Необходимо проверить настройки подключения в конфигурационном файле
Почему вы видите это здесь:
Большинство Все инструкции по установке КАП которые я встречал предлагают установку в графическом режиме, только в некоторых указано, что установка производится членом группы администраторов, про установку без криптопровайдера и из командной строки не говорится ничего
Кому требуется бумажная форма запроса на сертификат КАП сделанный через КБ CSP, а при установленной галке "бумажная форма" выдаёт ошибку.
если есть попробуйте удалить в реестре
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CryptDllFindOIDInfo\1.2.643.2.1.3.1.2.1!3]
Кто получил сертификаты по ГОСТ 2012 и имеет проблемы
"сертификат содержит не действительную подпись или поврежден", на корневом и промежуточном стоят кресты.
Те, с кого требуют поверх всего этого благолепия обеспечить работу ЭБ с сертификатами по ГОСТ 2012 пишут заявление об уходе. :(
Про "Ошибка подписи ключа. Отказано в доступе " (из-за ключей сроком жизни больше 1,3 года) смотреть здесь
ngc.exe /b
действительно пересчитывает хэш файлов при ошибках целостности файлов КАП
ngc.exe /b /s то же в тихом режиме без отображения окна
ful пишет: Из нашего УФК сообщили, что Континент не работает с 2012 гостом на Крипто про. Для этого рекомендуют ставить Континент с встроенным криптопровайдером, чтоб через него, потом генерировать ключи по новому госту.
В связи с тем, что эта печальная новость подтверждена разработчиками и криптопровайдер понадобится таки для генерации ключей КАП по новому ГОСТ для минимизации глюков остаётся ставить Криптопро и Континент АП последних версий с криптопровайдером. На текущий момент это: сертифицированная 4.0.9963 (R4) и 3.7.7.651 соответственно.
Криптопро последней версии пофиг на "посторонний" криптопровайдер
КАП последней версии не имеет проблем с сертификатами с "неправильными" символами
Установка в графическом режиме, даже из под пользователя группы администраторы приводит к ошибкам, связанным очевидно с правами доступа к реестру, диску С: и папке Program Files и не позволяет избавиться от криптопровайдера.
Для любознательных: запускаем установщик с ключом /? читаем описание ключей командной строки :)
Установка КАП с криптопровайдером приводит к ошибке, для решения которой предлагают поковырять реестр, а этого лучше избежать.
Возникает ошибка подписи с применением КриптоПро 4.0.9842 + Континент АП 3.7.426 на порталах СУФД и ФЗС
Важно! Версия Крипто про должна быть не ниже v4.0.9944
Если в BIOS включен Secure Boot, то отключите его.
Об особенностях его отключения в ноутбуках HP рассказывает korfinotdel
В ноутбуках HP есть некоторая особенность. После изменения в Биосе нужно во время перезагрузки вводить код, который появляется на экране. Иначе изменения не сохранятся. Изначально я первым делом отключил Secure Boot (как я думал), потом начал устанавливать континент АП. Перепробовав все варианты, все посносил и начал разбираться более тщательно. И обратил внимание, что отключение secure boot при нажатии F10 не сохраняется. Уже потом прочитал про спецкод, проверил, что secure boot - disabled, и всё установилось без проблем.
Перед установкой удаляем предыдущие версии крипто-про и континент . Не экономим на количестве перезагрузок!
используйте утилиту очистки следов Континент-АП cspcleaner
Описание процесса удаления предыдущей версии КАП подробно от "Wmffre"
- Удалите установленный Континент-АП через "Установку и удаление программ"
- Запустите C:\Program Files\Security Code\Terminal Station\csp\csp_uninst.exe (если есть)
- Далее удалите вручную через кнопку "Удалить" (если осталось) " Continent 3 MSE Filter " в свойствах "Подключение по локальной сети"
- Далее щелкните правой кнопкой мыши на значок "Мой компьютер" --> "Управление" --> левой кнопкой мыши выделите "Диспетчер устройств", вверху выберете "Вид", "Показать скрытые устройства" --> далее раскройте "Сетевые адаптеры" и удалите (если осталось) " Continent 3 PPP Device "
- Далее удалите КриптоПро CSP через утилиту удаления .
- Обязательно перезагрузитесь
- После перезагрузки установите КриптоПро CSP 4.0.9944
- Обязательно перезагрузитесь снова
- После перезагрузки установите Континент-АП 3.7.5 без сетевого экрана
- Обязательно перезагрузитесь
- После перезагрузки, если устанавливали криптопровайдер SecurityCode CSP, сделайте твик реестра (на x86 есть только первая ветвь реестра) для совместной работы КриптоПро CSP и SecurityCode CSP Криптопро последних версий не использует реестр.
