Континент tls запуск программы невозможен нарушен порядок установки программных продуктов

Содержание

Система, которая обеспечивает безопасный удаленный доступ к веб-приложениям с использованием алгоритмов ГОСТ. Первое российское решение на рынке TLS-шлюзов. Управление и мониторинг доступны через веб-интерфейс из любого браузера.

Сервер “Континент TLS” лицензируется по количеству одновременных подключений, а не как обычные VPN-клиенты, которые учитывают общее число удаленных пользователей.

“Континент TLS” обеспечивает:

  • до 45000 одновременных подключений,
  • изоляцию инфраструктуры от удаленных пользователей, потому что гранулярно разграничивает доступ и дает подключаться только к разрешенным приложениям,
  • высокую плотность подключений и линейное масштабирование,
  • централизованное управление кластером TLS-шлюзов

Может использоваться для:

  • защиты государственных информационных систем,
  • защиты объектов критической информационной инфраструктуры,
  • защиты высоконагруженного портала государственных услуг,
  • безопасного удаленного доступа к ресурсам предприятия,
  • соответствия требованиям регуляторов – приказу ФСТЭК России No 17 (ИАФ, УПД, ЗИС, РСБ, ОЦЛ, ОДТ, ЗТС).

Высокая производительность
Базовая производительность
Сертификаты
Системные требования
Дополнительные материалы

Установка и инициализация Континент TLS Server 2.1

Высокая производительность

Континент TLS IPC-1000

Формфактор: 1U
Сетевые интерфейсы: 8 х 1000BASE-T RJ45
8 х 1G SFP
Режим работыПроизводительность
Пропускная способность в режиме HTTPS-прокси до 1 300 Мбит/с
Максимальное количество соединений в режиме HTTPS-прокси до 15 000

Континент TLS IPC-3000

Формфактор: 1U
Сетевые интерфейсы: 1 х 1000BASE-T RJ45
4 x 10GB SFP+
Режим работыПроизводительность
Пропускная способность в режиме HTTPS-прокси до 4 000 Мбит/с
Максимальное количество соединений в режиме HTTPS-прокси до 45 000

Базовая производительность

Континент TLS IPC-R50

Формфактор: Настольный с комплектом для крепления в стойки 1U
Сетевые интерфейсы: 4 х 1000BASE-T RJ45
1 х 1G SFP
Режим работыПроизводительность
Пропускная способность в режиме HTTPS-прокси до 350 Мбит/с
Максимальное количество соединений в режиме HTTPS-прокси до 9 000

Сертификаты

Континент TLS-сервер. Версия 2

Подтверждает соответствие требованиям ФСБ России к средствам криптографической защиты информации, не содержащей сведений, составляющих государственную тайну, класса КС2/КС3 и может использоваться для криптографической защиты информации, не содержащей сведений, составляющих государственную тайну

сертификат континент tls

Континент TLS-Сервер. Версия 2

Подтверждает соответствие требованиям ФСБ России к средствам криптографической защиты информации класса КС2 и возможность применения для криптографической защиты информации, не содержащей сведений, составляющих государственную тайну

Континент TLS-Клиент. Версия 2

Подтверждает соответствие требованиям ФСБ России к средствам криптографической защиты информации классов КС1/КС2 и возможность применения для криптографической защиты информации, не содержащей сведений, составляющих государственную тайну

Континент TLS-Сервер. Версия 2

Подтверждает соответствие требованиям по безопасности информации по 4 уровню контроля отсутствия недекларированных возможностей

