Amaran pelayan tidak dipercayai AnyConnect: terima atau import?

Anda menampal nama hos gateway ke dalam AnyConnect, tetingkap menjadi merah atau putih, dan dialog bertanya sama ada mahu mempercayai pelayan yang sijilnya tidak dapat disahkan oleh klien. Gerakan semula jadi ialah klik dan mula bekerja, dan itulah tepatnya refleks yang salah. Jawapannya ditulis ke dalam keutamaan klien pada mesin itu dan terpakai untuk sambungan kemudian, jadi dialog itu ialah keputusan konfigurasi yang menyamar sebagai amaran sekali sahaja. Berikut ialah laluan yang saya ambil, mengikut urutan yang ditunjukkan oleh klien.

Mulakan dengan amaran yang benar-benar anda lihat

Merah dan putih bukan variasi kosmetik. Amaran merah bermaksud profil atau keutamaan ditetapkan untuk menyekat pelayan tidak dipercayai, jadi klien enggan meneruskan sehingga tetapan itu berubah; amaran putih bermaksud klien akan membenarkan anda meneruskan sebaik sahaja anda menjawab secara jelas. Ada kes ketiga yang kelihatan serupa tetapi berkelakuan berbeza: sijil yang telah tamat tempoh, yang tidak akan ditawarkan oleh klien untuk diimport langsung, kerana mengimportnya tidak akan menjadikannya sah. Membezakan ketiga-tiganya mengambil masa satu saat dan menentukan segala yang berikutnya.

Di sebalik semuanya ada senarai punca yang pendek: sijil gateway yang ditandatangani sendiri, CA persendirian yang tidak dipercayai oleh titik akhir, atau nama hos yang tiada dalam subject alternative names sijil itu. Mana-mana satu daripadanya menghasilkan dialog yang sama dan memerlukan pembaikan yang berbeza.

Baca sijil sebelum anda menjawab dialog

Buka butiran sijil daripada amaran dan lihat tiga medan sebelum menyentuh butang. Subject dan SAN sepatutnya menamakan gateway yang benar-benar anda ingin tuju, pengeluar sepatutnya CA yang dikendalikan oleh organisasi anda, dan tarikh sah sepatutnya meliputi hari ini. Kemudian bandingkan cap jari SHA-256 dengan salinan yang anda peroleh di tempat lain selain sambungan ini, halaman dokumentasi dalaman atau tiket, kerana cap jari yang dibaca daripada dialog yang sama tidak membuktikan apa-apa. Jika anda tidak menemui salinan bebas, anda tiada asas untuk menerima pengecualian itu.

Inilah langkah yang memisahkan makmal daripada gateway pengeluaran. Pada mesin ujian dengan sijil yang ditandatangani sendiri yang anda jana semalam, mengklik meneruskan adalah wajar. Pada gateway korporat tempat pengguna menaip kelayakan selepas itu, sijil yang tidak dapat anda sahkan ialah kemungkinan persediaan penyadapan, dan klien ialah satu-satunya komponen yang masih bertanya soalan itu.

Ketahui apa yang ditulis oleh setiap jawapan ke dalam stor kepercayaan

Menjawab ya kepada soalan import menambahkan sijil gateway ke dalam stor dipercayai klien pada mesin itu. Ini bukan pengecualian setiap sesi: sambungan kemudian boleh selesai tanpa gesaan yang sama, itulah tujuannya dan juga risikonya, kerana tiada apa-apa di skrin mengingatkan sesiapa bahawa pengecualian itu wujud. Menjawab tidak meneruskan log masuk hanya untuk sesi ini. Kedua-dua laluan menyambungkan anda, dan hanya satu daripadanya mengubah mesin itu.

Jika anda berada di laluan merah, percubaan pertama sama sekali bukan log masuk. Urutan input yang didokumenkan ialah baris connect diikuti dua pengesahan, yang mengubah keutamaan dan keluar; skrip yang menganggapnya berjaya telah menyimpan tetapan dan tidak pernah mengesahkan identiti. Soalan import sijil hanya muncul pada percubaan seterusnya, sebab itulah orang membuat kesimpulan bahawa gesaan itu berselang-seli.

Urutan itu penting untuk automasi, bukan hanya untuk jari. Jawapan skrip yang sentiasa berkata ya terus berfungsi selepas gateway bertukar, dan terus mempercayai mana-mana sijil yang muncul selepas itu.

Tulis jawapan mengikut urutan yang klien minta

Apabila klien memberi amaran tetapi membenarkan sambungan, jawapan datang dalam urutan tetap: connect, ya untuk meneruskan, kemudian soalan import, kemudian kumpulan, nama pengguna dan kata laluan. Tulis semuanya sebagai baris berasingan dalam fail input dan bukan meneka masa gesaan. Menolak import ialah perubahan satu aksara dalam fail yang sama, dan itulah nilai lalai yang lebih selamat untuk apa sahaja yang berjalan tanpa pengawasan.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Lebih baik mengagihkan CA organisasi ke titik akhir daripada mengajar setiap skrip menerima sijil daun. Sijil yang dikeluarkan dengan betul dengan SAN yang tepat menghapuskan gesaan itu untuk semua orang, mengekalkan pengesahan yang bermakna, dan tidak bergantung pada ingatan satu titik akhir tentang sesuatu keputusan. Memasang CA akar ialah perubahan yang lebih berat daripada mengimport daun, jadi anggapnya sebagai pelancaran terurus dan bukan jalan pintas meja bantuan.

Hapuskan pengecualian yang hidup lebih lama daripada gateway mereka

AnyConnect menyimpan keutamaan ini mengikut mesin, jadi jawapan lama terkumpul pada komputer riba yang berpindah antara pejabat. Semak keutamaan yang disimpan dan sijil yang diimport pada titik akhir terurus, dan periksa sama ada pengecualian masih menamakan nama hos yang telah bertukar pemilik. Keutamaan yang menerima mana-mana pelayan tidak dipercayai lebih luas daripada sijil yang menjadi sebab ia dicipta.

Corak yang patut dikekalkan adalah sempit: sijil dipercayai untuk penggunaan biasa, pemeriksaan cap jari luar jalur yang didokumenkan untuk pengecualian sementara, dan pemilik bernama yang mengeluarkannya apabila migrasi tamat. Jika anda menemui tetapan yang menerima mana-mana pelayan pada mesin yang anda urus, anggapnya sebagai penemuan dan bukan kemudahan.