Устанавливать Континент АП только из командной строки от имени администратора без межсетевого экрана и криптопровайдера
Перезагрузка
Прописываем сетевой адрес (или доменное имя) криптошлюза
===================
Про сетевой адрес и доменное имя
Внимание доменное имя здесь показано для примера!
В каждом регионе своё. Необходимо его пропинговать и получить IP адрес
Если вы прописали доменное имя, и нет соединения с сервером, убедитесь что оно успешно пингуется
Попробуйте вместо имени вписать IP и установить соединение
Чтобы не блокировалась локальная сеть - В свойствах своего сетевого подключения уберите чекбокс с Continent 3 MSE Filter
Будьте внимательны, при установке может проснуться Брандмауэр Windows, даже отключённый, необходимо дать в нём разрешения. Антивирус на время установки лучше выключить. Могут запрашиваться разрешения на установку драйверов - разрешаем
Запускать сам КАП потом тоже лучше от имени администратора.
Но, если установка делалась не из командной строки запуск КАП от имени администратора вам тоже не поможет - возникнут ошибки.
КАП 3.7 не распознаёт ключи сохранённые в реестре в реестре, и в некоторых случаях и не создаёт контейнер в реестре, хотя пишет, что создан. В связи с этим настоятельно рекомендуется создавать контейнер на флешке, откуда легко можно (и нужно!) сделать его копию.
Даже при отключённых обновлениях Windows периодически могут появляться ошибки целостности. Их можно попробовать обойти, обрезав файл c:\Program Files\Security Code\Terminal Station\integrity.xml как показано ниже, естественно предварительно сделав копию.
Пример файла integrity.xml Хеш (циферки) у каждого свои!
Далее запускаем ngs.exe чтобы убедиться, что проверка целостности проходит успешно.
Могут внезапно появиться ошибки типа "не найден модем"
В связи с тем, что автоматическое восстановление КАП 3.7 происходит в два этапа (удаление-перезагрузка-установка) и установка проходит уже не от администратора восстановление оказывается неэффективным, здесь поможет только удаление и установка КАП
Если вы обладатель "многолетнего" сертификата КАП не копируйте сертификат в контейнер, ибо Криптопро четвёртой версии считает что срок действия ключа не может превышать 15 месяцев, и возникает ошибка доступа к контейнеру. Если сертификата в контейнере нет срок не контролируется.
. ТОЛЬКО ДЛЯ РЕГИОНОВ ГДЕ КРИПТОПРОВАЙДЕР КОД БЕЗОПАСНОСТИ ИСПОЛЬЗУЕТСЯ ДЛЯ ГЕНЕРАЦИИ КЛЮЧА КОНТИНЕНТ-АП
Amana пишет: Установили Континент-АП по инструкции через командную строчку. Но почему-то не установился второй криптопровайдер (код безопасности), с помощью которого надо было сгенерировать ключ.
Это не "почему то", оно специально так задумывалось, чтобы избежать потом проблем с подписанием документов в СУФД и с заявками ФЗС.
Но если он вам точно нужен то при установке убираете ключ /NCSP
Обновить Криптопро до версии минимум 4.0.9944 Переустановите плагин Криптопро.
GraySlay 31.08.2018 12:14
пожелание здоровья разработчикам и распостранителям - непереводимая игра слов
Топикстартер, будьте так любезны, разместите информацию о том, что версия КАП 3.7.5, радостно втюхиваемая казной, откажется импортировать сертификат КАП, в случае если у пользователя куча ЭЦП, например, ЭЦП от Контура или СБИС.
ПРИЧИНА. В хранилище ОС "Сертификаты - текущий пользователь -> Личное -> Сертификаты" есть сертификаты ЮЛ (от "Тензор" или "Контур-Экстерн"), содержащие недопустимые для Континент-АП (почему-то?) символы ",+; Если в названии организации есть кавычки, то по ошибке разработчиков КАП-3.7.5.474 обращает внимание на такие сертификаты и отказывается дальше искать и устанавливать континентовский сертификат пользователя.
РЕШЕНИЕ. Как вариант предлогаю выполнить следующее.
1. Из указанного выше хранилища сертификатов УДАЛИТЬ все просроченные cer ЮЛ, содержащие кавычки.
3. Если остались действующие cer ЮЛ с кавычками - установить К-АП версии 3.7.5. 514 (прямая ссылка для скачивания - files.apksh.net/s/install/download?path=. ent_AP_3.7.5.514.exe ) через bat-файл БЕЗ брандмауэра и криптопровайдера Security Code во избежание дальнейших проблем с подписанием документов в СУФД ("тихая" установка) следующего содержания:
После окончания ОБЯЗАТЕЛЬНО перезагрузить компьютер!