Системные требования

Континент TLS Клиент 2

Континент TLS Клиент для Windows

Операционная система Windows 10
(включая выпуски Starter и Home Edition x86/x64)
Windows 8.1 x86/x64
Windows 7 SP1 x86/x64
Windows Server 2012 R2 x64
Windows Server 2016 x64
Windows Server 2019 x64
Процессор и оперативная память В соответствии с требованиями ОС, установленной на компьютер
Жесткий диск
(свободное пространство)		 150 Мбайт
Порты
(свободные)		 1x USB 2.0
(для использования USB флеш-накопителя)
1x слот PCI Express
(для установки платы ПАК Соболь; исполнение 2)
Оптический привод DVD/CD-ROM
Дополнительное оборудование ПАК Соболь
(Исполнение 2)
Дополнительное ПО Google Chrome 48 или выше
(для Windows 7, 8.1, 10)
Mozilla Firefox 46 или выше
(для Windows 7, 8.1, 10)
Internet Explorer 8, 9, 10
(для Windows 7)
Internet Explorer 11
(для Windows 7, 8.1, 10)
Microsoft Edge
(для Windows 10)

Дополнительные материалы

Документация Континент TLS

Информация, содержащаяся в этих документах, может быть изменена разработчиком без специального уведомления, что не является нарушением обязательств по отношению к пользователю со стороны компании-разработчика.

  • Порядок установки программных продуктов совместно с СКЗИ Континент TLS Сервер/Клиент. Сведения о порядке установки программных продуктов.
  • Release Notes. Описание основных особенностей и ограничений, которые необходимо учитывать при эксплуатации Континент TLS Сервер версии 2.2.
  • Руководство администратора. Сведения для установки, настройки и управления СКЗИ Континент TLS Сервер версии 2.2.
  • Release Notes. Описание основных особенностей и ограничений, которые необходимо учитывать при эксплуатации Континент TLS Клиент версии 2.
  • Руководство по эксплуатации. Сведения для установки, настройки и работы с Континент TLS Клиент версии 2.

Источник: kontinent-ipc.ru

Ошибка пакета установщика windows невозможно запустить необходимую для завершения установки

Инструкция при возникновении проблем установки TLS-клиента

1. Проблема с распаковкой архив а

  1. Заново скачайте архив с установочными файлами TLS-клиента: http://obr55.ru/wp-content/uploads/2019/10/2.0.1440.0-release20.zip.
  2. Установите архиватор 7-zip, который можно скачать по ссылке:
    • для 64-битных систем: https://www.7-zip.org/a/7z1900-x64.exe
    • для 32-битных систем: https://www.7-zip.org/a/7z1900.exe

    2. Континент TLS-клиент не является приложением Win32

    1. Установите архиватор 7-zip, который можно скачать по ссылке:
        • для 64-битных систем: https://www.7-zip.org/a/7z1900-x64.exe
        • для 32-битных систем: https://www.7-zip.org/a/7z1900.exe
        • Распакуйте архив с установочными файлами TLS-клиента с помощью архиватора 7-zip.
        • Установите TLS- клиент, используя и нструкци ю по установке и настройке TLS-клиента: http://obr55.ru/ais/ais-2/tls-client-convert-ep/.

        3. Сборка не предназначена для данной операционной системы

        1. Убедитесь, что версия Вашей операционной системы соответствует следующим требованиям: Windows 7/8/8.1/10.
        2. С помощью «Центра обновления Windows» установите все возможные обновления (как обязательные, так и необязательные). После установки всех обновлений обязательно перезагрузите компьютер и выполните поиск обновлений повторно и при необходимости установите их и перезагрузите компьютер снова. Если появляются ошибки при обновлении, то ищите решение на сайте Microsoft или в Интернете.
        3. Решить проблему также поможет переустановка системы Windows, возврат к заводским настройкам или установка лицензионной операционной системы Windows 7/8/8.1/10.

