Opozorilo AnyConnect o nezanesljivem strežniku: sprejeti ali uvoziti?

Prilepite ime gostitelja prehoda v AnyConnect, okno postane rdeče ali belo in pogovorno okno vpraša, ali zaupati strežniku, katerega potrdila odjemalec ne more preveriti. Naravna poteza je klikniti in se lotiti dela, in to je prav napačni refleks. Odgovor se zapiše v nastavitve odjemalca na tem računalniku in velja za poznejše povezave, zato je pogovorno okno odločitev o konfiguraciji v preobleki enkratnega opozorila. Tu je pot, ki jo uberem, v vrstnem redu, v katerem jo prikaže odjemalec.

Začnite z opozorilom, ki ga res vidite

Rdeče in belo nista kozmetični različici. Rdeče opozorilo pomeni, da je profil ali nastavitev nastavljena na blokiranje nezanesljivih strežnikov, zato odjemalec noče nadaljevati, dokler se ta nastavitev ne spremeni; belo opozorilo pomeni, da vam bo dovolil nadaljevati, ko boste odgovorili izrecno. Obstaja tretji primer, ki je videti enako in se obnaša drugače: poteklo potrdilo, ki ga odjemalec sploh ne bo ponudil za uvoz, ker ga uvoz ne bi naredil veljavnega. Razločevanje teh treh vzame sekundo in odloči vse, kar sledi.

Za vsemi stoji kratek seznam vzrokov: samopodpisano potrdilo prehoda, zasebni CA, ki mu končna točka ne zaupa, ali ime gostitelja, ki manjka v subject alternative names potrdila. Vsak od treh ustvari isto pogovorno okno in zahteva drugačen popravek.

Preberite potrdilo, preden odgovorite v pogovornem oknu

Odprite podrobnosti potrdila iz opozorila in poglejte tri polja, preden se dotaknete gumba. Subject in SAN morata poimenovati prehod, ki ste ga res želeli doseči, izdajatelj mora biti CA, ki jo upravlja vaša organizacija, in datumi veljavnosti morajo pokrivati današnji dan. Nato primerjajte odtis SHA-256 s kopijo, ki ste jo dobili drugje kot prek te povezave, na strani interne dokumentacije ali v zahtevku, ker odtis, prebran iz istega pogovornega okna, ne dokazuje ničesar. Če ne najdete neodvisne kopije, nimate podlage za sprejem izjeme.

To je korak, ki loči laboratorij od produkcijskega prehoda. Na testnem računalniku s samopodpisanim potrdilom, ki ste ga ustvarili včeraj, je klikanje razumno. Na poslovnem prehodu, kjer uporabniki nato vpisujejo poverilnice, je potrdilo, ki ga ne morete preveriti, verjetna postavitev za prestrezanje, odjemalec pa je edina komponenta, ki še postavlja vprašanje.

Vedite, kaj vsak odgovor zapiše v shrambo zaupanja

Odgovor da na vprašanje o uvozu doda potrdilo prehoda v odjemalčevo zaupno shrambo na tem računalniku. To ni izjema za posamezno sejo: poznejše povezave se lahko končajo brez iste zahteve, kar je namen in hkrati tveganje, ker nič na zaslonu nikogar ne spomni, da izjema obstaja. Odgovor ne nadaljuje prijave le za to sejo. Obe poti vas povežeta in le ena od njiju spremeni računalnik.

Če ste na rdeči poti, prvi poskus sploh ni prijava. Dokumentirano zaporedje vnosa je vrstica connect in nato dve potrditvi, kar spremeni nastavitev in konča; skript, ki to šteje za uspeh, je shranil nastavitev in se nikoli ni overil. Vprašanje o uvozu potrdila se pojavi šele ob naslednjem poskusu, zato ljudje sklepajo, da je zahteva občasna.

Ta vrstni red je pomemben za avtomatizacijo, ne le za prste. Skriptni odgovor, ki vedno reče da, deluje naprej tudi po zamenjavi prehoda in še naprej zaupa vsakemu potrdilu, ki se pojavi.

Zapišite odgovore v vrstnem redu, v katerem jih odjemalec zahteva

Ko odjemalec opozori, a povezavo dovoli, odgovori pridejo v stalnem vrstnem redu: connect, da za nadaljevanje, nato vprašanje o uvozu, nato skupina, uporabniško ime in geslo. Zapišite jih kot ločene vrstice v vhodni datoteki, namesto da ugibate čas zahtev. Zavrnitev uvoza je sprememba enega znaka v isti datoteki in je varnejša privzeta vrednost za vse, kar teče brez nadzora.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Raje razdelite CA organizacije na končne točke, kot da bi vsak skript učili sprejemanja listnega potrdila. Pravilno izdano potrdilo s pravim SAN odstrani zahtevo za vse, ohrani smisel preverjanja in ni odvisno od spomina ene končne točke o odločitvi. Namestitev korenskega CA je težja sprememba od uvoza lista, zato jo obravnavajte kot vodeno uvajanje in ne kot bližnjico službe za pomoč.

Odstranite izjeme, ki živijo dlje od svojega prehoda

AnyConnect shranjuje te nastavitve za vsak računalnik, zato se stari odgovori kopičijo na prenosnikih, ki so se selili med pisarnami. Preglejte shranjene nastavitve in uvožena potrdila na upravljanih končnih točkah in preverite, ali izjema še navaja ime gostitelja, ki je zamenjalo lastnika. Nastavitev, ki sprejme vsak nezanesljiv strežnik, je širša od potrdila, za katero je bila ustvarjena.

Vzorec, ki se ga je vredno držati, je ozek: zaupanja vredno potrdilo za običajno uporabo, dokumentiran zunajpasovni pregled odtisa za začasno izjemo in imenovani lastnik, ki jo odstrani, ko se selitev konča. Če na računalniku, ki ga upravljate, najdete nastavitev, ki sprejme vsak strežnik, jo obravnavajte kot ugotovitev in ne kot udobje.