Тест контроля целостности не пройден в Континент АП 3.7

HKEY_LOCAL_MACHINESOFTWAREMicrosoftCryptographyOIDEncodingType 1CryptDllImportPublicKeyInfoEx1.2.643.7.1.1.1.1  HKEY_LOCAL_MACHINESOFTWAREWow6432NodeMicrosoftCryptographyOIDEncodingType 1CryptDllImportPublicKeyInfoEx1.2.643.7.1.1.1.1

Continent_AP_3.7.7.651.exe /S /NR /LANG=RU /DO=INSTALL /NMSE

Continent_AP_3.7.7.651.exe /S /NR /LANG=RU /DO=INSTALL /NMSE /NCSP

C:UsersAdmin>ping 3900-sd-01.roskazna.ru

Обмен пакетами с ufk72-sd.roskazna.ru [94.25.26.50] с 32 байтами данных: Ответ от 94.25.26.50: число байт=32 время=94мс TTL=51

@echo off  echo  Установка Континент-АП без МСЭ и провайдера КБ  echo  ----------------------------------------------  pause  Continent_AP_3.7.5.514.exe /S /NR /LANG=RU /DO=INSTALL /NMSE /NCSP  echo  ----------------------------------------------  pause  exit

Continent_AP_3.7.7.651.exe /S /NR /LANG=RU /DO=INSTALL /NMSE

Поднятие криптошлюза на базе Континент-АП 3.6 и PfSense

21 июля 2016 kna

Как-то нашей больнице понадобилось создать защищённое соединение с МИАЦ, да не просто подключить один компьютер на пару часов, а так чтобы были подключены все компьютеры сети всегда. Для решения этой задачи соседние больницы уже давно используют аппаратный криптошлюз версии 3.6 и вообще не парятся, но сейчас он снят с производства и его нигде не достать, а новая версия не совместима с версией 3.6. Предлагают единственный выход покупать на каждого пользователя отдельно КРИПТО-ПРО + Континент АП 3.6 и получать целую кучу сертификатов. Это совсем не дело и я решил попробовать расшарить соединение Континента-АП, установленного на одном компьютере, т.е. создать как-бы криптошлюз на базе Континент-АП 3.6.

Вопреки некоторым сообщениям что это невозможно, не поддерживается и прочее, у меня всё-таки получилось. Делюсь:

Имеем системный блок с установленной Windows XP.

Устанавливаем КРИПТО-ПРО_3.6_R4, вводим заранее приобретенный лицензионный ключ.

Устанавливаем Континент АП 3.6.19.47080 с межсетевым экраном.

Установка защищённого канала связи с КГБУЗ «МИАЦ» МЗ ХК посредствам Континент-АП 3.6

Далее я буду указывать реальные IP и доменные адреса, использующиеся в настройке. Информация актуальна на 21 июля 2016 года.

При установке Континента-АП вводим IP-адрес сервера доступа: 188.72.75.210

На этот раз мне не понадобилось доустанавливать .NET для нормальной работы Контенента-АП, хотя в прошлый раз без этого он бил пакеты

Жмём кнопку Готово и перезагружаемся.

Теперь нужно добавить два сертификата: root.p7b и user.cer.

У меня имеется носитель JaCARTA с помощью которого будет проходить подключение. По вопросу получения файлов root.p7b и user.cer нужно обратиться в техподержку МИАЦ 8(4212)910-505. Запрос на сертификат делается из меню Континента-АП Сертификаты -> Создать запрос на пользовательский сертификат…

Заходим в меню Континента-АП: Сертификаты -> Установить сертификат пользователя, указываем файл user.cer. Выбираем ключевой контейнер на носителе JaCARTA, с помощью которого был сделан запрос на получение сертификата. Если всё верно, увидите сообщение:

Затем опять же в меню нажимаем Установить/разорвать соединение -> Установить соединение Континент-АП. Выбираем только что установленный сертификат, ставим галочку Всегда использовать данный сертификат при подключении.

При появлении сообщения

нажимаем Да.

Ещё на каком-то этапе Континент-АП попросит ввести файл root.p7b. Я его уже раньше вводил, поэтому сейчас он меня об этом не просил.

По итогу значок Континента-АП должен посинеть, что символизирует успешную установку соединения.

