Ostrzeżenie AnyConnect o niezaufanym serwerze: zaakceptować czy zaimportować?

Wklejasz nazwę hosta bramy do AnyConnect, okno staje się czerwone lub białe, a okno dialogowe pyta, czy zaufać serwerowi, którego certyfikatu klient nie może zweryfikować. Naturalnym odruchem jest kliknięcie i przejście do pracy, i to jest właśnie błędny odruch. Odpowiedź jest zapisywana w preferencjach klienta na tej maszynie i obowiązuje przy późniejszych połączeniach, więc okno dialogowe to decyzja konfiguracyjna w kostiumie jednorazowego ostrzeżenia. Oto droga, którą przechodzę, w kolejności, w jakiej pokazuje ją klient.

Zacznij od ostrzeżenia, które naprawdę widzisz

Czerwony i biały to nie warianty kosmetyczne. Czerwone ostrzeżenie oznacza, że profil lub preferencja jest ustawiona na blokowanie niezaufanych serwerów, więc klient odmawia kontynuacji, dopóki to ustawienie się nie zmieni; białe ostrzeżenie oznacza, że pozwoli ci kontynuować, gdy odpowiesz wprost. Jest trzeci przypadek, który wygląda podobnie, a zachowuje się inaczej: wygasły certyfikat, którego klient w ogóle nie zaproponuje do importu, bo import nie uczyniłby go ważnym. Rozróżnienie tych trzech zajmuje sekundę i rozstrzyga wszystko, co następuje.

Za wszystkimi stoi krótka lista przyczyn: certyfikat bramy podpisany własnoręcznie, prywatny CA, któremu punkt końcowy nie ufa, albo nazwa hosta, której brakuje w subject alternative names certyfikatu. Każda z nich daje to samo okno i wymaga innej poprawki.

Przeczytaj certyfikat, zanim odpowiesz w oknie

Otwórz szczegóły certyfikatu z ostrzeżenia i spójrz na trzy pola, zanim dotkniesz przycisku. Subject i SAN powinny nazywać bramę, do której naprawdę chciałeś dotrzeć, wystawcą powinien być CA zarządzany przez twoją organizację, a daty ważności powinny obejmować dzisiaj. Następnie porównaj odcisk SHA-256 z kopią uzyskaną gdzie indziej niż przez to połączenie, ze strony dokumentacji wewnętrznej albo zgłoszenia, ponieważ odcisk odczytany z tego samego okna nie dowodzi niczego. Jeśli nie znajdziesz niezależnej kopii, nie masz podstaw, by zaakceptować wyjątek.

To krok, który oddziela laboratorium od bramy produkcyjnej. Na maszynie testowej z certyfikatem podpisanym własnoręcznie, który wygenerowałeś wczoraj, klikanie jest rozsądne. Na bramie firmowej, gdzie użytkownicy wpisują następnie dane logowania, certyfikat, którego nie możesz zweryfikować, jest prawdopodobnym układem podsłuchu, a klient jest jedynym elementem, który wciąż zadaje to pytanie.

Wiedz, co każda odpowiedź zapisuje w magazynie zaufania

Odpowiedź tak na pytanie o import dodaje certyfikat bramy do zaufanego magazynu klienta na tej maszynie. To nie wyjątek na jedną sesję: późniejsze połączenia mogą zakończyć się bez tego samego pytania, co jest celem i jednocześnie ryzykiem, bo nic na ekranie nikomu nie przypomina, że wyjątek istnieje. Odpowiedź nie kontynuuje logowania tylko dla tej sesji. Obie ścieżki cię łączą, a tylko jedna z nich zmienia maszynę.

Jeśli jesteś na czerwonej ścieżce, pierwsza próba wcale nie jest logowaniem. Udokumentowana sekwencja wejścia to linia connect, po której następują dwa potwierdzenia, co zmienia preferencję i kończy działanie; skrypt, który uznaje to za sukces, zapisał ustawienie i nigdy się nie uwierzytelnił. Pytanie o import certyfikatu pojawia się dopiero przy następnej próbie, dlatego ludzie sądzą, że pytanie jest okresowe.

Ta kolejność ma znaczenie dla automatyzacji, nie tylko dla palców. Odpowiedź skryptu, który zawsze mówi tak, działa dalej po zmianie bramy i nadal ufa każdemu certyfikatowi, który się pojawi.

Zapisz odpowiedzi w kolejności, w jakiej pyta klient

Gdy klient ostrzega, ale pozwala na połączenie, odpowiedzi przychodzą w stałej kolejności: connect, tak, aby kontynuować, potem pytanie o import, potem grupa, nazwa użytkownika i hasło. Zapisz je jako osobne linie w pliku wejściowym, zamiast zgadywać moment pytań. Odmowa importu to zmiana jednego znaku w tym samym pliku i bezpieczniejsza wartość domyślna dla wszystkiego, co działa bez nadzoru.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Wolisz rozdzielać CA organizacji na punkty końcowe, niż uczyć każdy skrypt akceptowania certyfikatu liścia. Prawidłowo wydany certyfikat z właściwym SAN usuwa pytanie dla wszystkich, utrzymuje sens weryfikacji i nie zależy od pamięci jednego punktu końcowego o decyzji. Instalacja głównego CA to cięższa zmiana niż import liścia, więc traktuj ją jako zarządzane wdrożenie, a nie skrót pomocy technicznej.

Usuń wyjątki, które żyją dłużej niż ich brama

AnyConnect zapisuje te preferencje na każdej maszynie, więc stare odpowiedzi gromadzą się na laptopach, które przenoszono między biurami. Przejrzyj zapisane preferencje i zaimportowane certyfikaty na zarządzanych punktach końcowych i sprawdź, czy wyjątek nadal wymienia nazwę hosta, która zmieniła właściciela. Preferencja akceptująca dowolny niezaufany serwer jest szersza niż certyfikat, dla którego powstała.

Wzorzec wart zachowania jest wąski: zaufany certyfikat do normalnego użytku, udokumentowana kontrola odcisku poza pasmem dla tymczasowego wyjątku i nazwany właściciel, który go usuwa po zakończeniu migracji. Jeśli na maszynie, którą zarządzasz, znajdziesz ustawienie akceptujące dowolny serwer, potraktuj to jako ustalenie, a nie wygodę.