4. При настройке аутентификации НЕ ИМПОРТИРОВАТЬ сертификат пользователя К-АП, а ВЫБРАТЬ ИЗ СПИСКА (он не очищается при переустановке К-АП разных версий) и нажать "ОК". Проверить соединение (разумеется, предварительно настроив его по DNS имени вместо IP адреса).
Именно такими окольными путями удалось заставить работать К-АП_3.7.5. 514 под КриптоПро-4.0. 9842 даже под Windows 7 Home Basic и XP sp3!
ful пишет: Из нашего УФК сообщили, что Континент не работает с 2012 гостом на Крипто про. Для этого рекомендуют ставить Континент с встроенным криптопровайдером, чтоб через него, потом генерировать ключи по новому госту.
В связи с тем, что эта печальная новость подтверждена разработчиками и криптопровайдер понадобится таки для генерации ключей КАП по новому ГОСТ для минимизации глюков остаётся ставить Криптопро и Континент АП последних версий с криптопровайдером. На текущий момент это: 4.0.9955 и 3.7.7.651 соответственно.
Если всё пробовали и ничего не помогло:
Удаляем всё и пробуем ставить КриптоПро и Континент АП последних версий .
На текущий момент это: 4.0.9955 и 3.7.7.651 соответственно.
Для Windows XP
x3n0b4t3 24.08.2018 14:44
Для тех, кто все еще использует Windows XP и устанавливает версию 3.7.7 : может возникнуть проблема с отсутствием модема, не решаемая переустановкой.
В диспетчере устройств будет не работающее "Continent 3 PPP Device", при попытке задействовать ругается на драйвер.
Подложил файл драйвера от предыдущей версии (в моем случае от 3.7.2) - cont3ppp.sys в C:\Windows\system32\drivers\, его же нужно исключить из integrity.xml, иначе не пройдет проверку целостности. Потом пересоздаем подключение.
Обход ограничений
Эксперименты проводить только убедившись в нормальном функционировании в штатном режиме
(***) Любителям виртуальных отчуждаемых носителей гуглить OsfMount
Helen 28.08.2018 10:17
А если флешку под этот серт. жалко, можно создать логический диск (или использовать имеющийся). КриптоПро считает его типа съемным. Можно скопировать контейнер на него. У меня работает.
и еще - в настройках аутентификации надо ставить "использовать расширенный сертификат"
(****) Желающим расшарить соединение КАП гуглить HandyCash или 3proxy
- Настройка 3proxy
- Настройка HandyCash
- Настройка общего доступа с помощью портмаппера
Извините, но у вас недостаточно прав для комментирования
Комментарии
Добрый день!
кто-нибудь сталкивался с такое проблемой: Не работает контекстное меню в Континенте-АП (не дает выбрать ни один параметр, тормозит ПО), при этом если дать пользователю права Администратора, то все работает нормально.
Дать пользователю права на ветку реестра securitycode а также на каталог c program files где там у вас континент установлен попробуйте
Здравствуйте, Не заходит через новый сертификат
Текст ошибки:
Не найден сертификат с отпечатком [xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx], привязанный к пользователю.
Повторите попытку или аутентифицируйтесь при помощи логина и пароля.
Вложения:
Снежа́нна пишет: Не заходит через новый сертификат
Текст ошибки:
Не найден сертификат с отпечатком [xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx], привязанный к пользователю.
Это отпечаток нового сертификата?
Если да, то новый сертификат пользователя или (и) корневой сертификат УЦ ФК, с использованием которого он изготовлен, не установлен (установлен некорректно).
Не найден сертификат с отпечатком
Так отправку сертификата в Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра. "на привязку в СУФД" вроде не отменяли.
Типичная ошибка когда новый серт не привязан.
Не найден сертификат с отпечатком
Так отправку сертификата в Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра. "на привязку в СУФД" вроде не отменяли.
Типичная ошибка когда новый серт не привязан.
По отпечатку и посмотрят, какой привязан.
Точно такая ошибка: с почты владельца сертификата на " Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра. " отправлять отпечаток сертификата ?
fazan577 пишет: Точно такая ошибка: с почты владельца сертификата " Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра. " отправлять отпечаток сертификата ?
Не найден сертификат с отпечатком [xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx], привязанный к пользователю.
Вы сами проверьте по отпечатку [xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx], какой сертификат привязан к пользователю: старый или новый.
Если старый, то для привязки к учетке нового сертификата обращайтесь туда, куда это принято в вашем регионе.
Если обратитесь в Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра. , то отправлять нужно файл сертификата.
