Avertizarea AnyConnect privind un server neîncrezut: acceptați sau importați?

Lipiți numele de gazdă al gateway-ului în AnyConnect, fereastra devine roșie sau albă, iar un dialog întreabă dacă aveți încredere într-un server al cărui certificat clientul nu îl poate verifica. Mișcarea firească este să faceți clic și să vă apucați de treabă, și exact acesta este reflexul greșit. Răspunsul este scris în preferințele clientului pe acea mașină și se aplică conexiunilor ulterioare, așa că dialogul este o decizie de configurare îmbrăcată în costumul unei avertizări unice. Iată traseul pe care îl urmez, în ordinea în care clientul îl arată.

Începeți cu avertizarea pe care o vedeți de fapt

Roșu și alb nu sunt variante cosmetice. Avertizarea roșie înseamnă că profilul sau preferința este setată să blocheze serverele neîncrezute, așa că clientul refuză să continue până când acea setare nu se schimbă; avertizarea albă înseamnă că vă va lăsa să continuați imediat ce răspundeți explicit. Există un al treilea caz care arată la fel și se comportă diferit: un certificat expirat, pe care clientul nu îl va oferi deloc spre importare, pentru că importarea nu l-ar face valid. Distincția celor trei durează o secundă și decide tot ce urmează.

În spatele tuturor stă o listă scurtă de cauze: un certificat de gateway autosemnat, o CA privată în care punctul final nu are încredere, sau un nume de gazdă care lipsește din subject alternative names ale certificatului. Oricare dintre cele trei produce același dialog și cere o corecție diferită.

Citiți certificatul înainte de a răspunde dialogului

Deschideți detaliile certificatului din avertizare și uitați-vă la trei câmpuri înainte de a atinge un buton. Subject și SAN ar trebui să numească gateway-ul pe care chiar voiați să îl atingeți, emitentul ar trebui să fie CA pe care o operează organizația dumneavoastră, iar datele de valabilitate ar trebui să acopere ziua de azi. Apoi comparați amprenta SHA-256 cu o copie obținută în altă parte decât prin această conexiune, o pagină de documentație internă sau un tichet, pentru că o amprentă citită din același dialog nu demonstrează nimic. Dacă nu găsiți o copie independentă, nu aveți nicio bază pentru a accepta excepția.

Acesta este pasul care separă un laborator de un gateway de producție. Pe o mașină de test cu un certificat autosemnat generat ieri, clicul este rezonabil. Pe un gateway corporativ unde utilizatorii tastează apoi datele de autentificare, un certificat pe care nu îl puteți verifica este un scenariu de interceptare plauzibil, iar clientul este singura componentă care mai pune întrebarea.

Aflați ce scrie fiecare răspuns în depozitul de încredere

Răspunsul da la întrebarea de importare adaugă certificatul gateway-ului în depozitul de încredere al clientului de pe acea mașină. Nu este o excepție per sesiune: conexiunile ulterioare se pot încheia fără același prompt, ceea ce este scopul și totodată riscul, pentru că nimic de pe ecran nu îi reamintește cuiva că excepția există. Răspunsul nu continuă autentificarea doar pentru această sesiune. Ambele căi vă conectează, și doar una dintre ele schimbă mașina.

Dacă sunteți pe calea roșie, prima încercare nu este deloc o autentificare. Secvența documentată de intrare este o linie connect urmată de două confirmări, care schimbă preferința și iese; un script care o ia drept succes a salvat o setare și nu s-a autentificat niciodată. Întrebarea despre importarea certificatului apare doar la următoarea încercare, de aceea oamenii concluzionează că promptul este intermitent.

Acea ordine contează pentru automatizare, nu doar pentru degete. Un răspuns scriptat care spune mereu da continuă să funcționeze după ce gateway-ul se schimbă și continuă să aibă încredere în orice certificat care apare.

Scrieți răspunsurile în ordinea în care le cere clientul

Când clientul avertizează dar permite conexiunea, răspunsurile vin într-o ordine fixă: connect, da pentru a continua, apoi întrebarea de importare, apoi grupul, numele de utilizator și parola. Scrieți-le ca linii separate în fișierul de intrare în loc să ghiciți momentul prompturilor. Refuzul importării este o schimbare de un singur caracter în același fișier și este valoarea implicită mai sigură pentru tot ce rulează nesupravegheat.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Preferați să distribuiți CA-ul organizației către punctele finale în loc să învățați fiecare script să accepte un certificat frunză. Un certificat emis corect cu SAN-ul potrivit elimină promptul pentru toată lumea, menține validarea semnificativă și nu depinde de memoria unui singur punct final despre o decizie. Instalarea unei CA rădăcină este o schimbare mai grea decât importarea unei frunze, așa că tratați-o ca implementare gestionată, nu ca scurtătură a serviciului de asistență.

Eliminați excepțiile care supraviețuiesc gateway-ului lor

AnyConnect salvează aceste preferințe pe fiecare mașină, așa că răspunsurile vechi se acumulează pe laptopurile care s-au mutat între birouri. Verificați preferințele salvate și certificatele importate pe punctele finale gestionate și vedeți dacă o excepție mai numește un host care și-a schimbat proprietarul. O preferință care acceptă orice server neîncrezut este mai largă decât certificatul pentru care a fost creată.

Modelul care merită păstrat este îngust: un certificat de încredere pentru uz normal, o verificare documentată a amprentei în afara benzii pentru o excepție temporară și un proprietar numit care o elimină la sfârșitul migrării. Dacă găsiți pe o mașină pe care o gestionați o setare care acceptă orice server, tratați-o ca pe o constatare, nu ca pe o comoditate.