Upozornenie AnyConnect na nedôveryhodný server: prijať alebo importovať?

Vložíte názov hostiteľa brány do AnyConnect, okno sčervenie alebo zbelie a dialóg sa pýta, či dôverovať serveru, ktorého certifikát klient nedokáže overiť. Prirodzený pohyb je kliknúť a pokračovať v práci, a to je presne nesprávny reflex. Odpoveď sa zapisuje do predvolieb klienta na tom počítači a platí pre ďalšie pripojenia, takže dialóg je rozhodnutie o konfigurácii v kostýme jednorazového upozornenia. Tu je postup, ktorý robím, v poradí, v akom ho klient zobrazuje.

Začnite upozornením, ktoré skutočne vidíte

Červená a biela nie sú kozmetické varianty. Červené upozornenie znamená, že profil alebo predvoľba je nastavená na blokovanie nedôveryhodných serverov, takže klient odmieta pokračovať, kým sa to nastavenie nezmení; biele upozornenie znamená, že vás nechá pokračovať, hneď ako odpoviete výslovne. Existuje tretí prípad, ktorý vyzerá rovnako a správa sa inak: exspirovaný certifikát, ktorý klient vôbec neponúkne na import, pretože import by ho neplatným neurobil. Rozlíšiť tieto tri trvá sekundu a rozhoduje o všetkom, čo nasleduje.

Za všetkými stojí krátky zoznam príčin: samopodpísaný certifikát brány, privátna CA, ktorej koncový bod nedôveruje, alebo názov hostiteľa, ktorý v certifikáte chýba v subject alternative names. Každá z tých troch dáva rovnaký dialóg a potrebuje inú opravu.

Prečítajte certifikát, kým odpoviete v dialógu

Otvorte podrobnosti certifikátu z upozornenia a pozrite sa na tri polia, kým sa dotknete tlačidla. Subject a SAN majú pomenovať bránu, na ktorú ste naozaj chceli dosiahnuť, vydavateľ má byť CA, ktorú prevádzkuje vaša organizácia, a dátumy platnosti majú pokrývať dnešok. Potom porovnajte odtlačok SHA-256 s kópiou, ktorú ste získali inde než týmto pripojením, na stránke internej dokumentácie alebo v tikete, pretože odtlačok prečítaný z toho istého dialógu nedokazuje vôbec nič. Ak nenájdete nezávislú kópiu, nemáte žiadny základ na prijatie výnimky.

Toto je krok, ktorý oddeľuje laboratórium od produkčnej brány. Na testovacom počítači s certifikátom podpísaným samým sebou, ktorý ste vygenerovali včera, je kliknutie rozumné. Na firemnej bráne, kde používatelia následne zadávajú prihlasovacie údaje, je certifikát, ktorý nedokážete overiť, pravdepodobné odpočúvacie usporiadanie a klient je jediná súčasť, ktorá sa ešte pýta.

Vedzte, čo každá odpoveď zapíše do úložiska dôvery

Odpoveď áno na otázku importu pridá certifikát brány do klientovho dôveryhodného úložiska na tom počítači. Nie je to výnimka pre jedno pripojenie: ďalšie pripojenia sa môžu dokončiť bez tej istej výzvy, čo je zmyslom a zároveň rizikom, pretože nič na obrazovke nikomu nepripomína, že výnimka existuje. Odpoveď nie pokračuje v prihlásení len pre toto pripojenie. Obe cesty vás pripoja a iba jedna z nich mení počítač.

Ak ste na červenej ceste, prvý pokus vôbec nie je prihlásenie. Dokumentovaná postupnosť vstupu je riadok connect a potom dve potvrdenia, čo zmení predvoľbu a ukončí sa; skript, ktorý to považuje za úspech, uložil nastavenie a nikdy sa neautentizoval. Otázka importu certifikátu sa objaví až pri ďalšom pokuse, a preto ľudia usudzujú, že výzva je občasná.

To poradie je dôležité pre automatizáciu, nielen pre prsty. Skriptovaná odpoveď, ktorá vždy hovorí áno, funguje ďalej aj po zmene brány a ďalej dôveruje každému certifikátu, ktorý sa objaví.

Napíšte odpovede v poradí, v akom sa klient pýta

Keď klient varuje, ale pripojenie povolí, odpovede prichádzajú v pevnom poradí: connect, áno pre pokračovanie, potom otázka importu, potom skupina, používateľské meno a heslo. Napíšte ich ako samostatné riadky do vstupného súboru, namiesto hádania časovania výziev. Odmietnutie importu je zmena jediného znaku v tom istom súbore a je bezpečnejšou predvolenou hodnotou pre všetko, čo beží bez dozoru.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Uprednostnite distribúciu CA organizácie na koncové body pred učením každého skriptu prijímať koncový certifikát. Správne vydaný certifikát so správnym SAN odstráni výzvu pre všetkých, zachová zmysel overovania a nezávisí od pamäti jedného koncového bodu o rozhodnutí. Inštalácia koreňovej CA je ťažšia zmena než import koncového certifikátu, takže k nej pristupujte ako k riadenému zavádzaniu, nie ako k skratke podpory.

Odstráňte výnimky, ktoré žijú dlhšie než ich brána

AnyConnect ukladá tieto predvoľby pre každý počítač, takže sa staré odpovede hromadia na notebookoch, ktoré sa presúvali medzi kanceláriami. Prejdite uložené predvoľby a importované certifikáty na spravovaných koncových bodoch a skontrolujte, či výnimka ešte uvádza názov hostiteľa, ktorý zmenil vlastníka. Predvoľba, ktorá prijíma akýkoľvek nedôveryhodný server, je širšia než certifikát, pre ktorý vznikla.

Vzor, ktorý stojí za to udržať, je úzky: dôveryhodný certifikát na bežné použitie, dokumentovaná mimosieťová kontrola odtlačku pre dočasnú výnimku a menovaný vlastník, ktorý ju odstráni, keď sa migrácia skončí. Ak na počítači, ktorý spravujete, nájdete nastavenie prijímajúce akýkoľvek server, berte to ako zistenie, nie ako pohodlie.