Как обойтись без использования съемного носителя и записать сертификат в реестр описано тут

Первый этап завершен, результатом явилось открытие в браузере адресов:

• http://192.168.10.8/ — ЕИС Демография
• http://10.30.1.16/ — Видеоматериалы совещаний

Раздача соединения Континент-АП 3.6

Лучше сделать IP-адрес компьютера статическим, например, 192.168.0.251. Так как компьютеры у меня получают адреса по DHCP, то я, пожалуй, настрою для данного MAC-адреса сетевой карты свой заразервированный IP. Для этого захожу в PfSense в меню Status -> DHCP leases, нахожу этот компьютер по настоящему IP-адресу

и переназначаю его

Жмём Save, затем Apply Changes.

Чтобы изменения вступили в силу нужно разорвать и вновь установить соединение на компьютере с Континентом-АП.

После этого заходим в Панель управления -> Сетевые подключения -> Континент-АП -> Свойства -> вкладка Дополнительно

В разделе Общий доступ к подключению к Интернету устанавливаем галочку напротив Разрешить другим пользователям сети использовать подключение к Интернету данного компьютера. Остальные две галочки должны быть сняты.

Нажимаем OK.

Теперь заходим в Панель управления -> Сетевые подключения -> Подключение по локальной сети -> Свойства -> свойства Протокола Интернета (TCP/IP)

Видим что без какого-либо предупреждения IP-адрес стал совершенно другим, да ещё и статическим! Исправляем это недоразумение на получение IP и DNS автоматически.

Если этого не сделать, то Континент-АП напрочь откажется подключаться, выдавая ошибку 619: Не удаётся подключиться к удаленному компьютеру

Пробуем подключться с помощью Континент-АП. Если значок посинел, и в браузере открываются адреса http://192.168.10.8/ и http://10.30.1.16/, то всё прошло успешно.

Однако, на других компьютерах сети эти адреса не открываются. Всё потому что нужно задать маршрут чтобы при обращении компьютеров к сетям 192.168.10.0/24 и 10.30.0.0/16 соединение шло не через прокси, а через шлюз Континента-АП с IP-адресом 192.168.0.251.

Для этого заходим в PfSense -> System -> Routing и создаём новый шлюз

Указываем:

• Interface: LAN
• Name: Любое информативное название
• Gateway: IP-адрес нашего компьютера с Континент-АП

Нажимаем Save, затем Apply Changes.

Далее заходим во вкладку Routes и создаём два маршрута (192.168.10.0/24 и 10.30.0.0/16 через шлюз 192.168.0.251):

Не забываем нажимать Apply Changes.

Таким образом, мы создали правила маршрутизации, однако, маршрутизация получится ассиметричная и RDP-соединение будет постоянно слетать. Для этого идем в System -> Advanced -> Firewall and NAT и устанавливаем галочку Bypass firewall rules for traffic on the same interface

Теперь с любого компьютера в сети сайты

• http://192.168.10.8/ — ЕИС Демография
• http://10.30.1.16/ — Видеоматериалы совещаний

должны быть доступны.

Добавление DNS сервера МИАЦ

Для обращения к ресурсам КГБУЗ МИАЦ по именам, нужно добавить их DNS сервер в настройки pfSense.

Для начала попробуем его пропинговать: ping 192.168.10.10

Если в ответ получаем что-то вроде Превышен срок жизни (TTL) при передаче пакета., то звоним в МИАЦ по телефону 8(4212)910-191 и говорим что не пингуется ваш DNS-сервер. Они должны добавить какое-то правило для Вашего сертификата и пинг пойдёт.

Теперь заходим в pfSense -> Services ->DNS Resolver и в самом конце в разделе Domain Overrides создаём новую запись:

• Domain: medkhv.ru  -домен МИАЦа
• IP address: 192.168.10.10  -адрес DNS-сервера в МИАЦ

Для проверки заходим в pfSense -> Diagnostics -> DNS Lookup в пробуем medts.medkhv.ru

Ответ должен быть примерно такой (иногда срабатывает не с первого раза):

Теоретически должно работать RDP-соединение с медиалогом на всех компьютерах.

Если не работает

То запускаем cmd и выполняем команду nslookup medts.medkhv.ru:

Если выдаёт

то значит, что он пытается разрешить имя с помощью DNS-сервера 192.168.0.250 (у меня это DNS контроллера домена). Поэтому нужно сделать перенаправление на прокси сервер pfSense 192.168.0.254, который, в свою очередь, перенаправит на МИАЦевский DNS 192.168.10.10.