Нужно в параметры запуска chrome.exe добавить ключ
--allow-running-insecure-content
и добавить lk.budget.gov.ru в список разрешённых доменов где можно использовать смешанный контент Например в свойствах ярлыка "ЭБ CG.lnk" добавить в конец через пробел ключ
Chromium GOST и DrWEB не открываются сайты
Помогает запуск с ключом - -no-sandbox. (для х64 версии)
Но лучше использовать х32 версию браузера
У кого Jinn не видит контейнер читаем подробности
(*) С 01.08.2020 lk2012 больше не доступен
Про Jinn Sign Extension Provider
слишком сложно написано
Просьба написать попроще, например что в пути установки не должно быть кириллицы, например имя пользователя написано по-русски (аля Юзер, Пользователь, Админ и прочее) и используется путь установки предложенный установщиком (в папку профиля пользователя)
Параметры командной строки для тихой установки Jinn Sign Extension Provider сразу для всех пользователей Windows (путь можете указать свой, лишь бы он был доступен для всех пользователей):
ПРИМЕЧАНИЕ: Командную строку нужно запускать по правой кнопки мыши с выбором "Запуск от имени администратора"
Jinn не видит контейнер
Размер имеет значение (с)
Инструкция по созданию носителя от пользователя 7449
ДОПОЛНЕНИЕ
ОТВЕТ ТЕХПОДДЕРЖКИ УФК
Цитата:
3. Если нужный сертификат не отображается, проверить подключение съемного носителя и нажать кнопку «Обновить список».
5. Далее выбираем, где сохранить криптоконтейнер, можно на этом же съемном носителе (файлы не заменяются) или на любом другом, и указываем пароль оригинального контейнера, нажимаем «Сохранить».
Очень плохая новость для установивших Континент АП 3.7.7.651 с криптопровайдером КБ CSP
Вернул обратно на своём тестовом стенде КАП 3.7.651 с крипто-провайдером от КБ (куда ж теперь без него?)
На этапе подписи заявки в ЭБ при "поиске носителя" получаем: "Прекращена работа программы визуализации и подписи Jinn-Client"
До этого всё подписывало в ЭБ (Win 10.15063x64)
update: Ложка мёда в бочку дёгтя: проверяли на win7x32 sp1 такой проблемы нет.
Плохая новость для установивших Континент АП 3.7.7.651 с криптопровайдером КБ CSP
Для правильной установки Континент TLS-клиент». Версия 2 придётся удалять КАП. Вычищать следы пребывание КБ CSP утилитой от кода безопасности тынц с параметрами -to из командной строки от администратора. Так же должен стоять криптопро. Тогда ТЛС клиент не будет пытаться установить или обновить свой криптопровайдер. Потом континент ап можно ставить обратно с его криптопровайдером, все работает. Не забываем удалить
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 1\CryptDllImportPublicKeyInfoEx\1.2.643.7.1.1.1.1
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Cryptography\OID\EncodingType 1\CryptDllImportPublicKeyInfoEx\1.2.643.7.1.1.1.1
из реестра.
СКЗИ «Континент TLS-клиент». Версия 2 "Доступ к конфигурационному файлу запрещен"
Британские учёные установили, ошибка СКЗИ «Континент TLS-клиент». Версия 2 "Доступ к конфигурационному файлу запрещен" таки связана с недостатком прав. Все установщики запускать через .ехе а не через .msi и от имени администратора. Если это не помогло. смотрим права на ветку реестра [HKEY_LOCAL_MACHINE\SOFTWARE\SecurityCode]
По логам на проблемной машине видно что идёт обращение к ветке [HKEY_LOCAL_MACHINE\SOFTWARE\SecurityCode], и не может получить доступ туда. Проверил права на ветку - кривые, нет права на запись. Можно выдать права, я полечил просто удалив ветку целиком (но у меня и были имитация установки на чистую, без других компонентов КБ). В общем случае, надо пробовать давать права на ветку Еще добавлю - сегодня под обычным пользователем пытался запустить Континент-TLS дал разрешения в реестре, но при запуске так же ошибку выдавал. Дал разрешение на чтение и запись до каталогов:
c:\Program Files\Security Code\
c:\Users\Public\ContinentTLSClient\
Заработало и под обычным пользователем.
Обнаружил машину на которой даже после манипуляций с реестром, после установки TLS клиента всё равно вылетала ошибка по доступу. Вылечилось после следующих манипуляций:
1. Через панель управления удалить ВСЕ продукты КриптоПро и Кода Безопасности, перезагрузка
2. Удаление через cspclean (КП)и cspcleaner -to (КБ), перезагрузка,
3. Удаление следов в ProgramFiles, удаление веток [HKEY_LOCAL_MACHINE\SOFTWARE\SecurityCode] и [HKEY_LOCAL_MACHINE\SOFTWARE\Security Code], перезагрузка
4. Установка КриптоПро 4.0 R4 (4.0.9963), перезагрузка
5. Установка TLS клиента 2.0.1440.
