Cảnh báo máy chủ không tin cậy của AnyConnect: chấp nhận hay nhập?

Bạn dán tên máy chủ của cổng vào AnyConnect, cửa sổ chuyển sang đỏ hoặc trắng, và một hộp thoại hỏi có tin cậy máy chủ mà ứng dụng khách không xác minh được chứng chỉ hay không. Phản xạ tự nhiên là bấm qua và làm việc tiếp, và đó chính là phản xạ sai. Câu trả lời được ghi vào tùy chọn của ứng dụng khách trên máy đó và áp dụng cho các kết nối sau, nên hộp thoại là một quyết định cấu hình khoác áo cảnh báo một lần. Đây là lối tôi đi, theo đúng thứ tự ứng dụng khách hiển thị.

Bắt đầu từ cảnh báo bạn thực sự thấy

Đỏ và trắng không phải biến thể thẩm mỹ. Cảnh báo đỏ nghĩa là hồ sơ hoặc tùy chọn được đặt để chặn máy chủ không tin cậy, nên ứng dụng khách từ chối tiếp tục cho đến khi cài đặt đó thay đổi; cảnh báo trắng nghĩa là nó sẽ cho bạn tiếp tục ngay khi bạn trả lời rõ ràng. Có trường hợp thứ ba trông giống nhưng hành xử khác: chứng chỉ đã hết hạn, thứ mà ứng dụng khách sẽ không đề nghị nhập chút nào, vì nhập vào cũng không làm nó hợp lệ. Phân biệt ba trường hợp mất một giây và quyết định mọi thứ tiếp theo.

Phía sau tất cả là một danh sách nguyên nhân ngắn: chứng chỉ cổng tự ký, một CA riêng mà điểm cuối không tin cậy, hoặc tên máy chủ thiếu trong subject alternative names của chứng chỉ. Bất kỳ điều nào trong ba tạo ra cùng một hộp thoại và cần cách sửa khác nhau.

Đọc chứng chỉ trước khi trả lời hộp thoại

Mở chi tiết chứng chỉ từ cảnh báo và xem ba trường trước khi chạm vào nút. subject và SAN phải nêu đúng cổng mà bạn thực sự muốn đến, nhà phát hành phải là CA mà tổ chức của bạn vận hành, và ngày hiệu lực phải bao trùm hôm nay. Sau đó so sánh dấu vân tay SHA-256 với bản sao bạn lấy được ở nơi khác không phải qua kết nối này, một trang tài liệu nội bộ hoặc một phiếu, vì dấu vân tay đọc từ chính hộp thoại đó không chứng minh được gì. Nếu không tìm được bản sao độc lập, bạn không có cơ sở để chấp nhận ngoại lệ.

Đây là bước phân biệt phòng thí nghiệm với cổng sản xuất. Trên máy thử với chứng chỉ tự ký bạn tạo hôm qua, bấm qua là hợp lý. Trên cổng doanh nghiệp nơi người dùng nhập thông tin đăng nhập tiếp theo, một chứng chỉ bạn không xác minh được là một dàn dựng nghe lén khả dĩ, và ứng dụng khách là thành phần duy nhất còn đặt câu hỏi.

Biết mỗi câu trả lời ghi gì vào kho tin cậy

Trả lời có cho câu hỏi nhập sẽ thêm chứng chỉ của cổng vào kho tin cậy của ứng dụng khách trên máy đó. Đây không phải ngoại lệ theo từng phiên: các kết nối sau có thể hoàn tất mà không có lời nhắc đó, đó là mục đích và cũng là rủi ro, vì không có gì trên màn hình nhắc ai rằng ngoại lệ tồn tại. Trả lời không chỉ tiếp tục đăng nhập cho phiên này. Cả hai con đường đều kết nối bạn, và chỉ một trong đó thay đổi máy.

Nếu bạn ở đường đỏ, lần thử đầu tiên không phải đăng nhập. Trình tự nhập được ghi nhận là một dòng connect theo sau là hai xác nhận, thứ thay đổi tùy chọn rồi thoát; một script coi đó là thành công đã lưu một cài đặt và chưa từng xác thực. Câu hỏi nhập chứng chỉ chỉ xuất hiện ở lần thử tiếp theo, đó là lý do người ta kết luận lời nhắc xuất hiện không đều.

Thứ tự đó quan trọng với tự động hóa, không chỉ với ngón tay. Câu trả lời bằng script luôn nói có vẫn hoạt động sau khi cổng thay đổi, và vẫn tin cậy bất kỳ chứng chỉ nào xuất hiện tiếp theo.

Viết các câu trả lời theo thứ tự ứng dụng khách hỏi

Khi ứng dụng khách cảnh báo nhưng cho phép kết nối, các câu trả lời đến theo thứ tự cố định: connect, có để tiếp tục, rồi câu hỏi nhập, rồi nhóm, tên người dùng và mật khẩu. Viết chúng thành dòng riêng trong tệp đầu vào thay vì đoán thời điểm các lời nhắc. Từ chối nhập là thay đổi một ký tự trong cùng tệp, và đó là mặc định an toàn hơn cho mọi thứ chạy không giám sát.

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

Nên phân phối CA của tổ chức tới các điểm cuối hơn là dạy từng script chấp nhận chứng chỉ lá. Một chứng chỉ được phát hành đúng với SAN đúng sẽ bỏ lời nhắc cho mọi người, giữ việc xác minh có ý nghĩa, và không phụ thuộc vào trí nhớ của một điểm cuối về một quyết định. Cài CA gốc là thay đổi nặng hơn nhập chứng chỉ lá, nên hãy coi đó là triển khai có quản lý chứ không phải lối tắt của bộ phận trợ giúp.

Loại bỏ những ngoại lệ sống lâu hơn cổng của chúng

AnyConnect lưu các tùy chọn này theo từng máy, nên các câu trả lời cũ tích tụ trên laptop đã chuyển văn phòng. Rà soát tùy chọn đã lưu và chứng chỉ đã nhập trên các điểm cuối được quản lý, và kiểm tra xem một ngoại lệ còn nêu tên máy chủ đã đổi chủ hay không. Một tùy chọn chấp nhận mọi máy chủ không tin cậy rộng hơn chứng chỉ mà nó được tạo ra cho.

Mẫu đáng giữ thì hẹp: một chứng chỉ tin cậy cho dùng bình thường, một kiểm tra dấu vân tay ngoài băng được ghi nhận cho ngoại lệ tạm thời, và một chủ sở hữu có tên gỡ nó khi quá trình chuyển kết thúc. Nếu bạn tìm thấy trên máy mình quản lý một cài đặt chấp nhận mọi máy chủ, hãy coi đó là phát hiện chứ không phải tiện lợi.