คำเตือนเซิร์ฟเวอร์ที่ไม่น่าไว้วางใจของ AnyConnect: ยอมรับหรือนำเข้า

คุณวางชื่อโฮสต์ของเกตเวย์ลงใน AnyConnect หน้าต่างกลายเป็นสีแดงหรือสีขาว และกล่องโต้ตอบถามว่าจะไว้วางใจเซิร์ฟเวอร์ที่ไคลเอนต์ตรวจสอบใบรับรองไม่ได้หรือไม่ การขยับตามธรรมชาติคือคลิกผ่านแล้วเริ่มทำงาน และนั่นคือปฏิกิริยาที่ผิดพอดี คำตอบถูกเขียนลงในการตั้งค่าของไคลเอนต์บนเครื่องนั้นและมีผลกับการเชื่อมต่อครั้งต่อไป กล่องโต้ตอบนี้จึงเป็นการตัดสินใจเรื่องการกำหนดค่าที่สวมชุดของคำเตือนครั้งเดียว นี่คือเส้นทางที่ผมใช้ ตามลำดับที่ไคลเอนต์แสดง

เริ่มจากคำเตือนที่คุณเห็นจริง ๆ

สีแดงกับสีขาวไม่ใช่ความต่างด้านรูปลักษณ์ คำเตือนสีแดงหมายถึงโปรไฟล์หรือการตั้งค่าถูกตั้งให้บล็อกเซิร์ฟเวอร์ที่ไม่น่าไว้วางใจ ไคลเอนต์จึงปฏิเสธที่จะดำเนินต่อจนกว่าการตั้งค่านั้นจะเปลี่ยน คำเตือนสีขาวหมายถึงไคลเอนต์จะให้คุณดำเนินต่อเมื่อคุณตอบอย่างชัดเจน มีกรณีที่สามที่ดูคล้ายกันแต่ทำงานต่างออกไป คือใบรับรองที่หมดอายุ ซึ่งไคลเอนต์จะไม่เสนอให้นำเข้าเลย เพราะการนำเข้าจะไม่ทำให้ใบรับรองนั้นใช้ได้ การแยกทั้งสามกรณีนี้ใช้เวลาหนึ่งวินาทีและกำหนดทุกอย่างที่ตามมา

เบื้องหลังทั้งหมดมีรายการสาเหตุสั้น ๆ ได้แก่ ใบรับรองเกตเวย์ที่ลงนามเอง, CA ส่วนตัวที่ปลายทางไม่ไว้วางใจ หรือชื่อโฮสต์ที่หายไปจาก subject alternative names ของใบรับรอง สาเหตุใดก็ตามในสามข้อนี้ทำให้เกิดกล่องโต้ตอบเดียวกันและต้องแก้ต่างกัน

อ่านใบรับรองก่อนตอบกล่องโต้ตอบ

เปิดรายละเอียดใบรับรองจากคำเตือนและดูสามฟิลด์ก่อนแตะปุ่มใด ๆ subject และ SAN ควรระบุเกตเวย์ที่คุณตั้งใจจะไปถึงจริง ๆ ผู้ออกควรเป็น CA ที่องค์กรของคุณดำเนินการ และวันที่มีผลควรครอบคลุมวันนี้ จากนั้นเปรียบเทียบลายนิ้วมือ SHA-256 กับสำเนาที่คุณได้มาจากที่อื่นที่ไม่ใช่การเชื่อมต่อนี้ หน้าเอกสารภายในหรือตั๋ว เพราะลายนิ้วมือที่อ่านจากกล่องโต้ตอบเดียวกันไม่ได้พิสูจน์อะไรเลย หากคุณหาสำเนาอิสระไม่ได้ คุณก็ไม่มีพื้นฐานที่จะยอมรับข้อยกเว้น

ขั้นตอนนี้คือสิ่งที่แยกห้องแล็บออกจากเกตเวย์ใช้งานจริง บนเครื่องทดสอบที่มีใบรับรองลงนามเองซึ่งคุณสร้างเมื่อวาน การคลิกผ่านเป็นเรื่องสมเหตุสมผล บนเกตเวย์องค์กรที่ผู้ใช้พิมพ์ข้อมูลรับรองต่อจากนั้น ใบรับรองที่คุณตรวจสอบไม่ได้คือการจัดฉากดักจับที่เป็นไปได้ และไคลเอนต์คือองค์ประกอบเดียวที่ยังถามคำถามนี้