После этого заработало. Замечу, что устанавливать клиент лучше через командную строку с параметрами /install /log log.txt. Если в результате установки появился только один log файл - то установка точно прошла с косяком и работать не будет. Если два файла - то скорее всего всё ок. Если три файла - то к TLS клиенту доставился еще и КБ CSP
Если кто задумает "хочу установить все заново"
(взято с форума росказны)
Варианты установки программных продуктов
Состав программных продуктов:
* КриптоПро CSP или Валидата CSP;
* Jinn-Client;
* TLS-клиент.
Выполните действия в следующем порядке:
1. Установите сторонний криптопровайдер (КриптоПро CSP или Валидата CSP).
2. Установите Jinn-Client. В состав данного продукта входит криптопровайдер "Код Безопасности CSP" версии 3.7, в котором необходимо отменить регистрацию. Загрузите и распакуйте архив по ссылке https://www.securitycode.ru/upload/docu . gScCSP.zip. Перейдите в папку, соответствующую данной платформе (x86 или x64) и запустите файл unreg_sc_37.reg.
3. Установите TLS-клиент. В состав данного продукта входит криптопровайдер "Код Безопасности CSP" версии 4.0, который не будет установлен. В такой ситуации используется сторонний криптопровайдер.
Состав программных продуктов:
* КриптоПро CSP или Валидата CSP;
* TLS-клиент.
Выполните действия в следующем порядке:
1. Установите сторонний криптопровайдер (КриптоПро CSP или Валидата CSP).
2. Установите TLS-клиент. В состав данного продукта входит криптопровайдер "Код Безопасности CSP" версии 4.0, который не будет установлен. В такой ситуации используется сторонний криптопровайдер.
Состав программных продуктов:
* Jinn-Client;
* TLS-клиент.
Выполните действия в следующем порядке:
1. Установите Jinn-Client. В состав данного продукта входит криптопровайдер "Код Безопасности CSP" версии 3.7. © КОМПАНИЯ "КОД БЕЗОПАСНОСТИ"
2. Удалите криптопровайдер "Код Безопасности CSP" версии 3.7.
3. Установите TLS-клиент. Он содержит криптопровайдер "Код Безопасности CSP" версии 4.0, который установится автоматически.
Отсутствуют сторонние криптопровайдеры (КриптоПро CSP или Валидата CSP) и Jinn-Client.
В данном случае установите TLS-клиент. Он содержит криптопровайдер "Код Безопасности CSP" версия 4.0, который установится автоматически.
Исправление ошибок установки
При нарушении порядка установки выполните действия в следующем порядке:
1. Удалите все программные продукты, входящие в вариант установки.
2. После каждого удаления программного продукта выполните перезагрузку, если она требуется.
3. Установите программные продукты заново в соответствии с описанными вариантами установки.
Для подписания в Электронном бюджете в Mozilla Firefox с помощью Jinn-client 1.0.3050.0, рекомендуется использовать версию от 52.9.0esr и выше , необходимо установленное в браузере расширение Jinn Sign Extension, а также установленный в Windows Jinn Sign Extension Provider версии 1.0.0.5. Во избежание появления в firefox ошибки при подписании:
Не удалось обработать
script
Document.GetElementByID(. ).loadCertificates is not a function (TypeError)
необходимо в firefox выполнить следующее:
- В адресной строке firefox ввести about:config
- Установить параметры accessibility.delay_plugins = true; accessibility.delay_plugin_time = 90000
- В браузере включитьплагин Jinn-client (если версия firefox поддерживает плагин - например, как версия 52.9.0esr) и одновременно включить расширение Jinn-client.
Если такая ошибка появилась, то помимо указанных выше настроек необходимо при закрытом firefox удалить, а затем заново установить Jinn sign extension provider версии 1.0.0.5. (Перезагружать компьютер при этом необязательно, куки и кэш желательно удалить).
Так как для браузеров Mozilla Firefox и Google Chrome, в отличие от Internet Explorer 11, при подписании в Электронном бюджете используются ещё расширение Jinn-client и Jinn Sign Extension Provider, то при возникновении ошибок при подписании лучше всего после этого проверять подписание в настроенном для работы в Электронном бюджете Internet Explorer 11.
Извините, но у вас недостаточно прав для комментирования
Комментарии
У меня странная проблема. вход в lk работает, но после добавления ресурса eb.cert.roskazn a.ru при входе выдает ошибку "серверный сертификат не прошел проверку сравнением" и далее "не удалось установить соединение с хостом.."
антивирусов не стоит, брандмауэр отключен(
Кто нибудь сталкивался с таким ? как решить ?
Добрый день.
Помогите решить проблему. ЭБ. Рабочее место настроенно. Пользователь пытается подписать документ, но идет бесконечное обращение к контейнеру. Нажимаем отмена, появляется окошко выбора сертификата. Вместо одного сертификата видно два одинаковых. Один при выборе сразу выдает ошибку, второй запрашивает пароль, но после ввода пароля документ остается неподписанным.