Контроллер домена у меня построен на SerNet Samba 4, и для настройки форвардинга нужно редактировать файл smb.conf:

Открываем консоль, идём в папку /opt/samba/etc и выполняем команду nano smb.conf

дописываем строку в раздел [global]: dns forwarder = 192.168.0.254 и сохраняемся. Перезагружаем контроллер домена. Теперь nslookup medts.medkhv.ru показывает следующее:

Не заслуживающий доверия ответ — это значит что DNS-сервер 192.168.0.250 не сам знает, а спросил у другого. Теперь должно всё работать.

P.S.: Ещё пара команд

(Просмотрено 3 875 раз, 6 раз за сегодня) Вы можете оставить комментарий, или Трекбэк с вашего сайта.

РУКОВОДСТВО ПОЛЬЗОВАТЕЛЯ

по установке и настройке

СКЗИ «Континент-АП»

версии 3.7.5.474

В  В  В  В  В  В  В  В  В  В  В  В  В  В  В  В  В  В  В  В  В  В  В  В 

Ограничения на поддержку аппаратных и программных средств

СКЗИ «Континент-АП» версии 3.7.5 (далее — АП) имеет следующие ограничения на поддержку аппаратных и программных средств:

Перед установкой АП установите ПО КриптоПро CSP 4.0.

Установка СКЗИ «Континент-АП»

1. Открыть папку с дистрибутивом «Континента-АП»

2. Запустить программу установки СКЗИ «Континент-АП» ts_setup. exe (рис.1).

рис.1

3. В появившемся окне нажать «Далее» (рис.2).

В  рис.2

4. Как показано на (рис.3), принять условия лицензионного соглашения и нажать «Далее».

В  рис.3

5. В появившемся окне необходимо исключить установку Брандмауэра (снять метку) и нажать «Далее» (рис.4).

В  рис. 4

6. В окне (рис.5) нажать кнопку далее.В 

В  рис.5

7. ВВ  открывшемсяВ  окнеВ  необходимоВ  ввестиВ  IP-адресВ  сервераВ  доступа на выбор (не через запятую) – 0200-SD-01.roskazna. ru,В  0200-SD-02.roskazna. ru или 0200-SD-03.roskazna. ru, как показано на (рис.7), и нажать «Далее».

В  рис.7

9. Дождаться завершения установки программы (рис.8) и нажать «Далее».

В  рис.8

10. Нажать «Готово» (рис.9) и перезагрузить компьютер.

В  рис.9

11. После перезагрузки компьютера появляется окно настройки биологического датчика случайных чисел (рис.10). Необходимо нажимать мышью в центр мишеней до завершения процесса настройки.

В  рис.10

12. По окончанию процесса настройки биологического датчика случайных чисел в правой нижней части монитора появится значок Программы управления Континент АП (рис.11).

В  рис.11

13. После этого для проверки настроек соединения с сервером доступа необходимо нажать правой кнопкой мыши на значок Континент АП в правой нижней части экрана и выбрать «Настройка соединения -> Континент АП

В  рис.12

14. В появившемся окне перепроверяем введенные на этапе установки программы сведения по адресу сервера доступа Континент (см. п.7)

В  рис. 14

16. В открывшемся окне выбрать «Добавить» в «Доверенные центры сертификации» (рис. 15).

В  рис. 15В 

17. В появившемся окне необходимо в правом нижнем углу выбрать вариант «Все файлы» и перейти на диск, на котором находятся транспортный ключ для соединения по Континент АП и выданные к нему сертификаты. После этого необходимо выбрать файл Root. p7b (рис.16) и нажать «Открыть».

рис. 16

Данный файл «Root. p7b» предварительно должен быть установлен в Доверенные корневые центры сертификации хранилища Локального компьютера.

18. После выполнения указанных мероприятий в графе «Доверенные центры сертификации» должна появиться запись о корневом сертификате. Варианты: CA-2018, Root 2017, УФК по РБ 2018 (рис. 17).

Если запись не появляется в связи с «Вылетом программы», переходим к следующему этапу

В  рис. 17

19. Предварительно сертификат «User. cer» необходимо установить через КриптоПро в хранилище «Личные» согласно рекомендациям по установке личного сертификата, размещенным на сайте УФК по Республике Бурятия, и, на всякий случай, вручную добавить сертификат в «Личные»

В окне Континент АП «Настройка аутентификации», отмечаем запись «Использовать сертификат пользователя» и (рис.18)

В  рис.18

20. После этого из выпадающего списка выбираем сертификат, выданный для соединения через Континент-АП (в свойствах издателем могут быть CA-2018, Root 2017, УФК по РБ 2018), и нажимаем «Открыть» (рис.19).

