pagalbos tarnybos spartųjį kelią.

Pašalinkite išimtis, kurios gyvena ilgiau nei jų šliuzas

AnyConnect saugo šias nuostatas kiekviename kompiuteryje, todėl seni atsakymai kaupiasi nešiojamuose kompiuteriuose, kurie keliavo tarp biurų. Peržiūrėkite išsaugotas nuostatas ir importuotus sertifikatus valdomuose galiniuose taškuose ir patikrinkite, ar išimtis dar nurodo host vardą, kuris pakeitė savininką. Nuostata, kuri priima bet kurį nepatikimą serverį, yra platesnė už sertifikatą, kuriam ji buvo sukurta.

Modelis, kurį verta išlaikyti, yra siauras: patikimas sertifikatas normaliam naudojimui, dokumentuotas piršto atspaudo patikrinimas už juostos laikinai išimčiai ir įvardytas savininkas, kuris ją pašalina pasibaigus migracijai. Jei valdomame kompiuteryje rasite nustatymą, priimantį bet kurį serverį, traktuokite jį kaip radinį, o ne kaip patogumą.