Переустановка всех программ и конвертация не помогла.
Tls 2.0 Jinn 1.0.3050 КриптоПро 4.0.9944
Это я хорошо знаю. Дело в том что континент TLS в сети где нет прокси сам скачивает их при нажатии кнопки Загрузить. А в сети где через прокси сеть работает пишет что не найдены. Как решить?
В данной инструкции подробно описан процесс настройки клиента OpenVPN на примере операционных систем Windows и Linux. Также, с ее помощью можно настроить скиента на Android.
Установка OpenVPN Server
Переходим на официальный сайт OpenVPN и скачиваем последнюю версию программы для соответствующей версии Windows:
Запускаем скачанный файл - нажимаем Next - I Agree - и выставляем галочку EasyRSA 2/3 Certificate Management Scripts (нужен для возможности сгенерировать сертификаты):
* интерфейсы для старой версии OpenVPN и новой немного различаются. Нам нужно выбрать для установки все пункты.
. снова Next и Install — начнется установка. В процессе мастер может выдать запрос на подтверждение установки виртуального сетевого адаптера — соглашаемся (Install/Установить).
После завершения нажимаем Next - снимаем галочку Show Readme - Finish.
Пример конфигурационного файла
client
dev tun
proto udp
remote 192.168.0.15 443
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
dh dh2048.pem
tls-client
tls-auth ta.key 1
float
keepalive 10 120
comp-lzo
verb 0
Параметры конфигурационного файла
Наиболее полный и актуальный список параметров для OpenVPN можно получить командой openvpn --help (в Linux и Windows).
Android
Установка выполняется из Google Play. Набираем в поиске OpenVPN Connect - нажимаем установить и принимаем условия.
Возможные проблемы
Большая часть проблем решается при помощи логов, которые находятся в папке C:\Program Files\OpenVPN\log. Уровень детализации лога контролируется параметром verb в конфигурационном файле сервера или клиента.
Сертификаты
Клиентские сертификаты генерируются на стороне сервера. Процедура следующая.
OpenVPN позволяет настроить VPN-сервер как на платформе Windows Server, так и версии для рабочего компьютера (Windows 10, 8, 7).
3. Разрешаем доступ к локальной сети
Заходим в управление сетевыми подключениями (Панель управления\Сеть и Интернет\Сетевые подключения). Кликаем правой кнопкой мыши по адаптеру локальной сети - Свойства:
На вкладке Доступ ставим галочку Разрешить другим пользователям сети использовать подключение к Интернету данного компьютера:
. и сохраняем настройки.
Настройка сервера
Переходим в папку C:\Program Files\OpenVPN\config-auto (или для старой версии C:\Program Files\OpenVPN\config) и создаем файл server.ovpn. Открываем его на редактирование и приводим к следующему виду:
port 443
proto udp
dev tun
dev-node "VPN Server"
dh "C:\\Program Files\\OpenVPN\\ssl\\dh.pem"
ca "C:\\Program Files\\OpenVPN\\ssl\\ca.crt"
cert "C:\\Program Files\\OpenVPN\\ssl\\cert.crt"
key "C:\\Program Files\\OpenVPN\\ssl\\cert.key"
server 172.16.10.0 255.255.255.0
max-clients 32
keepalive 10 120
client-to-client
compress
ncp-disable
fast-io
cipher AES-256-CBC
persist-key
persist-tun
status "C:\\Program Files\\OpenVPN\\log\\status.log"
log "C:\\Program Files\\OpenVPN\\log\\openvpn.log"
verb 4
mute 20
* где port — сетевой порт (443 позволит избежать проблем при использовании Интернета в общественных местах, но может быть любым из свободных, например 1194, занятые порты в Windows можно посмотреть командой netstat -a); dev-node — название сетевого интерфейса; server — подсеть, в которой будут работать как сам сервер, так и подключенные к нему клиенты.
** так как в некоторых путях есть пробелы, параметр заносится в кавычках.
*** при использовании другого порта необходимо проверить, что он открыт в брандмауэре или на время тестирования отключить его.
В сетевых подключениях Windows открываем управление адаптерами - TAP-адаптер переименовываем в «VPN Server» (как у нас указано в конфигурационном файле, разделе dev-node):
Теперь открываем службы Windows и находим «OpenVpnService». Открываем ее, настраиваем на автозапуск и включаем:
Если служба в запущенном состоянии, то перезапускаем ее.
Ранее переименованный сетевой интерфейс должен включиться:
VPN-сервер работает. Проверьте, что сетевой адаптер VPN Server получил IP 172.16.10.1. Если он получает что-то, на подобие, 169.254. выключаем сетевой адаптер - перезапускаем службу OpenVpnService и снова включаем сетевой адаптер.