รู้ว่าคำตอบแต่ละแบบเขียนอะไรลงในที่เก็บความไว้วางใจ

การตอบใช่ต่อคำถามเรื่องการนำเข้าจะเพิ่มใบรับรองของเกตเวย์ลงในที่เก็บที่เชื่อถือได้ของไคลเอนต์บนเครื่องนั้น ไม่ใช่ข้อยกเว้นเฉพาะเซสชัน การเชื่อมต่อครั้งต่อไปสามารถเสร็จได้โดยไม่ต้องมีคำถามเดิม ซึ่งเป็นทั้งเป้าหมายและความเสี่ยง เพราะไม่มีอะไรบนหน้าจอเตือนใครว่าข้อยกเว้นนั้นมีอยู่ การตอบไม่เพียงดำเนินการเข้าสู่ระบบต่อสำหรับเซสชันนี้เท่านั้น ทั้งสองเส้นทางทำให้คุณเชื่อมต่อได้ และมีเพียงเส้นทางเดียวที่เปลี่ยนเครื่อง

หากคุณอยู่ในเส้นทางสีแดง ความพยายามครั้งแรกไม่ใช่การเข้าสู่ระบบเลย ลำดับการป้อนที่บันทึกไว้คือบรรทัด connect ตามด้วยการยืนยันสองครั้ง ซึ่งเปลี่ยนการตั้งค่าแล้วออก สคริปต์ที่ถือว่านั่นคือความสำเร็จได้บันทึกการตั้งค่าและไม่เคยพิสูจน์ตัวตนเลย คำถามเรื่องการนำเข้าใบรับรองจะปรากฏเฉพาะครั้งถัดไป นั่นคือเหตุผลที่ผู้คนสรุปว่าคำถามนี้มาเป็นครั้งคราว

ลำดับนั้นสำคัญต่อระบบอัตโนมัติ ไม่ใช่แค่นิ้ว คำตอบจากสคริปต์ที่พูดว่าใช่เสมอยังคงทำงานต่อไปหลังจากเกตเวย์เปลี่ยน และยังคงไว้วางใจใบรับรองใดก็ตามที่ปรากฏขึ้นถัดไป

เขียนคำตอบตามลำดับที่ไคลเอนต์ถาม

เมื่อไคลเอนต์เตือนแต่ยอมให้เชื่อมต่อ คำตอบจะมาในลำดับคงที่ คือ connect, ใช่เพื่อดำเนินต่อ, จากนั้นคำถามเรื่องการนำเข้า, จากนั้นกลุ่ม, ชื่อผู้ใช้ และรหัสผ่าน เขียนสิ่งเหล่านั้นเป็นบรรทัดแยกกันในไฟล์อินพุตแทนการเดาจังหวะของคำถาม การปฏิเสธการนำเข้าเป็นการเปลี่ยนอักขระหนึ่งตัวในไฟล์เดียวกัน และเป็นค่าเริ่มต้นที่ปลอดภัยกว่าสำหรับทุกสิ่งที่ทำงานโดยไม่มีคนดูแล

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

ควรกระจาย CA ขององค์กรไปยังปลายทางมากกว่าสอนให้ทุกสคริปต์ยอมรับใบรับรองปลายทาง ใบรับรองที่ออกอย่างถูกต้องพร้อม SAN ที่ถูกต้องจะลบคำถามออกสำหรับทุกคน รักษาความหมายของการตรวจสอบ และไม่ขึ้นกับความจำของปลายทางใดปลายทางหนึ่งเกี่ยวกับการตัดสินใจ การติดตั้ง CA รากเป็นการเปลี่ยนแปลงที่หนักกว่าการนำเข้าใบรับรองปลายทาง จึงควรถือเป็นการทยอยติดตั้งที่จัดการ ไม่ใช่ทางลัดของฝ่ายช่วยเหลือ

ลบข้อยกเว้นที่อยู่ยืนยาวกว่าเกตเวย์ของมัน

AnyConnect บันทึกการตั้งค่าเหล่านี้แยกตามเครื่อง คำตอบเก่าจึงสะสมบนแล็ปท็อปที่ย้ายระหว่างสำนักงาน ตรวจทานการตั้งค่าที่บันทึกไว้และใบรับรองที่นำเข้าบนปลายทางที่จัดการ และดูว่าข้อยกเว้นยังระบุชื่อโฮสต์ที่เปลี่ยนเจ้าของอยู่หรือไม่ การตั้งค่าที่ยอมรับเซิร์ฟเวอร์ที่ไม่น่าไว้วางใจใด ๆ นั้นกว้างกว่าใบรับรองที่มันถูกสร้างขึ้นมาเพื่อ

รูปแบบที่ควรค่าแก่การรักษานั้นแคบ คือใบรับรองที่เชื่อถือได้สำหรับการใช้งานปกติ การตรวจลายนิ้วมือนอกช่องทางที่มีเอกสารประกอบสำหรับข้อยกเว้นชั่วคราว และเจ้าของที่มีชื่อซึ่งลบมันออกเมื่อการย้ายเสร็จสิ้น หากคุณพบการตั้งค่าที่รับเซิร์ฟเวอร์ใด ๆ บนเครื่องที่คุณจัดการ ให้ถือว่าเป็นสิ่งที่ค้นพบ ไม่ใช่ความสะดวก