Twissija ta' AnyConnect dwar server mhux affidabbli: taċċetta jew timporta?

Twaħħal l-isem tal-host tal-gateway f'AnyConnect, it-tieqa ssir ħamra jew bajda, u djalogu jistaqsi jekk għandekx tafda server li ċ-ċertifikat tiegħu l-klijent ma jistax jivverifika. Il-mossa naturali hija li tikklikkja u tibda taħdem, u dik hija eżattament ir-rifless ħażin. It-tweġiba tinkiteb fil-preferenzi tal-klijent fuq dik il-magna u tapplika għal konnessjonijiet aktar tard, mela d-djalogu huwa deċiżjoni ta' konfigurazzjoni liebsa l-kostum ta' twissija ta' darba biss. Din hija l-mixja li nagħmel, fl-ordni li juriha l-klijent.

Ibda mit-twissija li fil-fatt tara

Aħmar u abjad mhumiex varjanti kożmetiċi. It-twissija ħamra tfisser li l-profil jew il-preferenza huwa ssettjat biex jimblokka servers mhux affidabbli, mela l-klijent joqgħod ma jkomplix sakemm tinbidel dik is-setting; it-twissija bajda tfisser li se jħallik tkompli hekk kif twieġeb b'mod espliċitu. Hemm it-tielet każ li jixbaħ u jġib ruħu b'mod differenti: ċertifikat skadut, li l-klijent mhu se joffri xejn biex jimportah, għax l-importazzjoni ma tagħmilx validu. Li tissepara dawn it-tlieta jieħu sekonda u jiddeċiedi kollox li jiġi wara.

Warajhom kollha hemm lista qasira ta' kawżi: ċertifikat tal-gateway iffirmat minnu nnifsu, CA privata li l-punt tat-tarf ma jafdax, jew isem tal-host li jkun nieqes mis-subject alternative names taċ-ċertifikat. Kull wieħed mit-tlieta jipproduċi l-istess djalogu u jeħtieġ tiswija differenti.

Aqra ċ-ċertifikat qabel ma twieġeb id-djalogu

Iftaħ id-dettalji taċ-ċertifikat mit-twissija u ħares lejn tliet oqsma qabel ma tmiss butuna. Is-subject u s-SAN għandhom jsemmu l-gateway li fil-fatt inti ridt tilħaq, l-emittent għandu jkun is-CA li tmexxi l-organizzazzjoni tiegħek, u d-dati tal-validità għandhom ikopru llum. Imbagħad qabbel il-marka tas-swaba' SHA-256 ma' kopja li ksibtu x'imkien ieħor għajr din il-konnessjoni, paġna ta' dokumentazzjoni interna jew biljett, għax marka tas-swaba' moqrija mill-istess djalogu ma tipprova xejn. Jekk ma ssibx kopja indipendenti, m'għandek l-ebda bażi biex taċċetta l-eċċezzjoni.

Dan huwa l-pass li jifred laboratorju minn gateway tal-produzzjoni. Fuq magna tat-test b'ċertifikat iffirmat minnu nnifsu li ġġenerajt ilbieraħ, il-klikk hija raġonevoli. Fuq gateway korporattiv fejn l-utenti jiktbu l-kredenzjali wara, ċertifikat li ma tistax tivverifika huwa arranġament ta' interċettazzjoni plawżibbli, u l-klijent huwa l-unika komponent li għadu jistaqsi l-mistoqsija.

Kun af x'jikteb kull tweġiba fil-maħżen tal-fiduċja

Li twieġeb iva għall-mistoqsija tal-importazzjoni jżid iċ-ċertifikat tal-gateway mal-maħżen affidabbli tal-klijent fuq dik il-magna. Mhix eċċezzjoni għal kull sessjoni: konnessjonijiet aktar tard jistgħu jitlestew mingħajr l-istess talba, u dan huwa l-għan u wkoll ir-riskju, għax xejn fuq l-iskrin ma jfakkar lil ħadd li l-eċċezzjoni teżisti. Li twieġeb le jkompli l-login biss għal din is-sessjoni. Iż-żewġ toroq iqabbduk, u waħda biss minnhom tbiddel il-magna.

Jekk int fuq it-triq ħamra, l-ewwel tentattiv mhuwiex login xejn. Is-sekwenza tal-input dokumentata hija linja connect segwita minn żewġ konfermi, li tbiddel il-preferenza u toħroġ; skript li jqisha bħala suċċess ikun salva setting u qatt ma awtentika. Il-mistoqsija tal-importazzjoni taċ-ċertifikat tidher biss fit-tentattiv li jmiss, u għalhekk in-nies jikkonkludu li t-talba hija intermittenti.

Dik l-ordni hija importanti għall-awtomazzjoni, mhux biss għas-swaba'. Tweġiba skriptjata li dejjem tgħid iva tkompli taħdem wara li l-gateway jinbidel, u tkompli tafda kwalunkwe ċertifikat li jidher wara.

Ikteb it-tweġibiet fl-ordni li fih il-klijent jistaqsi

Meta l-klijent jwissi imma jippermetti l-konnessjoni, it-tweġibiet jiġu f'ordni fiss: connect, iva biex tkompli, imbagħad il-mistoqsija tal-importazzjoni, imbagħad il-grupp, l-isem tal-utent u l-password. Iktebhom bħala linji separati fil-fajl tal-input minflok ma taqta' x'jista' jkun il-ħin tat-talbiet. Li tirrifjuta l-importazzjoni hija bidla ta' karattru wieħed fl-istess fajl, u hija l-valur prestabbilit aktar sigur għal kull ħaġa li taħdem mingħajr superviżjoni.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Ippreferi tqassam is-CA tal-organizzazzjoni lill-punti tat-tarf milli tgħallem lil kull skript jaċċetta ċertifikat tal-weraq. Ċertifikat maħruġ b'mod xieraq bis-SAN it-tajjeb ineħħi t-talba għal kulħadd, iżomm il-validazzjoni sinifikanti, u ma jiddependix fuq il-memorja ta' punt tat-tarf wieħed dwar deċiżjoni. L-installazzjoni ta' CA tal-għeruq hija bidla aktar tqila milli timporta werqa, mela ttrattaha bħala tnedija amministrata u mhux bħala shortcut tal-help desk.

Neħħi l-eċċezzjonijiet li jgħixu aktar mill-gateway tagħhom

AnyConnect issalva dawn il-preferenzi għal kull magna, mela t-tweġibiet qodma jinġemgħu fuq laptops li ċċaqilqu bejn l-uffiċċji. Erġa' ara l-preferenzi msalvati u ċ-ċertifikati importati fuq punti tat-tarf amministrati, u iċċekkja jekk eċċezzjoni għadhiex issemmi isem tal-host li nbidel is-sid tiegħu. Preferenza li taċċetta kwalunkwe server mhux affidabbli hija usa' miċ-ċertifikat li għalih inħolqot.

Il-mudell li jistħoqqlu jinżamm huwa dejjaq: ċertifikat affidabbli għall-użu normali, verifika tal-marka tas-swaba' barra mill-banda dokumentata għal eċċezzjoni temporanja, u sid imsemmi li jneħħiha meta tintemm il-migrazzjoni. Jekk issib fuq magna li tamministra setting li taċċetta kwalunkwe server, ittrattah bħala sejba u mhux bħala komodità.