Если в нашей системе включен брандмауэр, необходимо открыть порт для OpenVPN. Это быстрее всего сделать из командной строки — открываем ее от администратора и вводим:
netsh advfirewall firewall add rule name="ALLOW OpenVPN" dir=in action=allow protocol=UDP localport=443
* где 443 — наш порт, который мы решили задействовать под OpenVPN; UDP — протокол, который мы настроили в конфигурационном файле сервера.
Windows
Заходим на официальную страницу загрузки openvpn и скачиваем клиента для нужной Windows:
Запускаем скачанный файл и устанавливаем программу, нажимая «Далее».
а) Создание сертификатов с RSA 3
1. Переходим в папку установки OpenVPN (по умолчанию, C:\Program Files\OpenVPN) и создаем каталог ssl.
2. После переходим в папку C:\Program Files\OpenVPN\easy-rsa, переименовываем файл vars.example в vars, открываем его на редактирование и правим одну строку:
set_var EASYRSA_TEMP_DIR "$EASYRSA_PKI/temp"
* мы снимаем комментарий и добавляем temp в конце $EASYRSA_PKI. Если это не сделать, то при попытке сформировать корневого сертификата мы получим ошибку Failed create CA private key.
3. Запускаем командную строку от имени администратора:
4. Переходим в каталог easy-rsa:
5. Запускаем команду:
Мы окажемся в среде EasyRSA Shell.
6. Инициализируем PKI:
Если система вернет ошибку, выходим из оболочки EasyRSA Shell:
И заходим снова:
Мы должны увидеть:
init-pki complete; you may now create a CA or requests.
Your newly created PKI dir is: C:/Program Files/OpenVPN/easy-rsa/pki
7. Генерируем корневой сертификат (CA):
. после ввода Enter обязательно задаем пароль дважды. На запрос ввести Common Name можно просто нажать ввод или написать свое имя:
Common Name (eg: your user, host, or server name) [Easy-RSA CA]:
8. Создаем ключ Диффи-Хеллмана:
9. Для создания сертификата сервера необходимо сначала создать файл запроса:
./easyrsa gen-req cert nopass
* на запрос ввода Common Name просто вводим Enter.
. и на его основе — сам сертификат:
./easyrsa sign-req server cert
После ввода команды подтверждаем правильность данных, введя yes:
Confirm request details: yes
. и вводим пароль, который указывали при создании корневого сертификата.
10. Сертификаты сервера готовы и находятся в каталоге pki. Переносим в C:\Program Files\OpenVPN\ssl следующие файлы:
- ca.crt
- issued/cert.crt
- private/cert.key
- dh.pem
Установка
2. Настройка OpenVPN Server
В конфигурационный файл OpenVPN добавим:
push "route 172.16.10.0 255.255.255.0"
push "route 192.168.2.0 255.255.255.0"
* где 172.16.10.0 — VPN сеть; 192.168.2.0 — локальная сеть, в которую необходимо «попасть» пользователям openvpn.
При необходимости использовать DNS внутренней сети также добавим:
push "dhcp-option DNS 192.168.0.15"
push "dhcp-option DNS 192.168.0.16"
push "dhcp-option DOMAIN dmosk.local"
* где 192.168.0.15 и 192.168.0.16 — внутренние DNS-серверы; dmosk.local — домен, который будет добавляться к узлам, обращение к которым идет по неполному имени.
Если нам нужно, чтобы все запросы клиента (в том числе, Интернет) ходили через сервер OpenVPN, добавляем:
push "redirect-gateway def1"
* в таком случае, нам не обязательно добавлять push route, который мы использовали выше.
Перезагружаем службу OpenVpnService.
На сервере
На сервере генерируем сертификат для клиента. Для этого сначала чистим файл index.txt в папке C:\Program Files\OpenVPN\easy-rsa\keys.
Затем запускаем командную строку от имени администратора:
Переходим в каталог easy-rsa:
Далее наши действия зависят от версии RSA.
а) Создание сертификатов с RSA 3
Мы окажемся в среде EasyRSA Shell.
Создаем клиентский сертификат:
./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1
Мы должны увидеть запрос на подтверждение намерения выпустить сертификат — вводим yes:
Confirm request details: yes
* в данном примере будет создан сертификат для client1.
После вводим пароль, который указывали при создании корневого сертификата.
Теперь из папки pki копируем файлы:
. и переносим их на клиентский компьютер.
б) Создание сертификатов с RSA 2
И генерируем сертификат первого пользователя:
* на все запросы наживаем Enter, кроме Common Name — в данном поле вводим имя клиента (в нашем случае, просто client1). В конце подтверждаем введенную информацию — y.
** На каждого клиента нужно сгенерировать свой сертификат, в противном случае, им будет присваиваться один и тот же IP-адрес, что будет приводить к конфликту.