        4. Ошибка пакета установщика Windows. Невозможно запустить необходимую для завершения установки библиотеку DLL

        1. С помощью «Центра обновления Windows» установите все возможные обновления (как обязательные, так и необязательные). После установки всех обновлений обязательно перезагрузите компьютер и выполните поиск обновлений повторно и при необходимости установите их и перезагрузите компьютер снова. Если появляются ошибки при обновлении, то ищите решение на сайте Microsoft или в Интернете.
        2. Установите TLS-клиент.
        3. Если установить TLS-клиент по-прежнему не удается, то скачайте и установите вручную следующие библиотеки:
          • NET Framework 4.7.2,
          • Microsoft Visual C++ 2013 Redistributable x86 v12.0.40649.5
          • Microsoft Visual C++ 2013 Redistributable x64 v12.0.40649.5
          • Microsoft Visual C++ 2015-2019 Redistributable x86
          • Microsoft Visual C++ 2015-2019 Redistributable x64
          Читайте также:
          Для чего нужна программа майкрософт эксель

          5. Установлен и/или используется другой криптопровайдер

          Если у Вас установлена лицензия КриптоПро CSP, то для импортирования электронной подписи воспользуйтесь КриптоПро CSP. Иначе:

          1. Удалите TLS-клиент. Перезагрузите компьютер.
          2. Скачайте утилиту для аварийного удаления КриптоПро «cspclean.exe» по ссылке: http://cryptopro.ru/sites/default/files/public/cspclean.exe
          3. Запустите файл «cspclean.exe», перезагрузите компьютер.
          4. Установите TLS- клиент, используя и нструкци ю по установке и настройке TLS-клиента: http://obr55.ru/ais/ais-2/tls-client-convert-ep/.
          5. Если ошибка продолжает возникать, то удалите TLS-клиент, установите КриптоПро CSP, удалите КриптоПро CSP, заново установите TLS-клиент. Очень важно, чтобы программа КриптоПро CSP устанавливалась перед установкой TLS-клиента, иначе обе эти программы не будут работать корректно.

          6. 0x80070643 — В процессе установки произошла неисправимая ошибка.

          При появлении ошибки 0x80070643 в Windows 10:

          1. Скачайте и запустите утилиту wushowhide.diagcab: http://download.microsoft.com/download/f/2/2/f22d5fdb-59cd-4275-8c95-1be17bf70b21/wushowhide.diagcab;
          2. Нажмите «Далее» и дождитесь окончания проверки. После окончания проверки нажмите на строку «Hide updates»;
          3. Отметьте галочками все предложенные обновления и нажмите «Далее»;
          4. Убедитесь что все проблемы были исправлены и нажмите «Закрыть»;
          5. Перезагрузите компьютер и попробуйте снова установить TLS-клиент.

          При появлении ошибки 0x80070643 в Windows 7:

          Как исправить «Ошибка пакета Windows Installer…» при попытке удалить программу

          Как исправить «Ошибка пакета Windows Installer…» при попытке удалить программу

          Самые опасные сайты, которые НЕЛЬЗЯ открывать, но Вы наверняка уже пробовали

          Ваш телефон Вас подслушивает: неоспоримые доказательства и способы спасения

          Лучший антивирус для слабого ПК: он точно Вам нужен.

          Нужен ли антивирус для Windows 10: 100% ответ без гадания на кофейной гуще

          Как избавиться от назойливых звонков с неизвестных номеров: прощаемся навсегда без сожалений

          Следующая ошибка появилась на компьютере клиента, когда мы пытались удалить паршивую программу Pro PC Cleaner: «Ошибка пакета Windows Installer. Невозможно запустить необходимую для завершения установки DLL. Обратитесь к техническому персоналу или к поставщику пакета».

          Ошибка, вероятно, появилась из-за повреждения программы установки. По этой причине мы переустановили эту программу, а затем снова попытались удалить через меню «Программы и компоненты». Но в ходе удаления ошибка появилась снова. После некоторых тестов мы, наконец, нашли способ обойти эту проблему.

          Если вы получаете такую ошибку при попытке удалить какую-либо программу, то простая инструкция ниже должна вам помочь. Однако инструмент, который мы будем использовать, может помочь и в том случае, если «Ошибка пакета Windows Installer…» возникает в процессе установки программ.

          Шаг 2: Нажмите на кнопку «Запустить сейчас», чтобы скачать инструмент «Средство устранения неполадок, связанных с установкой и удалением программы».

          Шаг 3: Запустите программу и дождитесь завершения процесса загрузки.

