AnyConnect упозорење о неповерљивом серверу: прихватити или увести?

Налепите име хоста пролаза у AnyConnect, прозор постане црвен или бео, а дијалог пита да ли да верујете серверу чији сертификат клијент не може да провери. Природан потез је кликнути и наставити рад, а то је управо погрешан рефлекс. Одговор се уписује у поставке клијента на том рачунару и важи за касније везе, па је дијалог одлука о конфигурацији обучена у костим једнократног упозорења. Ево реда којим идем, оним којим га клијент показује.

Почните од упозорења које стварно видите

Црвено и бело нису козметичке варијанте. Црвено упозорење значи да је профил или поставка намештена да блокира неповерљиве сервере, па клијент одбија да настави док се та поставка не промени; бело упозорење значи да ће вам дозволити наставак кад јасно одговорите. Постоји трећи случај који изгледа слично а понаша се другачије: истекао сертификат, који клијент уопште неће понудити за увоз, јер га увоз не би учинио ваљаним. Разврставање та три случаја траје секунду и одлучује све што следи.

Иза свих њих стоји кратак списак узрока: самопотписани сертификат пролаза, приватни CA коме крајња тачка не верује или име хоста које недостаје у subject alternative names сертификата. Сваки од три даје исти дијалог и тражи другачију поправку.

Прочитајте сертификат пре него што одговорите на дијалог

Отворите појединости сертификата из упозорења и погледајте три поља пре него што додирнете дугме. Subject и SAN треба да именују пролаз који сте доиста хтели да достигнете, издавалац треба да буде CA којим управља ваша организација, а датуми важности треба да покривају данашњи дан. Затим упоредите SHA-256 отисак са копијом коју сте добили негде изван ове везе, на страници интерне документације или у тикету, јер отисак прочитан из истог дијалога не доказује баш ништа. Ако не можете наћи независну копију, немате основу да прихватите изузетак.

То је корак који дели лабораторију од продукционог пролаза. На тестном рачунару са самопотписаним сертификатом који сте јуче израдили, кликтање је разумно. На корпоративном пролазу где корисници затим уписују податке за пријаву, сертификат који не можете да проверите вероватан је сценарио пресретања, а клијент је једина компонента која још поставља питање.

Знајте шта сваки одговор записује у спремиште поверења

Одговор да на питање о увозу додаје сертификат пролаза у клијентово поуздано спремиште на том рачунару. То није изузетак по сесији: касније се везе могу довршити без истог упита, што је и сврха и ризик, јер ништа на екрану никога не подсећа да изузетак постоји. Одговор не наставља пријаву само за ову сесију. Оба пута вас спајају, а само један од њих мења рачунар.

Ако сте на црвеном путу, први покушај уопште није пријава. Документовани след уноса је ред connect и затим две потврде, што мења поставку и излази; скрипта која то сматра успехом сачувала је поставку и никада се није аутентификовала. Питање о увозу сертификата појављује се тек при следећем покушају, зато људи закључују да је упит повремен.

Тај је редослед важан за аутоматизацију, не само за прсте. Скриптовани одговор који увек каже да наставља да ради после промене пролаза и наставља да верује којем год се сертификату следеће појави.

Запишите одговоре редом којим их клијент тражи

Кад клијент упозорава, али допушта везу, одговори долазе у утврђеном реду: connect, да за наставак, затим питање о увозу, затим група, корисничко име и лозинка. Запишите их као засебне ретке у улазној датотеци уместо да погађате време упита. Одбијање увоза промена је једног знака у истој датотеци и сигурнија је подразумевана вредност за све што ради без надзора.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Радије дистрибуирајте CA организације на крајње тачке него да сваку скрипту учите прихватању завршног сертификата. Исправно издат сертификат са правим SAN-ом уклања упит за све, чува смисао провере и не зависи од памћења одлуке на једној крајњој тачки. Инсталација коренског CA тежа је промена од увоза завршног сертификата, па је третирајте као вођено увођење, а не као пречицу службе за подршку.

Уклоните изузетке који живе дуже од свог пролаза

AnyConnect чува те поставке по рачунару, па се стари одговори накупљају на преносним рачунарима који су се селили међу канцеларијама. Прегледајте сачуване поставке и увезене сертификате на управљаним крајњим тачкама и проверите наводи ли изузетак још име хоста које је променило власника. Поставка која прихвата сваки неповерљив сервер шира је од сертификата за који је створена.

Узорак који вреди задржати узак је: поуздан сертификат за нормалну употребу, документована изванпојасна провера отиска за привремени изузетак и именовани власник који га уклања кад селидба заврши. Ако на рачунару којим управљате нађете поставку која прихвата сваки сервер, третирајте је као налаз, а не као погодност.