Получиться, что-то на подобие:
По умолчанию, для Common Name будет подставляться значение из vars.bat — но с ним сертификат не будет создаваться. Необходимо при создании каждого ключа подставлять значение, равное имени сертификата. Например, как выше — подставлено client1.
Теперь из папки keys копируем файлы:
. и переносим их на клиентский компьютер.
Доступ к локальной сети
По инструкции выше мы сможем получить доступ только к серверу, на котором установлен OpenVPN. Для получения доступа ко всей внутренней сети, выполним следующие шаги.
Linux CentOS
Устанавливаем репозиторий EPEL:
yum install epel-release
yum install openvpn
б) Создание сертификатов с RSA 2
1. Переходим в папку установки OpenVPN (по умолчанию, C:\Program Files\OpenVPN) и создаем каталог ssl.
2. После переходим в папку C:\Program Files\OpenVPN\easy-rsa, создаем файл vars.bat, открываем его на редактирование и приводим к следующему виду:
* в каталоге easy-rsa уже есть файл vars.bat.sample — можно переименовать и использовать его.
** значение HOME не меняем, если оставили путь установки программы по умолчанию; KEY_DIR — каталог, куда будут генерироваться сертификаты; KEY_CONFIG может быть разным — его лучше посмотреть в файле vars.bat.sample или по названию соответствующего файла в папке easy-rsa; KEY_NAME желательно, чтобы соответствовал полному имени VPN-сервера; остальные опции можно заполнить произвольно.
3. Запускаем командную строку от имени администратора:
4. Переходим в каталог easy-rsa:
4. Запускаем vars.bat:
5. Чистим каталоги от устаревшей информации:
* данная команда выполняется один раз, когда на сервере нет информации по ранее созданным сертификатам.
6. Снова запускаем vars.bat (после clean переопределяются некоторые переменные):
Переходим к созданию ключей.
7. Генерируем последовательность центра сертификации:
На все запросы нажимаем Enter.
8. Запускаем build-dh.bat (сертификат с использованием алгоритма Диффи-Хеллмана):
openssl dhparam -out keys\dh.pem 2048
* команда может выполняться долго — это нормально.
9. Генерируем сертификат для сервера:
* где cert — имя сертификата; на все запросы нажимаем Enter. В конце подтверждаем два раза корректность информации вводом y.
10. После переносим из папки C:\Program Files\OpenVPN\easy-rsa\keys в C:\Program Files\OpenVPN\ssl следующие файлы:
Настройка клиента
1. Настройка реестра
Для включения IP маршрутизации в Windows необходимо в ветке реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters найти параметр IPEnableRouter и задать ему значение 1. Это можно сделать в утилите редактирования реестра (regedit) или командой:
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" /v IPEnableRouter /t REG_DWORD /d 1 /f
* командную строку необходимо запускать от администратора.
Настройка
После установки программы конфигурационный файл не создается автоматически и его нужно создать вручную.
В системах Windows создаем файл config.ovpn в папке %programfiles%\OpenVPN\config.
* имя файла может быть любым, расширение должно быть .ovpn.
Для создания конфигурационного файла в Linux выполняем команду:
* чтобы служба openvpn автоматически выполняла соединение, необходимо, чтобы конфигурационный файл назывался client.conf.
Linux Ubuntu
apt-get install openvpn
Создание сертификатов
Новая версия OpenVPN позволяет создавать сертификаты на основе Easy RSA 3, старая работает на базе 2-й версии. Наши действия будут различаться в зависимости от данной версии. Рассмотрим процесс формирования сертификата с использованием как RSA3, так и RSA2.
На клиенте
Заходим на официальную страницу загрузки openvpn и скачиваем клиента для Windows:
* по сути, это тот же файл, который скачивался для сервера.
Запускаем скачанный файл и устанавливаем программу, нажимая «Далее».
Переходим в папку C:\Program Files\OpenVPN\config. И копируем в нее сертификаты, которые перенесли с сервера.
Теперь открываем блокнот от имени администратора и вставляем следующие строки:
client
resolv-retry infinite
nobind
remote 192.168.0.15 443
proto udp
dev tun
compress
ncp-disable
fast-io
cipher AES-256-CBC
ca ca.crt
cert client1.crt
key client1.key
dh dh.pem
float
keepalive 10 120
persist-key
persist-tun
verb 0
* где 192.168.0.15 443 — IP-адрес OpenVPN-сервера и порт, на котором он принимает запросы. Для боевой среды это будет внешний адрес.
Сохраняем файл с именем config.ovpn в папке C:\Program Files\OpenVPN\config.
Запускаем с рабочего стола программу «OpenVPN GUI» от имени администратора (это важно).
Нажимаем правой кнопкой по появившемуся в трее значку и выбираем «Подключиться»:
Произойдет подключение и значок поменяет цвет с серого/желтого на зеленый.
Читайте также: