Vipnet ошибка при передаче управления ос

Сбор диагностики установки

По просьбе специалиста ГАУ РК «ЦИТ», заархивируйте и пошлите на указанный им ящик следующие журналы (какие есть — некоторых может не быть):

• C:ProgramDataInfoTeCSInstallerDataViPNet ClientLogs — все файлы из этой папки
• C:ProgramDataInfoTeCSInstallerDataViPNet CSPLogs — все файлы из этой папки
• C:ProgramDataInfoTeCSInstallerDataDrvInstall — все файлы из этой папки
• C:ProgramDataInfoTeCSInstallerDataSetupExtractor — все файлы из этой папки

Решение типовых проблем

Решения в таблицах ниже стоит пробовать одно за другим: не все сразу, а по-порядку. Мы расположили их от менее сложного к более сложному.

Скачивание ключевой

Обновление — общее

Если у файла программы иконка не похожа на иконку программы (а просто как белая бумажка), необходимо переименовать файл, добавив в конце .exe, Было: vipnet-update-v4, надо изменить на vipnet-update-v4.exe

Программа обновления ViPNet — работа кнопки Установить ViPNet

Отключена служба Брандмауэр Windows

При этом в логе C:ProgramDataInfoTeCSInstallerDataViPNet ClientLogsSetup.msi_XXX можно увидеть строчку вида

Failed to start service MpsSvc. Error code = 1058, (0x422) — Указанная служба не может быть запущена, поскольку она отключена или все связанные с ней устройства отключены.

Работает только на лицензионной Windows!

Установите все последние обновления ОС

Проблемы с установкой драйвера ViPNet (что-то, вероятнее всего драйвера, блокирует изменение одной ветки реестра)

Также эту проблему (0x80070005) можно увидеть в логе C:ProgramDataInfoTeCSInstallerDataDrvInstallInstallIpLirim.log :

2017/11/17 14:59:58 — Installing component «IplirLwf»
2017/11/17 15:00:01 — INetCfgClassSetup::Install successful
2017/11/17 15:00:01 — Successfully installed, apply the changes
2017/11/17 15:00:01 — Operation failed with error 0x80070005.

Установку ViPNet необходимо производить в безопасном режиме с загрузкой сетевых драйверов (решение для Windows 7):

Источник

Не удалось установить VipNet Client

С переходом на версию ViPNet Client 4.3 разработчиками были внесены изменения в состав программного обеспечения с целью повышения качества защиты. Однако, пользователи сталкиваются с проблемами, в частности, связанными с установкой ViPNet.

Не удалось установить ViPNet Client 4.3

Не устанавливается ViPNet что делать

В отличие от предыдущей версии, теперь, помимо самого клиента, пользователю необходимо установить криптопровайдер ViPNet CSP. Поэтому одной из причин, почему не устанавливается ViPNet Client, может служить отсутствие предустановленного ViPNet CSP. Существует версия ViPNet CSP как для 32-х, так и 64-разрядных систем Windows. Загрузить ее можно с официального сайта компании ИнфоТеКС.

Впрочем, эта ошибка имеет место и при установке ViPNet CSP. Если проблем не возникало, для последующей установки ViPNet Client 4.3, компьютер необходимо перезагрузить.

Не удалось установить ViPNet Client как исправить

Особенностью установки ViPNet Client 4.3 явился тот факт, что, в отличие от предыдущей версии ViPNet Client 3.2, которая в процессе инсталляции настоятельно требовала отключения встроенного в Windows брандмауэра, ViPNet Client 4.3 наоборот, просит этот брандмауэр включить.

Это не всегда так, но такие случаи имеются. И если вы столкнулись с проблемой, при которой в момент установки всплывает сообщение Не удалось установить ViPNet Client, тогда эта статья поможет вам избавиться от ошибки и без проблем установить ViPNet.

Все, что нужно сделать — это запустить Брандмауэр Windows. Если он отключен.

1 Зайдите в Службы. Для этого кликните правой кнопкой Мой компьютер → Управление.

2 В списке служб найдите Брандмауэр Windows и проверьте его состояние: Отключена / Работает.

3 Проверьте параметры запуска. Дважды щелкните по службе для того, чтобы открыть ее свойства. В поле Тип запуска установите Автоматический запуск. Нажмите Применить.

4 Если брандмауэр отключен, его необходимо запустить. Для этого нажмите Запустить. Если кнопка запуска неактивна → нажмите Применить.

5 И заключительным этапом будет открыть Панель управления → Система и безопасность → Брандмауэр Windows. Включите его → проставьте где нужно флажки, нажмите Ок. После этого можно попробовать установить ViPNet.