          Шаг 4: Примите лицензионное соглашение.

          Шаг 5: На следующем экране выберите вариант «Выявить проблемы и установить исправления (рекомендуется)».

          Шаг 6: Выберите «Установка» или «Удаление» в зависимости от вашей проблемы. То есть если «Ошибка пакета Windows Installer…» появляется при попытке установить программу, тогда вам нужно выбрать первый вариант и, соответственно, второй, если вы не можете удалить программу. Мы выберем «Удаление».

          Шаг 7: Подождите, пока программа завершит процесс выявления проблем, а затем выберите в списке программу, которую вы хотите удалить и нажмите кнопку «Далее».

          Шаг 8: Нажмите «Да, попробовать удалить».

          Шаг 9: На экране «Устранение неполадок завершено», где вы увидите состояние «Устранено», нажмите «Далее».

          Шаг 10: В последнем окне выберите опцию «Да, проблема устранена». Нажмите «Далее» и закройте окно.

          Шаг 11: Наконец, откройте окно «Программы и компоненты» и убедитесь, что программы больше нет в списке установленных программ. Если она все еще есть в списке, выберите ее и нажмите «Удалить/Изменить». На этот раз процесс удаления должен завершиться без ошибок.

          Ошибки при установке программ из пакета Windows Installer «.msi»

          Довольно распространённая проблема среди пользователей операционной системы Windows любых версий – ошибка msi при установке программ из файла с расширением .msi. В этой статье я опишу часто встречаемые проблемы с установщиком Windows 7/10/XP и варианты их решения, а также сделаю видео по текущему вопросу.

          Файлы с расширением .msi это обычные пакеты установки (дистрибутивы) из которых ставится программа. В отличии от обычных «setup.exe», для запуска файла msi система использует службу Windows Installer (процесс msiexec.exe). Говоря простыми словами, установщик Windows разархивирует и запускает файлы из дистрибутива. Когда Windows Installer не работает, то появляются различные ошибки.

          Вообще, меня это жутко бесит, т.к. после глупого сообщения об ошибке совсем непонятно что делать дальше. Microsoft специально разработали установщик Windows Installer для расширения возможностей установки программ (в основном это касается системных администраторов), но не позаботились должным образом о безглючной работе этой службы или хотя бы об адекватных сообщениях о проблемах. А нам теперь это разгребать

          Неполадки могут быть с работой самой службы или могут возникать в процессе установки программ, когда всё настроено, в принципе, правильно. В первом случае нужно ковырять службу установщика, а во втором решать проблему с конкретным файлом. Рассмотрим оба варианта, но сначала второй.

          Ошибки msi файлов

          Очень часто ошибки появляются из-за недостаточных прав системы на файлы или папки. Нельзя сказать, что Windows Installer не работает, в этом случае достаточно просто добавить нужные права и всё заработает. Буквально вчера я столкнулся с тем, что скаченный дистрибутив .msi не захотел устанавливаться, при этом успешно запускается мастер установки, выбираются параметры, но затем система думает несколько секунд и выдаёт ошибку:

          «Error reading from file «имя файла» verify that the file exists and that you can access it» (Error 1305). Переводится «Ошибка чтения из файла … проверьте существует ли файл и имеете ли вы к нему доступ». Ну не тупняк ли? Естественно, что кнопка «Повторить» не помогает, а отмена прекращает всю установку. Сообщение особой смысловой нагрузки также не несёт, т.к. файл точно существует и я имею к нему доступ, иначе бы просто не смог его запустить и получить это сообщение, к тому же почему-то на английском языке

          А ошибка в том, что не Я должен иметь доступ к файлу, а установщик Windows, точнее сама Система. Решается очень просто:

          1. Кликаем правой кнопкой по файлу с расширением .msi, выбираем «Свойства»
          2. На вкладке «Безопасность» смотрим, есть ли в списке пользователь с именем «система» или «System»
          3. Скорее всего вы такого не увидите. Поэтому будем добавлять вручную. Нажимаем кнопку «Изменить…», затем «Добавить…»
          4. В поле пишем «система» или «System» (если у вас английская Windows) и нажимаем «Проверить имена». При этом слово должно стать подчёркнутым как на картинке.
          5. Нажимаем «ОК», ставим галочку «Полный доступ», «ОК»
          6. Кнопка «Дополнительно» -> «Изменить разрешения…» ставим «Добавить разрешения, наследуемые от родительских объектов», «ОК» три раза.
          Читайте также:
          В какой программе нарисовать карту местности

          Теперь ошибка установщика не появится! Можно добавить доступ на всю папку, из которой вы обычно инсталлируете программы, например на папку «Downloads», как у меня. Смотрим видео по решению проблем с правами доступа:

          В Windows XP вкладки «Безопасность» не будет, если включён простой общий доступ к файлам. Чтобы его выключить, нужно зайти в «Пуск -> Панель управления -> Свойства папки -> Вид» и выключить опцию «Использовать простой общий доступ к файлам». В урезанных версиях Windows 7/10 и XP вкладки «Безопасность» нет в принципе. Чтобы её увидеть, нужно загрузить Windows в безопасном режиме и зайти в неё под администратором.

          Ещё способы решить проблему

          • Запускайте установку, войдя в систему под администраторским аккаунтом
          • Правой кнопкой по пакету «.msi» и выбираем «Запуск от имени Администратора»
          • Выключите антивирус на время
          • Включить режим совместимости с предыдущими операционными системами. Для этого зайдите в свойства файла msi и на вкладке «Совместимость» поставьте галочку «Запустить программу в режиме совместимости»
          • Если файл на флешке, то попробуйте скопировать его куда-нибудь на жёсткий диск и запустить оттуда (бывает, что запрещена установка программ со съёмных накопителей)
          • Попробуйте просто создать новую папку с любым именем в корне диска, перекинуть туда дистрибутив и запустить его оттуда

          Описанный метод поможет при разных сообщениях, с разными номерами. Например, вы можете видеть такие ошибки файлов msi:

          • Error 1723
          • Internal Error 2203
          • Системная ошибка 2147287035
          • Ошибка «Невозможно открыть этот установочный пакет»
          • Ошибка 1603: Во время установки произошла неустранимая ошибка

          Во всех этих случаях должна помочь установка прав на файл и/или на некоторые системные папки. Проверьте, имеет ли доступ «система» к папке временных файлов (вы можете получать ошибку «Системе не удается открыть указанное устройство или файл»). Для этого:

          1. Сначала узнаем нужные пути. Нажмите «Win + Pause» и зайдите в «Дополнительные параметры системы -> Вкладка «Дополнительно» -> кнопка «Переменные среды»»
          2. В списках ищем переменные с названиями «TEMP» и «TMP» (значения обычно совпадают), в них записаны пути к временным папкам, которые использует установщик Windows
          3. Теперь идём к этим папкам и смотрим в их свойствах, имеет ли к ним доступ «система». Чтобы быстро получить путь к временной папке пользователя, кликните два раза по переменной, скопируйте путь и вставьте его в адресной строке «Проводника» Windows

          После нажатия «Enter» путь преобразится на «нормальный» и вы переместитесь в реальную временную папку. Права на неё и надо проверять. Также рекомендую очистить временные папки от всего что там скопилось или даже лучше удалить их и создать новые с такими же названиями. Если не получается удалить папку, почитайте как удалить неудаляемое, но это не обязательно.

          Если служба Windows Installer всё равно не хочет работать, то проверьте права на папку «C:Config.Msi», сюда «система» также должна иметь полный доступ. В этом случае вы могли наблюдать ошибку «Error 1310». На всякий случай убедитесь, что к папке КУДА вы инсталлируете софт также есть все права.

          Если вы используете шифрование папок, то отключите его для указанных мной папок. Дело в том, что хотя мы сами имеем к ним доступ, служба Microsoft Installer не может до них достучаться пока они зашифрованы.

