AnyConnect brīdinājums par neuzticamu serveri: pieņemt vai importēt?

Jūs ielīmējat vārtejas resursdatora nosaukumu AnyConnect, logs kļūst sarkans vai balts, un dialogs jautā, vai uzticēties serverim, kura sertifikātu klients nevar pārbaudīt. Dabiskā kustība ir noklikšķināt un turpināt darbu, un tieši tā ir nepareizā refleksija. Atbilde tiek ierakstīta klienta iestatījumos šajā mašīnā un attiecas uz vēlākiem savienojumiem, tāpēc dialogs ir konfigurācijas lēmums vienreizēja brīdinājuma kostīmā. Lūk, ceļš, ko eju, tādā secībā, kādā to rāda klients.

Sāciet ar brīdinājumu, ko jūs patiešām redzat

Sarkans un balts nav kosmētiski varianti. Sarkanais brīdinājums nozīmē, ka profils vai iestatījums ir iestatīts bloķēt neuzticamus serverus, tāpēc klients atsakās turpināt, līdz šis iestatījums mainās; baltais brīdinājums nozīmē, ka tas ļaus jums turpināt, tiklīdz skaidri atbildēsiet. Ir trešais gadījums, kas izskatās līdzīgi un uzvedas citādi: beidzies sertifikāts, kuru klients nemaz nepiedāvās importēt, jo importēšana to nepadarīs derīgu. Šo trīs atšķiršana aizņem sekundi un nosaka visu, kas seko.

Visu to aiz muguras ir īss cēloņu saraksts: pašparakstīts vārtejas sertifikāts, privāts CA, kuram galapunkts neuzticas, vai resursdatora nosaukums, kura trūkst sertifikāta subject alternative names laukā. Jebkurš no trim rada to pašu dialogu un prasa citu labojumu.

Izlasiet sertifikātu pirms atbildes uz dialogu

Atveriet sertifikāta informāciju no brīdinājuma un apskatiet trīs laukus, pirms pieskaraties pogai. Subject un SAN jānosauc vārteja, uz kuru jūs patiešām gribējāt nokļūt, izdevējam jābūt CA, ko pārvalda jūsu organizācija, un derīguma datumiem jāaptver šodiena. Pēc tam salīdziniet SHA-256 nospiedumu ar kopiju, ko ieguvāt citur, nevis pa šo savienojumu, iekšējā dokumentācijas lapā vai biļetē, jo nospiedums, kas nolasīts no tā paša dialoga, neko nepierāda. Ja neatrodat neatkarīgu kopiju, jums nav pamata pieņemt izņēmumu.

Šis ir solis, kas atšķir laboratoriju no ražošanas vārtejas. Testa mašīnā ar vakar ģenerētu pašparakstītu sertifikātu noklikšķināt ir pamatoti. Uzņēmuma vārtējā, kur lietotāji pēc tam ievada pieteikšanās datus, sertifikāts, ko nevarat pārbaudīt, ir iespējama pārtveres iekārta, un klients ir vienīgā sastāvdaļa, kas vēl uzdod jautājumu.

Ziniet, ko katra atbilde ieraksta uzticības krātuvē

Atbilde jā uz importēšanas jautājumu pievieno vārtejas sertifikātu šīs mašīnas klienta uzticamajai krātuvei. Tā nav izņēmums katrai sesijai: vēlāki savienojumi var pabeigties bez tā paša vaicājuma, un tas ir mērķis un arī risks, jo nekas ekrānā neatgādina, ka izņēmums pastāv. Atbilde nē turpina pieteikšanos tikai šai sesijai. Abi ceļi jūs savieno, un tikai viens no tiem maina mašīnu.

Ja esat sarkanajā ceļā, pirmais mēģinājums nemaz nav pieteikšanās. Dokumentētā ievades secība ir connect rinda un pēc tam divi apstiprinājumi, kas maina iestatījumu un iziet; skripts, kas to uzskata par panākumu, ir saglabājis iestatījumu un nekad nav autentificējies. Sertifikāta importēšanas jautājums parādās tikai nākamajā mēģinājumā, tāpēc cilvēki secina, ka vaicājums ir periodisks.

Šī secība ir svarīga automatizācijai, ne tikai pirkstiem. Skripta atbilde, kas vienmēr saka jā, turpina darboties pēc vārtejas maiņas un turpina uzticēties jebkuram sertifikātam, kas parādās.

Rakstiet atbildes tādā secībā, kādā klients jautā

Kad klients brīdina, bet atļauj savienojumu, atbildes nāk noteiktā secībā: connect, jā, lai turpinātu, tad importēšanas jautājums, tad grupa, lietotājvārds un parole. Rakstiet tās kā atsevišķas rindas ievades failā, nevis miniet vaicājumu laiku. Importēšanas atteikšana ir vienas rakstzīmes maiņa tajā pašā failā, un tā ir drošāka noklusējuma vērtība visam, kas darbojas bez uzraudzības.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Labāk izplatiet organizācijas CA uz galapunktiem, nevis māciet katram skriptam pieņemt lapas sertifikātu. Pareizi izdots sertifikāts ar pareizu SAN novērš vaicājumu visiem, saglabā validācijas jēgu un nav atkarīgs no viena galapunkta atmiņas par lēmumu. Saknes CA instalēšana ir smagākas izmaiņas nekā lapas importēšana, tāpēc uztveriet to kā pārvaldītu ieviešanu, nevis atbalsta dienesta īsceļu.

Noņemiet izņēmumus, kas dzīvo ilgāk par savu vārteju

AnyConnect saglabā šos iestatījumus katrā mašīnā, tāpēc vecās atbildes uzkrājas portatīvajos datoros, kas pārvietojušies starp birojiem. Pārskatiet saglabātos iestatījumus un importētos sertifikātus pārvaldītos galapunktos un pārbaudiet, vai izņēmums vēl nosauc resursdatora nosaukumu, kam mainījies īpašnieks. Iestatījums, kas pieņem jebkuru neuzticamu serveri, ir plašāks par sertifikātu, kuram tas tika izveidots.

Modelis, ko vērts saglabāt, ir šaurs: uzticams sertifikāts normālai lietošanai, dokumentēta nospieduma pārbaude ārpus joslas pagaidu izņēmumam un nosaukts īpašnieks, kas to noņem, kad migrācija beidzas. Ja pārvaldītā mašīnā atrodat iestatījumu, kas pieņem jebkuru serveri, uztveriet to kā atradumu, nevis ērtību.