Не могу установить ViPNet

Не является исключением наличие активного антивирусного программного обеспечения, которое также может вызывать проблемы в установке ViPNet Client. На время установки отключите антивирус либо вовсе удалите его. Обязательно перезагрузите компьютер.

Источник

Почему может не запускаться випнет на пк

Почему может не запускаться випнет на пк

АСИОУ — автоматизированная система информационного обеспечения управления образовательным процессом

АСИОУ — автоматизированная система информационного обеспечения управления образовательным процессом › Поддержка АСИОУ › Вопросы по работе VipNet (защищенный канал связи)

Vipnet клиент и Windows 10

• Голосов: 0 — Средняя оценка: 0

Ruslan
Administrator

Обсуждаем все в данной теме

Недавно была установлена проблема с работой VipNet клиента на Windows 10. Проблема проявляется в следующем:
1) Уже установленный клиент после обновления Windows на релиз 1709 или новее работает некорректно — перестает устанавливаться защищенное соединение, может лочиться интернет при работающем клиенте
2) Невозможно установить VipNet клиент (на релизе 1709 и новее) – выдает ошибку VipNet CSP

В обоих случаях рекомендация одна – установить клиент, используя ниже приведенную инструкцию (в первом случае, соответственно, переустановить по инструкции)
1) Поставить отдельно программу Vipnet CSP 4.2.10 (или новее, если такая есть у производителя). В настоящее время актуальна указанная версия
2) Установить VipNet клиент, используя уже его установочный файл (в этом случае в рамках установки VipNet клиента модуль CSP уже не ставится, т.к. он будет уже установлен на шаге 1)

ViPNet не работает, не запускается, нет доступа, ошибка

В предыдущей статье мы рассказывали о том, как установить и настроить ViPNet Client на компьютер. Здесь поговорим о том, что делать, если после установки, настройки, и даже после длительной нормальной работы с ViPNet возникли проблемы. не запускается, отсутствует, другие ошибки.

ViPNet не работает

ViPNet не запускается

Иногда пользователи ViPNet Client сталкиваются с проблемой, при которой ViPNet не работает, не запускается, соответственно к сети нет доступа. При попытке запустить программу всплывает окно с предложением войти в режим администратора либо выйти из программы. Что делать в этом случае, как возобновить работу приложения!?

Возможно существуют и другие решения, более простые, например, при возникновении ошибки IpLirControl служба не найдена.

А далее, подробно рассмотрим каждый этап по восстановлению работоспособности ViPNet с помощью его переустановки.

Установка ViPNet

СКАЧАТЬ VIPNET CSP

СКАЧАТЬ VIPNET CLIENT 4.3

1. Перед тем, как продолжить, необходимо убедиться, что у вас под рукой имеется копия ПО ViPNet Client, а также ключ доступа (ViPNet), который представляет собой специальный файл с расширением .dst и пароль к дистрибутиву. Если все в наличии, начинаем…

2. Закройте ViPNet Client (Монитор) и удалите его с компьютера. Да, в данном случае поможет только переустановка. Для удаления лучше всего воспользоваться программой Uninstall Tool, которая начисто удаляет программы, для того, чтобы в будущем не возникало проблем с их установкой и дальнейшей работой. После удаления обязательно перезагрузите компьютер. Собственно система сама вас об этом попросит.

3. Следующим шагом, после перезагрузки Windows запускаем установочный файл ПО ViPNet Client и начинаем его установку.

4. Принимаем Лицензионное соглашение и нажимаем кнопку Далее.

5. Вводим информацию о пользователе, нажимаем Далее (как правило менять ничего не нужно, просто нажать Далее).

6. Выбираем папку для установки программы (также, ничего не меняем, если нет необходимости).

7. Тип установки оставляем Типичная.

8. Решаем Создавать ярлыки на Рабочем столе или нет.

9. Нажимаем Готово для начала процесса установки.

10. В некоторых случаях может появиться окно с предупреждением о включенном брандмауэре. Согласитесь с его отключением и нажмите Да.

11. Начинается установка ViPNet Client.

12. По завершении установки нажмите Ок (галочку можно снять).

13. После установки программы система автоматически предложит перезапустить систему. Перезагрузите Windows.

При нормальных условиях, после перезагрузки компьютера, ViPNet Монитор запустится автоматически. Однако для полноценной работы его необходимо активировать с помощью специального ключа. Дальше останется лишь настроить его для работы в конкретной сети. Рассмотрим подробнее…

Настройка ViPNet

14. Итак, компьютер загружен, появилось небольшое окошко ViPNet. