AnyConnect'in güvenilmeyen sunucu uyarısı: kabul etmeli mi, içe aktarmalı mı?

Ağ geçidinin ana bilgisayar adını AnyConnect'e yapıştırırsınız, pencere kırmızı ya da beyaz olur ve bir iletişim kutusu istemcinin sertifikasını doğrulayamadığı bir sunucuya güvenip güvenmeyeceğinizi sorar. Doğal hareket tıklayıp işe koyulmaktır ve bu tam olarak yanlış reflekstir. Yanıt o makinedeki istemci tercihlerine yazılır ve sonraki bağlantılarda geçerli olur, yani iletişim kutusu tek seferlik bir uyarının kostümünü giymiş bir yapılandırma kararıdır. İşte izlediğim yol, istemcinin gösterdiği sırayla.

Gerçekten gördüğünüz uyarıdan başlayın

Kırmızı ve beyaz kozmetik varyantlar değildir. Kırmızı uyarı, profilin veya tercihin güvenilmeyen sunucuları engelleyecek şekilde ayarlandığını gösterir, bu yüzden istemci o ayar değişene kadar devam etmeyi reddeder; beyaz uyarı, açıkça yanıtladığınızda devam etmenize izin vereceği anlamına gelir. Benzer görünen ama farklı davranan üçüncü bir durum vardır: süresi dolmuş sertifika; istemci bunu içe aktarmayı hiç önermez, çünkü içe aktarmak onu geçerli yapmaz. Bu üçünü ayırmak bir saniye sürer ve sonraki her şeyi belirler.

Hepsini arkasında kısa bir neden listesi vardır: kendinden imzalı ağ geçidi sertifikası, uç noktanın güvenmediği özel bir CA veya sertifikanın subject alternative names alanında eksik olan bir ana bilgisayar adı. Üçünden herhangi biri aynı iletişim kutusunu üretir ve farklı bir düzeltme gerektirir.

İletişim kutusunu yanıtlamadan önce sertifikayı okuyun

Uyarıdan sertifika ayrıntılarını açın ve bir düğmeye dokunmadan önce üç alana bakın. Subject ve SAN gerçekten ulaşmak istediğiniz ağ geçidini adlandırmalı, veren kuruluş organizasyonunuzun işlettiği CA olmalı ve geçerlilik tarihleri bugünü kapsamalıdır. Sonra SHA-256 parmak izini bu bağlantı dışında bir yerden, bir iç belge sayfasından veya kayıttan aldığınız kopyayla karşılaştırın, çünkü aynı iletişim kutusundan okunan bir parmak izi hiçbir şey kanıtlamaz. Bağımsız bir kopya bulamazsanız, istisnayı kabul etmek için hiçbir dayanağınız yoktur.

Laboratuvarı üretim ağ geçidinden ayıran adım budur. Dün oluşturduğunuz kendinden imzalı sertifikaya sahip bir test makinesinde tıklamak makuldür. Kullanıcıların ardından kimlik bilgilerini yazdığı bir kurumsal ağ geçidinde, doğrulayamadığınız bir sertifika olası bir dinleme düzeneğidir ve soruyu hâlâ soran tek bileşen istemcidir.

Her yanıtın güven deposuna ne yazdığını bilin

İçe aktarma sorusuna evet demek, ağ geçidinin sertifikasını o makinedeki istemcinin güvenilir deposuna ekler. Bu oturum başına bir istisna değildir: sonraki bağlantılar aynı istem olmadan tamamlanabilir, bu hem amaç hem de risktir, çünkü ekranda hiçbir şey kimseye istisnanın var olduğunu hatırlatmaz. Hayır demek, oturum açmayı yalnızca bu oturum için sürdürür. İki yol da sizi bağlar ve yalnızca biri makineyi değiştirir.

Kırmızı yoldaysanız ilk deneme hiç de oturum açma değildir. Belgelenen giriş dizisi bir connect satırı ve ardından iki onaydır; bu, tercihi değiştirir ve çıkar. Bunu başarı sayan bir betik bir ayarı kaydetmiş ve hiç kimlik doğrulamamıştır. Sertifika içe aktarma sorusu yalnızca bir sonraki denemede görünür, bu yüzden insanlar istemin aralıklı olduğu sonucuna varır.

Bu sıra yalnızca parmaklar için değil, otomasyon için de önemlidir. Her zaman evet diyen betik yanıtı, ağ geçidi değiştikten sonra da çalışmaya devam eder ve ardından görünen her sertifikaya güvenmeye devam eder.

Yanıtları istemcinin istediği sırayla yazın

İstemci uyardığında ancak bağlantıya izin verdiğinde yanıtlar sabit bir sırayla gelir: connect, devam etmek için evet, sonra içe aktarma sorusu, sonra grup, kullanıcı adı ve parola. İstemlerin zamanlamasını tahmin etmek yerine bunları giriş dosyasına ayrı satırlar olarak yazın. İçe aktarmayı reddetmek aynı dosyada tek karakterlik bir değişikliktir ve gözetimsiz çalışan her şey için daha güvenli varsayılandır.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Her betiğe yaprak sertifika kabul etmeyi öğretmek yerine kuruluşun CA'sını uç noktalara dağıtmayı tercih edin. Doğru SAN ile usulüne uygun verilmiş bir sertifika istemi herkes için ortadan kaldırır, doğrulamayı anlamlı tutar ve tek bir uç noktanın karar belleğine bağlı olmaz. Kök CA kurmak yaprak içe aktarmaktan daha ağır bir değişikliktir, bu yüzden bunu yardım masası kısayolu değil, yönetilen bir dağıtım olarak ele alın.

Kendi ağ geçidinden daha uzun yaşayan istisnaları kaldırın

AnyConnect bu tercihleri makine başına saklar, bu yüzden ofisler arasında taşınan dizüstü bilgisayarlarda eski yanıtlar birikir. Yönetilen uç noktalardaki kayıtlı tercihleri ve içe aktarılmış sertifikaları gözden geçirin ve bir istisnanın sahibi değişmiş bir ana bilgisayar adını hâlâ belirtip belirtmediğini kontrol edin. Herhangi bir güvenilmeyen sunucuyu kabul eden bir tercih, kendisi için oluşturulduğu sertifikadan daha geniştir.

Korunmaya değer desen dardır: normal kullanım için güvenilir bir sertifika, geçici bir istisna için belgelenmiş bant dışı parmak izi kontrolü ve geçiş bittiğinde onu kaldıran adlandırılmış bir sahip. Yönettiğiniz bir makinede herhangi bir sunucuyu kabul eden bir ayar bulursanız, bunu kolaylık değil bulgu olarak değerlendirin.