AnyConnect upozorenje na nepouzdan server: prihvatiti ili uvesti?

Zalijepite ime hosta gatewaya u AnyConnect, prozor postane crven ili bijel, a dijalog pita hoćete li vjerovati serveru čiji certifikat klijent ne može provjeriti. Prirodan potez je kliknuti i nastaviti raditi, a to je upravo pogrešan refleks. Odgovor se zapisuje u klijentove postavke na tom računaru i vrijedi za kasnije veze, pa je dijalog odluka o konfiguraciji u kostimu jednokratnog upozorenja. Evo reda kojim idem, onim kojim ga klijent pokazuje.

Počnite od upozorenja koje stvarno vidite

Crveno i bijelo nisu kozmetičke varijante. Crveno upozorenje znači da je profil ili postavka namještena da blokira nepouzdane servere, pa klijent odbija nastaviti dok se ta postavka ne promijeni; bijelo upozorenje znači da će vam dopustiti nastavak kad jasno odgovorite. Treći slučaj izgleda slično, a ponaša se drukčije: istekao certifikat, koji klijent uopće neće ponuditi za uvoz, jer ga uvoz ne bi učinio valjanim. Razvrstavanje tih tri slučaja traje sekundu i odlučuje sve što slijedi.

Iza svih njih stoji kratak popis uzroka: samopotpisani certifikat gatewaya, privatni CA kojem krajnja točka ne vjeruje ili ime hosta koje nedostaje u subject alternative names certifikata. Svaki od tri daje isti dijalog i traži drukčiji popravak.

Pročitajte certifikat prije nego odgovorite na dijalog

Otvorite pojedinosti certifikata iz upozorenja i pogledajte tri polja prije nego dodirnete gumb. Subject i SAN trebaju imenovati gateway koji ste doista htjeli dosegnuti, izdavatelj treba biti CA kojim upravlja vaša organizacija, a datumi valjanosti trebaju pokrivati današnji dan. Zatim usporedite SHA-256 otisak s kopijom koju ste dobili negdje izvan ove veze, na stranici interne dokumentacije ili u ticketu, jer otisak pročitan iz istog dijaloga ne dokazuje baš ništa. Ako ne možete naći neovisnu kopiju, nemate osnovu prihvatiti izuzetak.

To je korak koji dijeli laboratorij od produkcijskog gatewaya. Na testnom računaru sa samopotpisanim certifikatom koji ste jučer izradili, klikanje je razumno. Na korporativnom gatewayu gdje korisnici zatim upisuju podatke za prijavu, certifikat koji ne možete provjeriti vjerojatan je scenarij presretanja, a klijent je jedina komponenta koja još postavlja pitanje.

Znajte što svaki odgovor zapisuje u spremište povjerenja

Odgovor da na pitanje o uvozu dodaje certifikat gatewaya u klijentovo pouzdano spremište na tom računaru. To nije izuzetak po sesiji: kasnije se veze mogu dovršiti bez istog upita, što je i svrha i rizik, jer ništa na zaslonu nikoga ne podsjeća da izuzetak postoji. Odgovor ne nastavlja prijavu samo za ovu sesiju. Oba puta vas spajaju, a samo jedan od njih mijenja računar.

Ako ste na crvenom putu, prvi pokušaj uopće nije prijava. Dokumentirani slijed unosa je redak connect i zatim dvije potvrde, što mijenja postavku i izlazi; skripta koja to smatra uspjehom spremila je postavku i nikada se nije autentificirala. Pitanje o uvozu certifikata pojavljuje se tek pri sljedećem pokušaju, zato ljudi zaključuju da je upit povremen.

Taj je redoslijed važan za automatizaciju, ne samo za prste. Skriptirani odgovor koji uvijek kaže da nastavlja raditi nakon promjene gatewaya i nastavlja vjerovati kojem god se certifikatu sljedeće pojavi.

Zapišite odgovore redom kojim ih klijent traži

Kad klijent upozorava, ali dopušta vezu, odgovori dolaze u utvrđenom redu: connect, da za nastavak, zatim pitanje o uvozu, zatim grupa, korisničko ime i lozinka. Zapišite ih kao zasebne retke u ulaznoj datoteci umjesto da pogađate vrijeme upita. Odbijanje uvoza promjena je jednog znaka u istoj datoteci i sigurnija je zadana vrijednost za sve što radi bez nadzora.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Radije distribuirajte CA organizacije na krajnje točke nego da svaku skriptu učite prihvaćanju završnog certifikata. Ispravno izdan certifikat s pravim SAN-om uklanja upit za sve, čuva smisao provjere i ne ovisi o pamćenju odluke na jednoj krajnjoj točki. Instalacija korijenskog CA teža je promjena od uvoza završnog certifikata, pa je tretirajte kao vođeno uvođenje, a ne kao prečac službe za podršku.

Uklonite izuzetke koji žive dulje od svog gatewaya

AnyConnect čuva te postavke po računaru, pa se stari odgovori nakupljaju na prijenosnicima koji su selili među uredima. Pregledajte spremljene postavke i uvezene certifikate na upravljanim krajnjim točkama i provjerite navodi li izuzetak još ime hosta koje je promijenilo vlasnika. Postavka koja prihvaća svaki nepouzdan server šira je od certifikata za koji je stvorena.

Uzorak koji vrijedi zadržati uzak je: pouzdan certifikat za normalnu upotrebu, dokumentirana izvanpojasna provjera otiska za privremeni izuzetak i imenovani vlasnik koji ga uklanja kad migracija završi. Ako na računaru kojim upravljate nađete postavku koja prihvaća svaki server, tretirajte je kao nalaz, a ne kao pogodnost.