Попередження AnyConnect про недовірений сервер: прийняти чи імпортувати?

Ви вставляєте ім'я вузла шлюзу в AnyConnect, вікно стає червоним або білим, і діалог питає, чи довіряти серверу, сертифікат якого клієнт не може перевірити. Природний рух — натиснути й продовжити роботу, і це саме неправильний рефлекс. Відповідь записується в налаштування клієнта на цій машині й діє для подальших з'єднань, тому діалог — це рішення про конфігурацію в костюмі одноразового попередження. Ось шлях, яким я йду, у тому порядку, у якому його показує клієнт.

Почніть із попередження, яке ви справді бачите

Червоне й біле — не косметичні варіанти. Червоне попередження означає, що профіль або налаштування встановлені на блокування недовірених серверів, тож клієнт відмовляється продовжувати, поки це налаштування не зміниться; біле попередження означає, що він дозволить продовжити, щойно ви відповісте явно. Є третій випадок, який виглядає так само й поводиться інакше: прострочений сертифікат, який клієнт узагалі не пропонуватиме імпортувати, бо імпорт не зробить його дійсним. Розрізнення цих трьох займає секунду й визначає все наступне.

За всіма ними стоїть короткий перелік причин: самопідписаний сертифікат шлюзу, приватний CA, якому кінцева точка не довіряє, або ім'я вузла, відсутнє в subject alternative names сертифіката. Будь-яка з трьох дає той самий діалог і потребує іншого виправлення.

Прочитайте сертифікат, перш ніж відповідати в діалозі

Відкрийте відомості про сертифікат із попередження й подивіться на три поля, перш ніж торкатися кнопки. Subject і SAN мають називати саме той шлюз, до якого ви насправді хотіли потрапити, видавець має бути CA, яким керує ваша організація, а терміни дії мають охоплювати сьогоднішній день. Потім порівняйте відбиток SHA-256 із копією, отриманою не через це з'єднання, а з внутрішньої сторінки документації або заявки, бо відбиток, прочитаний із того самого діалогу, не доводить нічого. Якщо незалежної копії немає, у вас немає підстав приймати виняток.

Це крок, який відділяє лабораторію від продукційного шлюзу. На тестовій машині із самопідписаним сертифікатом, створеним учора, натиснути й продовжити розумно. На корпоративному шлюзі, де користувачі далі вводять облікові дані, сертифікат, який ви не можете перевірити, — імовірна схема перехоплення, і клієнт — єдиний компонент, який ще ставить це питання.

Знайте, що кожна відповідь записує у сховище довіри

Відповідь так на питання про імпорт додає сертифікат шлюзу до довіреного сховища клієнта на цій машині. Це не виняток на сеанс: подальші з'єднання можуть завершуватися без того самого запиту, що і є метою, а також ризиком, бо ніщо на екрані не нагадує, що виняток існує. Відповідь ні продовжує вхід лише для цього сеансу. Обидва шляхи вас підключають, і лише один із них змінює машину.

Якщо ви на червоному шляху, перша спроба взагалі не вхід. Задокументована послідовність введення — рядок connect і потім два підтвердження, що змінюють налаштування й завершують роботу; скрипт, який вважає це успіхом, зберіг налаштування й жодного разу не автентифікувався. Питання про імпорт сертифіката з'являється лише за наступної спроби, тому люди роблять висновок, що запит виникає періодично.

Цей порядок важливий для автоматизації, а не лише для пальців. Скриптова відповідь, яка завжди каже так, продовжує працювати після зміни шлюзу й продовжує довіряти будь-якому сертифікату, що з'явиться далі.

Записуйте відповіді в тому порядку, у якому їх запитує клієнт

Коли клієнт попереджає, але дозволяє з'єднання, відповіді надходять у фіксованому порядку: connect, так для продовження, потім питання про імпорт, потім група, ім'я користувача й пароль. Записуйте їх окремими рядками у вхідному файлі, а не вгадуйте час запитів. Відмова від імпорту — це зміна одного символу в тому самому файлі, і це безпечніше значення за замовчуванням для всього, що працює без нагляду.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Волійте розповсюджувати CA організації на кінцеві точки, а не вчити кожен скрипт приймати листовий сертифікат. Правильно випущений сертифікат із потрібним SAN знімає запит для всіх, зберігає сенс перевірки й не залежить від пам'яті однієї кінцевої точки про рішення. Установлення кореневого CA — важча зміна, ніж імпорт листового, тож ставтеся до неї як до керованого розгортання, а не як до ярлика служби підтримки.

Видаліть винятки, які живуть довше за свій шлюз

AnyConnect зберігає ці налаштування для кожної машини, тому старі відповіді накопичуються на ноутбуках, які переїжджали між офісами. Перегляньте збережені налаштування й імпортовані сертифікати на керованих кінцевих точках і перевірте, чи виняток ще вказує на ім'я вузла, що змінило власника. Налаштування, яке приймає будь-який недовірений сервер, ширше за сертифікат, для якого його створено.

Зразок, який варто зберігати, вузький: довірений сертифікат для звичайного використання, задокументована позасмугова перевірка відбитка для тимчасового винятку й названий власник, який видаляє його після завершення міграції. Якщо на машині, якою ви керуєте, знайдено налаштування, що приймає будь-який сервер, розглядайте це як знахідку, а не як зручність.