Paralajmërimi i AnyConnect për server të pabesuar: prano apo importo?

Ju ngjitni emrin e hostit të gateway-it në AnyConnect, dritarja bëhet e kuqe ose e bardhë dhe një dialog pyet nëse duhet t'i besoni një serveri certifikatën e të cilit klienti nuk mund ta verifikojë. Lëvizja e natyrshme është të klikoni dhe të vazhdoni punën, dhe pikërisht ky është refleksi i gabuar. Përgjigja shkruhet në preferencat e klientit në atë makinë dhe vlen për lidhjet e mëvonshme, kështu që dialogu është një vendim konfigurimi i veshur si paralajmërim i njëhershëm. Kjo është rruga që ndjek, sipas rendit që tregon klienti.

Filloni nga paralajmërimi që shihni vërtet

E kuqja dhe e bardha nuk janë variante kozmetike. Paralajmërimi i kuq do të thotë që profili ose preferenca është vendosur të bllokojë serverët e pabesuar, kështu që klienti refuzon të vazhdojë derisa të ndryshojë ai rregullim; paralajmërimi i bardhë do të thotë që do t'ju lejojë të vazhdoni sapo të përgjigjeni në mënyrë të qartë. Ekziston një rast i tretë që duket njësoj dhe sillet ndryshe: një certifikatë e skaduar, të cilën klienti nuk do të ofrojë fare për importim, sepse importimi nuk do ta bënte të vlefshme. Dallimi i të trejave merr një sekondë dhe vendos gjithçka që vjen pas.

Pas të gjithave qëndron një listë e shkurtër shkaqesh: një certifikatë gateway e vetë-nënshkruar, një CA private në të cilën pika fundore nuk beson, ose një emër hosti që mungon në subject alternative names të certifikatës. Secila prej tyre prodhon të njëjtin dialog dhe kërkon një rregullim tjetër.

Lexoni certifikatën përpara se t'i përgjigjeni dialogut

Hapni detajet e certifikatës nga paralajmërimi dhe shikoni tre fusha përpara se të prekni një buton. Subject dhe SAN duhet të emërtojnë gateway-in që vërtet donit të arrinit, lëshuesi duhet të jetë CA-ja që operon organizata juaj, dhe datat e vlefshmërisë duhet të mbulojnë sot. Më pas krahasoni gjurmën SHA-256 me një kopje të marrë diku tjetër e jo përmes kësaj lidhjeje, një faqe dokumentacioni të brendshëm ose një tiketë, sepse një gjurmë e lexuar nga i njëjti dialog nuk provon absolutisht asgjë. Nëse nuk gjeni një kopje të pavarur, nuk keni asnjë bazë për ta pranuar përjashtimin.

Ky është hapi që ndan një laborator nga një gateway prodhimi. Në një makinë prove me një certifikatë të vetë-nënshkruar që krijuat dje, klikimi është i arsyeshëm. Në një gateway korporativ ku përdoruesit shtypin më pas kredencialet, një certifikatë që nuk mund ta verifikoni është një skenar i mundshëm përgjimi, dhe klienti është komponenti i vetëm që ende e bën pyetjen.

Dijeni çfarë shkruan çdo përgjigje në depon e besimit

Përgjigja po në pyetjen e importimit shton certifikatën e gateway-it në depon e besuar të klientit në atë makinë. Nuk është një përjashtim për sesion: lidhjet e mëvonshme mund të përfundojnë pa të njëjtin kërkesë, gjë që është qëllimi dhe gjithashtu rreziku, sepse asgjë në ekran nuk i kujton askujt se përjashtimi ekziston. Përgjigja jo vazhdon hyrjen vetëm për këtë sesion. Të dyja rrugët ju lidhin, dhe vetëm njëra prej tyre e ndryshon makinën.

Nëse jeni në rrugën e kuqe, përpjekja e parë nuk është fare hyrje. Sekuenca e dokumentuar e inputit është një rresht connect i ndjekur nga dy konfirmime, që e ndryshon preferencën dhe del; një skript që e trajton atë si sukses ka ruajtur një rregullim dhe nuk është vërtetuar kurrë. Pyetja për importimin e certifikatës shfaqet vetëm në përpjekjen tjetër, prandaj njerëzit konkludojnë se kërkesa është e ndërprerë.

Ai rend ka rëndësi për automatizimin, jo vetëm për gishtat. Një përgjigje e skriptuar që thotë gjithmonë po vazhdon të funksionojë pasi gateway-i ndryshon dhe vazhdon t'i besojë çdo certifikate që shfaqet më pas.

Shkruani përgjigjet sipas rendit që kërkon klienti

Kur klienti paralajmëron por lejon lidhjen, përgjigjet vijnë në një rend fiks: connect, po për të vazhduar, më pas pyetja e importimit, më pas grupi, emri i përdoruesit dhe fjalëkalimi. Shkruajini ato si rreshta të veçantë në skedarin e inputit në vend që të hamendësoni kohën e kërkesave. Refuzimi i importimit është një ndryshim i një karakteri në të njëjtin skedar, dhe është vlera e paracaktuar më e sigurt për çdo gjë që ekzekutohet pa mbikëqyrje.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Preferoni shpërndarjen e CA-së së organizatës në pikat fundore në vend që t'i mësoni çdo skripti të pranojë një certifikatë gjetheje. Një certifikatë e lëshuar siç duhet me SAN-in e duhur e heq kërkesën për të gjithë, e mban verifikimin kuptimplotë dhe nuk varet nga kujtesa e një pike të vetme fundore për një vendim. Instalimi i një CA rrënjë është një ndryshim më i rëndë se importimi i një gjetheje, prandaj trajtojeni si një vënie në punë e menaxhuar dhe jo si një shkurtore e ndihmës.

Hiqni përjashtimet që jetojnë më gjatë se gateway-i i tyre

AnyConnect i ruan këto preferenca për çdo makinë, kështu që përgjigjet e vjetra grumbullohen në laptopët që kanë lëvizur mes zyrave. Rishikoni preferencat e ruajtura dhe certifikatat e importuara në pikat fundore të menaxhuara, dhe kontrolloni nëse një përjashtim ende emërton një emër hosti që ka ndryshuar pronar. Një preferencë që pranon çdo server të pabesuar është më e gjerë se certifikata për të cilën u krijua.

Modeli që ia vlen të mbahet është i ngushtë: një certifikatë e besuar për përdorim normal, një kontroll i dokumentuar i gjurmës jashtë brezit për një përjashtim të përkohshëm dhe një pronar i emëruar që e heq atë kur mbaron migrimi. Nëse gjeni në një makinë që menaxhoni një rregullim që pranon çdo server, trajtojeni si një gjetje dhe jo si një lehtësi.