В  рис.19

21. Следующим этапом будет являться проверка установления соединения. Необходимо нажать правой кнопкой мыши на значок Континент АП в правой нижней части экрана и выбрать «Установить/разорвать соединение -> Установить соединение Континент АП (рис.20).

В  рис.20

22 При успешном соединении должно появиться всплывающее окно с предложением добавить сервер доступа в список разрешенных. На предложение соглашаемся (рис.21).

В  рис.21

23. Также может появиться сообщение об определении расположения сети. Необходимо выбрать «Сеть предприятия»В  (рис.22).

В  рис.22

24. После изменения расположения сети закрываем окно через кнопку «Закрыть» (рис. 23).

рис.23

25. Свидетельством об успешном соединении является изменение цвета значка Континент АП с серого на сине-зеленый (рис.24).

рис.24

26. После установления соединения пробуем войти на ресурс СУФД Управления через браузер с вводом в адресную строку браузера адреса СУФД 10.2.200.12:28081В  (рис.25).

В  рис.25

Соединение установлено, можно работать в СУФД!

Для добавления IP-адреса сервера доступа необходимо запустить приложение под правами Администратора. Для этого нужно сначала выйти из него, а потом открыть его местоположение (C:Program FilesSecurity CodeTerminal Stationvpn), нажать правой клавишей мыши на файл AP_Mgr. exe и выбрать «Запуск от имени администратора» (Рис. №25).

Рис. №25

Для добавления нового соединения необходимо нажать правой кнопкой мыши на значок Континент АП в правой нижней части экрана и выбрать Создать соединение -> Ручная настройка….

Рис. №26

В появившемся окне вводим наименование соединения и дополнительный адрес сервера доступа (адреса указаны в пункте 7 настоящих рекомендаций) и нажимаем на кнопку «Создать»

Рис №27

Подтверждением создания нового соединения будет появление окна со следующим содержимым

Рис. №28

Проверяем наличие нового соединения, нажав правой кнопкой мыши на значок Континент АП в правой нижней части экрана и выбрав «Установить/разорвать соединение»

Рис. №29

Отсутствие сети. Решение проблемы

В случае, если после установки Континент АП пропадает доступ к сети – нет возможности зайти в сетевые папки, отсутствует доступ в интернет,В  необходимо осуществить следующие настройки:

Через панель управления заходим в Центр управления сетями и общим доступом (скриншот актуален для Windows 7 и Windows 10)

Рис. 30

Далее выбираем в левой стороне появившегося окна Центра управления сетями и общим доступом «Изменение параметров адаптера»

Рис.31

Выбираем «Подключение по локальной сети» (если используется кабельное соединение) или «Беспроводное сетевое соединение» (если используется беспроводное подключение.

Рис.32

В свойствах сетевого соединения деактивируем (снимает галку) с параметра «Continent 3 MSE Filter и сохраняемся через кнопку «ОК».

Рис.33

После этого соединение с сетью и интернетом должно появиться.

Протоколы и порты

В  Если на пути зашифрованного трафика, передаваемого между абонентским пунктом и сервером доступа находятся межсетевые экраны или другое оборудование, осуществляющее фильтрацию IP-пакетов, необходимо создать для них правила, разрешающие прохождение IP-пакетов в обоих направлениях по указанным в таблице протоколам и портам:

Важно!

При наличии в организации межсетевого экрана или прокси-сервера в список разрешенных адресов соединений вносятся IP-адреса серверов доступа АПКШ «Континент», полученныхВ  на основании данных команды «ping (адрес сервера доступа)

Например: ping 0200-SD-01.roskazna. ru

Адреса сервера доступа УФК: 0200-SD-01.roskazna. ru,В  0200-SD-02.roskazna. ru, 0200-SD-03.roskazna. ru

</span>Пожаловаться<center>Подпишитесь на рассылку:</center><center>

Проекты по теме:

<center> Поиск</center><center> Вики</center><center> Архив</center><center> Мир</center><center> Наука</center>Используемые источники:

• https://sedkazna.ru/pro-ustanovku-kontinent-ap-versii-3-7
• https://knasys.ru/поднятие-криптошлюза-на-базе-контине/
• https://pandia.ru/text/82/561/95965.php