Предупредување на AnyConnect за недоверлив сервер: прифати или увези?

Ја вметнувате хост-адресата на портата во AnyConnect, прозорецот станува црвен или бел и дијалогот прашува дали да ѝ се верува на сервер чиј сертификат клиентот не може да го провери. Природниот потег е да кликнете и да продолжите со работа, а тоа е токму погрешниот рефлекс. Одговорот се запишува во поставките на клиентот на тој компјутер и важи за подоцнежните врски, па дијалогот е одлука за конфигурацијата облечена како еднократно предупредување. Еве го патот што го правам, по редоследот што го покажува клиентот.

Започнете од предупредувањето што навистина го гледате

Црвеното и белото не се козметички варијанти. Црвеното предупредување значи дека профилот или поставката е наместена да блокира недоверливи сервери, па клиентот одбива да продолжи додека таа поставка не се смени; белото предупредување значи дека ќе ви дозволи да продолжите штом одговорите експлицитно. Има и трет случај што изгледа слично и се однесува поинаку: истечен сертификат, кој клиентот воопшто не го нуди за увезување, бидејќи увезувањето не би го направило валиден. Разликувањето на трите трае една секунда и одлучува сè што следи.

Зад сите нив стои кратка листа причини: самопотпишан сертификат на портата, приватен CA на кој крајната точка не му верува, или хост-адреса што недостасува во subject alternative names на сертификатот. Секој од трите го дава истиот дијалог и бара поинаква поправка.

Прочитајте го сертификатот пред да одговорите на дијалогот

Отворете ги деталите за сертификатот од предупредувањето и погледнете три полиња пред да допрете копче. Subject и SAN треба да ја именуваат портата до која навистина сакавте да стигнете, издавачот треба да е CA што ја води вашата организација, а датумите на важност треба да го покриваат денешниот ден. Потоа споредете го отпечатокот SHA-256 со копија што сте ја добиле на друго место, а не преку оваа врска, на внатрешна страница со документација или во тикет, бидејќи отпечаток прочитан од истиот дијалог не докажува ништо. Ако не најдете независна копија, немате основа да го прифатите исклучокот.

Ова е чекорот што ја дели лабораторијата од продукциската порта. На тест-машина со самопотпишан сертификат што сте го генерирале вчера, кликнувањето е разумно. На корпоративна порта каде што корисниците потоа внесуваат податоци за најава, сертификат што не можете да го проверите е веројатна поставка за пресретнување, а клиентот е единствената компонента што сè уште го поставува прашањето.

Знајте што запишува секој одговор во складиштето за доверба

Одговорот да на прашањето за увезување го додава сертификатот на портата во доверливото складиште на клиентот на тој компјутер. Тоа не е исклучок по сесија: подоцнежните врски можат да завршат без истото прашање, што е и целта и ризикот, бидејќи ништо на екранот не потсетува некого дека исклучокот постои. Одговорот не ја продолжува најавата само за оваа сесија. Двата пата ве поврзуваат, а само еден од нив го менува компјутерот.

Ако сте на црвениот пат, првиот обид воопшто не е најава. Документираната низа на внесување е линија connect проследена со две потврди, што ја менува поставката и излегува; скрипта што го смета тоа за успех зачувала поставка и никогаш не се автентицирала. Прашањето за увезување сертификат се појавува само при следниот обид, затоа луѓето заклучуваат дека барањето е повремено.

Тој редослед е важен за автоматизацијата, не само за прстите. Скриптен одговор што секогаш вели да продолжува да работи откако портата ќе се смени и продолжува да му верува на кој било сертификат што ќе се појави.

Запишете ги одговорите по редоследот што го бара клиентот

Кога клиентот предупредува но ја дозволува врската, одговорите доаѓаат во фиксен редослед: connect, да за продолжување, потоа прашањето за увезување, потоа групата, корисничкото име и лозинката. Запишете ги како одделни линии во влезната датотека наместо да го погодувате времето на барањата. Одбивањето на увезувањето е промена на еден знак во истата датотека и е побезбедната стандардна вредност за сè што работи без надзор.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Претпочитајте да го дистрибуирате CA на организацијата до крајните точки наместо да ја учите секоја скрипта да прифаќа лист-сертификат. Правилно издаден сертификат со вистинскиот SAN го отстранува барањето за секого, ја задржува смислата на проверката и не зависи од меморијата на една крајна точка за одлука. Инсталирањето коренски CA е потешка промена од увезување лист, затоа третирајте го како управувано распоредување, а не како кратенка од службата за поддршка.

Отстранете ги исклучоците што живеат подолго од својата порта

AnyConnect ги чува овие поставки по компјутер, па старите одговори се собираат на преносни компјутери што се селеле меѓу канцеларии. Прегледајте ги зачуваните поставки и увезените сертификати на управуваните крајни точки и проверете дали исклучокот сè уште именува хост-адреса што сменила сопственик. Поставка што прифаќа кој било недоверлив сервер е поширока од сертификатот за кој е создадена.

Моделот што вреди да се задржи е тесен: доверлив сертификат за нормална употреба, документирана проверка на отпечаток вон опсегот за привремен исклучок и именуван сопственик што го отстранува кога ќе заврши преселбата. Ако на компјутер што го управувате најдете поставка што прифаќа кој било сервер, третирајте ја како наод, а не како погодност.