AnyConnect-åtvaring om ein ikkje-klarert server: godta eller importere?

Du limer inn vertsnamnet til gatewayen i AnyConnect, vindauget vert raudt eller kvitt, og ein dialog spør om du vil stole på ein server som klienten ikkje kan stadfeste sertifikatet til. Den naturlege rørsla er å klikke seg gjennom og kome i gang, og det er nettopp den feil refleksen. Svaret vert skrive inn i innstillingane til klienten på den maskina og gjeld for seinare tilkoplingar, så dialogen er ei konfigurasjonsavgjerd i kostyme av ei eingongsåtvaring. Her er løpet eg tek, i den rekkjefølgja klienten viser det.

Start med åtvaringa du faktisk ser

Raudt og kvitt er ikkje kosmetiske variantar. Den raude åtvaringa tyder at profilen eller innstillinga er sett til å blokkere ikkje-klarerte serverar, så klienten nektar å halde fram til den innstillinga vert endra; den kvite åtvaringa tyder at han lèt deg halde fram så snart du svarar eksplisitt. Det finst eit tredje tilfelle som ser likt ut og oppfører seg annleis: eit utgått sertifikat, som klienten ikkje vil tilby å importere i det heile, fordi import ikkje ville gjere det gyldig. Å skilje dei tre tek eit sekund og avgjer alt som følgjer.

Bak alle saman står ei kort liste med årsaker: eit sjølvsignert gateway-sertifikat, ein privat CA som endepunktet ikkje stolar på, eller eit vertsnamn som manglar i subject alternative names til sertifikatet. Kvar av dei tre gjev same dialog og krev ei anna retting.

Les sertifikatet før du svarar på dialogen

Opne sertifikatdetaljane frå åtvaringa og sjå på tre felt før du rører ein knapp. Subject og SAN skal namngje gatewayen du faktisk ville nå, utferdaren skal vere CA-en organisasjonen din driv, og gyldigheitsdatoane skal dekkje i dag. Samanlikn deretter SHA-256-avtrykket med ein kopi du har fått ein annan stad enn gjennom denne tilkoplinga, ei intern dokumentasjonsside eller ei sak, fordi eit avtrykk lese frå same dialogen beviser ingenting som helst. Finn du ikkje ein uavhengig kopi, har du ikkje grunnlag for å godta unntaket.

Dette er trinnet som skil eit laboratorium frå ein produksjonsgateway. På ein testmaskin med eit sjølvsignert sertifikat du genererte i går, er gjennomklikking rimeleg. På ein bedriftsgateway der brukarane deretter skriv inn påloggingsinformasjon, er eit sertifikat du ikkje kan stadfeste eit sannsynleg avlyttingsopplegg, og klienten er den einaste komponenten som framleis stiller spørsmålet.

Vit kva kvart svar skriv til tillitslageret

Å svare ja på importspørsmålet legg sertifikatet til gatewayen i det klarerte lageret til klienten på den maskina. Det er ikkje eit unntak per sesjon: seinare tilkoplingar kan fullførast utan same ledetekst, noko som er poenget og òg risikoen, fordi ingenting på skjermen minner nokon på at unntaket finst. Å svare nei held pålogginga fram berre for denne sesjonen. Båe vegar kopplar deg til, og berre éin av dei endrar maskina.

Er du på den raude vegen, er det første forsøket ikkje ei pålogging i det heile. Den dokumenterte inndatasekvensen er ei connect-linje etterfølgd av to stadfestingar, som endrar innstillinga og avsluttar; eit skript som ser på det som suksess, har lagra ei innstilling og aldri autentisert. Spørsmålet om sertifikatimport dukkar først opp ved neste forsøk, og difor konkluderer folk med at ledeteksten er periodisk.

Den rekkjefølgja har noko å seie for automatisering, ikkje berre for fingrar. Eit skripta svar som alltid seier ja, held fram med å verke etter at gatewayen er bytt, og held fram med å stole på kva sertifikat som helst som dukkar opp.

Skriv svara i den rekkjefølgja klienten spør

Når klienten åtvarer men lèt tilkoplinga gjennom, kjem svara i fast rekkjefølgje: connect, ja for å halde fram, deretter importspørsmålet, deretter gruppa, brukarnamnet og passordet. Skriv dei som separate linjer i inndatafila i staden for å gisse på timinga til ledetekstene. Å avslå importen er ei endring av eitt teikn i same fila, og det er den tryggare standarden for alt som køyrer utan tilsyn.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Føretrekk å distribuere CA-en til organisasjonen til endepunkta framfor å lære kvart skript å godta eit bladsertifikat. Eit rett utferda sertifikat med rett SAN fjernar ledeteksten for alle, held valideringa meiningsfull og er ikkje avhengig av minnet til eitt endepunkt om ei avgjerd. Å installere ein rot-CA er ei tyngre endring enn å importere eit blad, så handsam det som ei styrt utrulling og ikkje som ein snøggveg frå brukarstøtta.

Fjern unntaka som lever lenger enn gatewayen sin

AnyConnect lagrar desse innstillingane per maskin, så gamle svar hopar seg opp på berbare maskiner som har flytta mellom kontor. Gå gjennom dei lagra innstillingane og dei importerte sertifikata på styrte endepunkt, og sjekk om eit unntak framleis nemner eit vertsnamn som har skifta eigar. Ei innstilling som godtek ein kvar ikkje-klarert server er breiare enn sertifikatet ho vart oppretta for.

Mønsteret som er verdt å halde på er smalt: eit klarert sertifikat for normal bruk, ein dokumentert avtrykkskontroll utanfor bandet for eit mellombels unntak, og ein namngjeven eigar som fjernar det når migreringa er over. Finn du ei innstilling som godtek ein kvar server på ei maskin du administrerer, handsam det som eit funn og ikkje som ein bekvemmelegheit.