          Ещё ошибка может быть связана с битым файлом. Может быть он не полностью скачался или оказался битым уже на сервере. Попробуйте скачать его ещё раз оттуда же или лучше с другого места.

          Ошибка установщика Windows

          В случае общих проблем не будут устанавливаться никакие msi файлы, процесс установки, скорее всего, даже не начнётся. При этом могут появляться ошибки вида:

          • Нет доступа к службе установщика Windows
          • Не удалось получить доступ к службе установщика Windows
          • Ошибка пакета установщика Windows (1719)

          или ещё нечто подобное со словами «ошибка msi», «Windows Installer Error». Всё это означает, что система дала сбой и теперь её надо лечить. Может вы ставили какой-то софт, который испортил системные файлы и реестр, или подхватили вирус. Конечно, никогда не будет лишним удалить вирусы, или убедиться что их нет. Но оставьте этот вариант на потом, т.к. обычно проблема кроется в другом.

          Сначала давайте проверим работает ли служба Windows Installer:

          1. Нажмите «Win + R» и введите services.msc
          2. Найдите в конце списка службу «Установщик Windows» или «Windows Installer»
          3. Тип запуска должен быть «Вручную». Если она «Отключена», то зайдите в «Свойства» и выберите «Вручную»
          4. Затем кликните по ней правой кнопкой и выберите «Запустить» или «Перезапустить». Если ошибок нет и состояние переходит в режим «Работает», то здесь всё нормально.
          5. Нажмите «Win + R» и введите msiexec. Если модуль MSI работает нормально, то должно появиться окно с версией установщика и параметрами запуска, а не ошибка.

          Следующее что я посоветую сделать – это выполнить команду сканирования системы на повреждённые и изменённые системные файлы. Нажмите «Win + R» и введите

          Sfc /scannow

          Произойдёт поиск и замена испорченных файлов на оригинальные, при этом может потребоваться вставить установочный диск с Windows XP-7-10. После окончания процесса перегрузитесь и посмотрите, решена ли проблема.

          Microsoft сам предлагает утилиту, призванную решить нашу проблему. Запустите программу Easy Fix и следуйте мастеру.

          Параметры реестра и службы

          Следующий способ устранения ошибки – восстановление рабочих параметров в реестре установщика Windows Installer.

          Для этого скачайте архив и запустите оттуда два reg-файла, соответственно своей версии Windows. Согласитесь с импортом настроек.

          В Windows XP или Windows Server 2000 установите последнюю версию установщика 4.5.

          Если не помогло, то проделайте ещё перерегистрацию компонентов:

          1. Нажмите «Win + R» и введите «cmd». Затем в чёрном окне введите последовательно команды:
            MSIExec /unregister
            MSIExec /regserver
          2. В ответ должна быть пустота, никаких ошибок. Если проблема не решена, введите ещё команду
            regsvr32 msi.dll
          3. Закройте чёрное окно

          Если пишет, что не хватает прав, то нужно запускать командную строку от имени Администратора.

          Если команды выполнились, но не помогло, то скачайте файл и запустите msi_error.bat из архива, проверьте результат.

          Последний вариант — скачайте программу Kerish Doctor, почитайте мою статью, там есть функция исправления работы службы установщика и многих других частых проблем Windows.

          Также, многие программы используют .NET Framework, поэтому не будет лишним установить последнюю версию этого пакета. И, напоследок, ещё один совет: если в пути к файлу-дистрибутиву есть хоть одна папка с пробелом в начале названия, то удалите пробел. Такой простой приём решит вашу проблему

          Читайте также:
          Как перенести программу с телефона на ноутбук

          Подведение итогов

          Ошибки с установщиком Windows очень неприятные, их много и сразу непонятно куда копать. Одно ясно – система дала сбой и нужно восстанавливать её до рабочего состояния. Иногда ничего не помогает и приходится переустанавливать Windows. Однако не торопитесь это делать, попробуйте попросить помощи на этом форуме. В точности опишите вашу проблему, расскажите что вы уже делали, какие сообщения получили, и, возможно, вам помогут! Ведь мир не без добрых людей

          Источник: onecomp.ru

          Опыт внедрения «Континент TLS VPN» в кластерной конфигурации

          TLS – криптографический протокол, обеспечивающий защищенную передачу данных между узлами в сети интернет. С ним вы можете ознакомиться здесь или здесь.

