AnyConnect-ийн итгэмжлэхгүй серверийн анхааруулга: хүлээн авах уу, импортлох уу?

Та гарцын хост нэрийг AnyConnect-д буулгана, цонх улаан эсвэл цагаан болж, клиент шалгаж чадахгүй гэрчилгээтэй серверт итгэх эсэхийг харилцан яриа асууна. Байгалийн хөдөлгөөн нь дарж ажлаа үргэлжлүүлэх бөгөөд энэ нь яг буруу рефлекс юм. Хариулт нь тухайн машины клиентийн тохиргоонд бичигдэж, дараагийн холболтуудад үйлчилнэ, тиймээс энэ харилцан яриа нь нэг удаагийн анхааруулгын дүрэм өмссөн тохиргооны шийдвэр юм. Клиентийн харуулах дарааллаар миний явж буй зам энэ.

Өөрийн үнэхээр харж буй анхааруулгаас эхэл

Улаан, цагаан нь гоо зүйн хувилбар биш. Улаан анхааруулга нь профайл эсвэл тохиргоо итгэмжлэхгүй серверүүдийг блоклохоор тохируулсан гэсэн үг, тиймээс тэр тохиргоо өөрчлөгдөх хүртэл клиент үргэлжлүүлэхээс татгалзана; цагаан анхааруулга нь тодорхой хариулмагц үргэлжлүүлэх зөвшөөрөл өгнө гэсэн үг. Гурав дахь тохиолдол ижил харагдана, өөрөөр ажиллана: хугацаа дууссан гэрчилгээ, клиент үүнийг импортлохыг огт санал болгохгүй, учир нь импортлох нь үүнийг хүчинтэй болгохгүй. Эдгээр гурвыг ялгахад нэг секунд хангалттай бөгөөд дараагийн бүхнийг шийднэ.

Бүгдийн ард шалтгааны богино жагсаалт байна: өөрөө гарын үсэг зурсан гарцын гэрчилгээ, төгсгөлийн цэг итгэдэггүй хувийн CA, эсвэл гэрчилгээний subject alternative names талбарт байхгүй хост нэр. Гурвын аль нь ч ижил харилцан яриа үүсгэж, өөр засвар шаардана.

Харилцан яриад хариулахын өмнө гэрчилгээг унш

Анхааруулгаас гэрчилгээний дэлгэрэнгүй мэдээллийг нээж, товчлуурт хүрэхийн өмнө гурван талбарыг хар. Subject болон SAN нь таны үнэхээр хүрэхийг хүссэн гарцыг нэрлэх ёстой, олгогч нь танай байгууллагын ажиллуулдаг CA байх ёстой, хүчинтэй хугацаа нь өнөөдрийг хамарсан байх ёстой. Дараа нь SHA-256 хурууны хээг энэ холболтоос өөр газраас авсан хуулбартай харьцуул, дотоод баримт бичгийн хуудас эсвэл тасалбараас, учир нь ижил харилцан ярианаас уншсан хурууны хээ юу ч нотлохгүй. Бие даасан хуулбар олдохгүй бол үл хамаарах зүйлийг хүлээн авах үндэс байхгүй.

Энэ бол лабораторийг үйлдвэрлэлийн гарцаас ялгах алхам. Өчигдөр үүсгэсэн өөрөө гарын үсэг зурсан гэрчилгээтэй туршилтын машин дээр дарж орох нь үндэслэлтэй. Хэрэглэгчид дараа нь нэвтрэх мэдээллээ бичдэг корпорацийн гарц дээр таны шалгаж чадахгүй гэрчилгээ нь боломжит тагнуулын зохион байгуулалт бөгөөд клиент л асуултыг асууж байгаа цорын ганц бүрэлдэхүүн хэсэг юм.

