Babala ng AnyConnect tungkol sa hindi pinagkakatiwalaang server: tanggapin o i-import?

Idinidikit mo ang hostname ng gateway sa AnyConnect, nagiging pula o puti ang bintana, at may dialog na nagtatanong kung pagkakatiwalaan ang isang server na hindi ma-verify ng kliyente ang sertipiko. Ang natural na galaw ay mag-click at magtrabaho, at iyon mismo ang maling reflex. Ang sagot ay isinusulat sa mga kagustuhan ng kliyente sa makinang iyon at nalalapat sa mga susunod na koneksyon, kaya ang dialog ay desisyon sa kumpigurasyon na nakasuot ng babala ng isang beses. Ito ang rutang tinatahak ko, sa pagkakasunod-sunod na ipinapakita ng kliyente.

Magsimula sa babalang aktuwal mong nakikita

Ang pula at puti ay hindi mga pagkakaibang kosmetiko. Ang pulang babala ay nangangahulugang ang profile o kagustuhan ay nakatakda na harangan ang hindi pinagkakatiwalaang server, kaya tumatanggi ang kliyenteng magpatuloy hanggang mabago ang setting na iyon; ang puting babala ay nangangahulugang hahayaan ka nitong magpatuloy kapag malinaw kang sumagot. May ikatlong kaso na mukhang pareho at kumikilos nang iba: sertipikong nag-expire, na hindi iaalok ng kliyenteng i-import, dahil hindi ito magiging balido kahit i-import. Ang paghihiwalay sa tatlo ay tumatagal ng isang segundo at nagtatakda ng lahat ng sumusunod.

Sa likod ng lahat ng ito ay may maikling listahan ng dahilan: sertipiko ng gateway na self-signed, pribadong CA na hindi pinagkakatiwalaan ng endpoint, o hostname na wala sa subject alternative names ng sertipiko. Alinman sa tatlo ay gumagawa ng parehong dialog at nangangailangan ng ibang pagwawasto.

Basahin ang sertipiko bago sagutin ang dialog

Buksan ang mga detalye ng sertipiko mula sa babala at tingnan ang tatlong field bago pindutin ang anumang button. Dapat pangalanan ng subject at SAN ang gateway na talagang nais mong marating, dapat ang issuer ay ang CA na pinapatakbo ng iyong organisasyon, at dapat saklawin ng mga petsa ng bisa ang araw na ito. Pagkatapos ay ihambing ang SHA-256 fingerprint sa kopyang nakuha mo sa ibang lugar maliban sa koneksyong ito, isang panloob na pahina ng dokumentasyon o tiket, dahil ang fingerprint na binasa mula sa parehong dialog ay walang pinapatunayan. Kung wala kang makitang independiyenteng kopya, wala kang batayan upang tanggapin ang eksepsyon.

Ito ang hakbang na naghihiwalay sa laboratoryo mula sa production gateway. Sa test machine na may self-signed na sertipikong ginawa mo kahapon, makatwiran ang pag-click. Sa corporate gateway kung saan nagta-type ng kredensyal ang mga user pagkatapos, ang sertipikong hindi mo ma-verify ay isang malamang na setup ng interception, at ang kliyente ang tanging bahaging nagtatanong pa.

Alamin kung ano ang isinusulat ng bawat sagot sa trust store

Ang pagsagot ng oo sa tanong ng pag-import ay nagdadagdag ng sertipiko ng gateway sa pinagkakatiwalaang store ng kliyente sa makinang iyon. Hindi ito eksepsyon sa bawat sesyon: ang mga susunod na koneksyon ay maaaring makumpleto nang walang parehong prompt, na siyang layunin at panganib din, dahil walang bagay sa screen na nagpapaalala sa kahit sino na may eksepsyon. Ang pagsagot ng hindi ay nagpapatuloy ng pag-login para sa sesyong ito lamang. Parehong ruta ay nagkokonekta sa iyo, at isa lamang sa kanila ang nagbabago ng makina.

Kung nasa pulang ruta ka, ang unang pagtatangka ay hindi pag-login. Ang dokumentadong input sequence ay isang linyang connect na sinusundan ng dalawang kumpirmasyon, na nagbabago ng kagustuhan at lumalabas; ang script na itinuturing iyon na tagumpay ay nag-save ng setting at hindi kailanman nag-authenticate. Ang tanong ng pag-import ng sertipiko ay lumilitaw lamang sa susunod na pagtatangka, kaya napagpasyahan ng mga tao na ang prompt ay paminsan-minsan.

Mahalaga ang order na iyon para sa automation, hindi lang sa daliri. Ang script na sagot na laging oo ay patuloy na gumagana pagkatapos magbago ang gateway, at patuloy na nagtitiwala sa anumang sertipikong lumitaw pagkatapos.

Isulat ang mga sagot sa order na hinihingi ng kliyente

Kapag nagbabala ang kliyente ngunit pinapayagan ang koneksyon, dumarating ang mga sagot sa takdang order: connect, oo para magpatuloy, pagkatapos ang tanong ng pag-import, pagkatapos ang grupo, username at password. Isulat ang mga iyon bilang hiwalay na linya sa input file sa halip na hulaan ang timing ng mga prompt. Ang pagtanggi sa pag-import ay pagbabago ng isang karakter sa parehong file, at ito ang mas ligtas na default para sa anumang tumatakbo nang walang pangangasiwa.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Mas mainam na ipamahagi ang CA ng organisasyon sa mga endpoint kaysa turuan ang bawat script na tanggapin ang leaf certificate. Ang sertipikong maayos na inisyu na may tamang SAN ay nag-aalis ng prompt para sa lahat, nagpapanatili ng makabuluhang validation, at hindi umaasa sa memorya ng isang endpoint tungkol sa isang desisyon. Ang pag-install ng root CA ay mas mabigat na pagbabago kaysa pag-import ng leaf, kaya ituring ito bilang pinamamahalaang rollout at hindi shortcut ng help desk.

Alisin ang mga eksepsyon na nabubuhay nang mas matagal kaysa sa kanilang gateway

Isinasave ng AnyConnect ang mga kagustuhang ito sa bawat makina, kaya naiipon ang lumang sagot sa mga laptop na lumipat sa iba't ibang opisina. Suriin ang mga naka-save na kagustuhan at ang mga na-import na sertipiko sa mga pinamamahalaang endpoint, at tingnan kung may eksepsiyong nagbabanggit pa ng hostname na nagpalit ng may-ari. Ang kagustuhang tumatanggap ng anumang hindi pinagkakatiwalaang server ay mas malawak kaysa sa sertipikong para saan ito ginawa.

Ang pattern na dapat pangalagaan ay makitid: pinagkakatiwalaang sertipiko para sa normal na paggamit, dokumentadong out-of-band fingerprint check para sa pansamantalang eksepsyon, at pinangalanang may-ari na nag-aalis nito kapag natapos ang migration. Kung makakita ka ng setting na tumatanggap ng anumang server sa makinang pinamamahalaan mo, ituring ito na natuklasan at hindi kaginhawahan.