          Ключевые задачи TLS:

          1. обеспечить конфиденциальность, то есть реализовать защиту от утечек передаваемой информации;
          2. обеспечить обнаружение подмены, то есть реализовать сохранение целостности передаваемой информации;
          3. обеспечить аутентификацию узлов, то есть дать механизм проверки подлинности источника сообщений.

          Задача

          В нашем случае необходимо было обеспечить защищенный с помощью ГОСТ-шифрования доступ к веб-ресурсу.

          • Кластерная конфигурация (для решения требуется высокая отказоустойчивость)
          • Высокая пропускная способность
          • Поддержка различных браузеров (IE, Mozilla, Chrome)
          • Максимальное количество соединений в режиме HTTPS-прокси– 10 000
          • Сертификат ФСБ России на СКЗИ

          Решение

          Ниже представлена схема и описание компонентов.

          Для решения данной задачи был выбран продукт компании «Код Безопасности» «Континент TLS VPN», соответствующий всем вышеперечисленным условиям.

          Стоит отметить, что на момент проектирования это был единственный сертифицированный ПАК, осуществляющий шифрование по ГОСТ с использованием протокола TLS. В дальнейшем ожидается получение сертификата ПАК ViPNet TLS от «ИнфоТеКС».

          Основные элементы системы:

          • СКЗИ «Континент TLS VPN Клиент», версия 1.2.1068
          • Балансировщик нагрузки, Netscaler v12
          • СКЗИ «Континент TLS VPN Сервер», версия 1.2.1.61

          Описание элементов

          СКЗИ «Континент TLS VPN Клиент» — TLS-клиент представляет собой устанавливаемое на компьютере удаленного пользователя программное обеспечение, функционирующее совместно с TLS-сервером. TLS-клиент предназначен для реализации защищенного доступа удаленных пользователей к веб-ресурсам корпоративной сети по каналам связи общих сетей передачи данных.

          NetScaler — это контроллер доставки приложений, обеспечивающий гибкую доставку сервисов для традиционных, контейнерных и микросервисных приложений из центра обработки данных или любого облака. Балансировщик на основе Citrix Netscaler раскидывает сессии HTTPS между кластерами серверов TLS. Ответы от WEB сервера также собирает балансировщик.

          СКЗИ «Континент TLS VPN Сервер» — сервер предназначен для обеспечения защищенного доступа удаленных пользователей к защищаемым ресурсам.

          Порядок настройки

          1. Инициализируем TLS-сервер, производим настройку кластера, создаем запросы на сертификаты для работы TLS-сервера (корневой сертификат УЦ, сертификат сервера, сертификат для удаленного управления сервером, сертификат администратора и CRL).
          2. Первоначальная настройка TLS-серверов, импорт сертификатов.
          3. Проверка подключения к защищаемому ресурсу удаленного клиента с помощью TLS VPN Клиента.

          Инициализация

          Первая сложность возникла при запуске TLS-серверов. Появилось сообщение «No controller found». Совместно со специалистами компании «Код Безопасности» была выявлена довольно нестандартная проблема. Оказалось, ПАК отказался работать в ЦОДе с мониторами фирмы BenQ, а с любыми другими работал без проблем.

          Первоначальная настройка несложная и состоит в основном из определения ip-адреса и шлюза, а также имени устройства. Плюс создание, экспорт/импорт мастер-ключа.

          Заказчик в проекте использовал два сервера TLS. Оба сервера TLS должны работать в состоянии active-active.