Хариулт бүр итгэлцлийн санд юу бичихийг мэд

Импортын асуултад тийм гэж хариулбал тухайн машины клиентийн итгэмжлэгдсэн санд гарцын гэрчилгээ нэмэгдэнэ. Энэ нь сесс бүрийн үл хамаарах зүйл биш: дараагийн холболтууд ижил асуултгүйгээр дуусч болно, энэ нь зорилго бөгөөд эрсдэл ч юм, учир нь дэлгэц дээр юу ч үл хамаарах зүйл байгааг хэнд ч сануулахгүй. Үгүй гэж хариулбал нэвтрэлт зөвхөн энэ сессэд үргэлжилнэ. Хоёр зам таныг холбоно, зөвхөн нэг нь машиныг өөрчилнө.

Хэрэв улаан зам дээр байвал эхний оролдлого нь нэвтрэлт огт биш. Баримтжуулсан оруулах дараалал нь connect мөр, дараа нь хоёр баталгаажуулалт бөгөөд тохиргоог өөрчлөөд гардаг; үүнийг амжилт гэж үздэг скрипт тохиргоог хадгалаад хэзээ ч баталгаажуулалт хийгээгүй. Гэрчилгээ импортлох асуулт зөвхөн дараагийн оролдлогод гарч ирдэг, тиймээс хүмүүс асуулт үе үе гардаг гэж дүгнэдэг.

Энэ дараалал зөвхөн хуруунд биш, автоматжуулалтад ч чухал. Үргэлж тийм гэж хэлдэг скриптийн хариулт гарц солигдсоны дараа ч ажилласаар байна, дараа гарч ирэх ямар ч гэрчилгээнд итгэсээр байна.

Хариултуудыг клиентийн асуух дарааллаар бич

Клиент анхааруулж байгаа ч холболтыг зөвшөөрвөл хариултууд тогтмол дарааллаар ирнэ: connect, үргэлжлүүлэх тийм, дараа нь импортын асуулт, дараа нь бүлэг, хэрэглэгчийн нэр, нууц үг. Асуултуудын цагийг таамаглахын оронд тэдгээрийг оруулах файлд тусдаа мөр болгон бич. Импортоос татгалзах нь ижил файлд нэг тэмдэгтийн өөрчлөлт бөгөөд хяналтгүй ажилладаг бүхний хувьд аюулгүй анхдагч юм.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Скрипт бүрт навч гэрчилгээ хүлээн авахыг заахын оронд байгууллагын CA-г төгсгөлийн цэгүүдэд түгээх нь дээр. Зөв SAN-тай зохистой олгогдсон гэрчилгээ бүгдэд асуултыг арилгаж, шалгалтын утга учрыг хадгалж, нэг төгсгөлийн цэгийн шийдвэрийн ой санамжаас хамаарахгүй. Үндэс CA суулгах нь навч импортлохоос хүнд өөрчлөлт тул түүнд туслах ширээний товчлол биш, удирдлагатай нэвтрүүлэлт гэж ханд.

Гарцаасаа урт насалдаг үл хамаарах зүйлсийг арилга

AnyConnect эдгээр тохиргоог машин бүрээр хадгалдаг тул албан газруудын хооронд шилжсэн зөөврийн компьютерт хуучин хариултууд хуримтлагдана. Удирдлагатай төгсгөлийн цэгүүд дэх хадгалсан тохиргоо болон импортолсон гэрчилгээг хянаж, үл хамаарах зүйл эзэмшигч нь өөрчлөгдсөн хост нэрийг дурдсан хэвээр байгаа эсэхийг шалга. Итгэмжлэхгүй ямар ч серверийг хүлээн авдаг тохиргоо нь үүнийг бий болгосон гэрчилгээнээс өргөн.

Хадгалах үнэ цэнэтэй загвар нь нарийн: хэвийн хэрэглээнд итгэмжлэгдсэн гэрчилгээ, түр зуурын үл хамаарах зүйлд баримтжуулсан зурвасаас гадуурх хурууны хээ шалгалт, шилжилт дуусахад түүнийг арилгадаг нэрлэсэн эзэмшигч. Хэрэв өөрийн удирддаг машин дээр ямар ч серверийг хүлээн авдаг ерөнхий тохиргоо олбол түүнийг тав тух биш, илрүүлэлт гэж үз.