          На одном сервере создается мастер-ключ, на другие серверы он импортируется. Мастер-ключ (ключ кластера) предназначен для решения следующих задач:

          • шифрование закрытых ключей серверных сертификатов;
          • организация защищенного соединения между элементами кластера.

          Импорт сертификатов

          Далее необходимо подключиться к серверу TLS по веб-морде, определить защищаемый ресурс и установить сертификаты для работы серверов (корневой сертификат УЦ, сертификат сервера, сертификат для удаленного управления сервером, сертификат администратора и CRL). Все эти сертификаты должны быть выданы одним УЦ. Для первого подключения по веб-морде нужно использовать КриптоПро CSP, а не «Код Безопасности CSP. При последующих сменах сертификатов, лучше сначала удалить корневой сертификат УЦ, а после менять другие сертификаты.

          Из-за невозможности сразу сделать боевые сертификаты было принято решение проверить работоспособность кластера TLS серверов на сертификатах, сделанных на тестовом УЦ Криптопро.

          На TLS-серверах есть возможность отключить аутентификацию пользователя. При этом защищенный канал будет создаваться при наличии клиента TLS и установленных сертификатов (корневого, сертификата сервера и CRL), т.е. личного сертификата для работы не требуется.

          Проверка подключения

          Изначально возникли проблемы с подключением по защищенному каналу к защищаемому ресурсу с помощью сертифицированной версии TLS-клиента от «Кода Безопасности». Получилось подключиться к защищаемому ресурсу с использованием TLS-клиента 2.0 от «Кода Безопасности», но данная версия пока находится на этапе сертификации. Проблема заключалась в неправильном редиректе на защищаемом ресурсе, который не проходил, потому что TLS-серверы не совсем корректно отрабатывали данное правило в релизной версии прошивки. Для решения проблемы необходимо было перепрошивать оба сервера TLS и поднимать сделанные бекапы.

          Порядок перепрошивки следующий:

          • сохраняем базу сервера (чтобы не создавать все по новой)
          • заливаем образ на Flash, используя программу flashGUI
          • входим в БИОС, предварительно в настройках ПАК «Соболь» устанавливаем время срабатывания сторожевого таймера, достаточное для внесения изменения настроек в БИОС
          • изменяем порядок загрузки, устанавливаем загрузку с Flash, сохраняем
          • при старте будет сообщение об изменении разделов, соглашаемся
          • в процессе установки выбираем отладочную версию и используемую вами платформу
          • перезагрузка, входим в БИОС, меняем порядок установки, соглашаемся с изменением
          • настраиваем сервер локально
          • подключаемся к серверу
          • загружаем базу

          После проделанных операций заработал сертифицированный TLS-клиент от «Кода Безопасности», на работе которого в системе настаивал заказчик. Но вот в чем фокус, он не заработал в браузере Chrome, работа в котором была просто необходима заказчику, можно даже сказать, что все затачивалось под него. Был проведен еще ряд тестирований совместно с поддержкой «Кода Безопасности», и, как результат, заработало все на версии чуть более новой (1.2.1073), чем сертифицированная (1.2.1068).

          Кстати, еще один из подводных камней при настройке любого клиента TLS от «Кода Безопасности» (кроме версии 2.0) – они не работают на виртуальных машинах. При тестировании часто использовались виртуальные машины, это еще немного усложнило процесс диагностики.

          Выводы

          В конце хотелось бы подытожить. Продукт несложный в настройке и разворачивании. Есть еще над чем работать разработчикам, это касается и сервера, и клиента. Но в целом продукт рабочий и работает в кластерной конфигурации. Система на текущий момент работает без сбоев и держит нагрузку.

          Надеемся, что наши набитые шишки помогут вам быстрее и эффективнее разворачивать «Континент TLS».

          Статью подготовил Илья Платонов.

          • информационная безопасность
          • криптография
          • средства защиты информации

          Источник: habr.com

          Рейтинг
          ( Пока оценок нет )
          Комментарии0
          Загрузка ...
          Похожие материалы
          EFT-Soft.ru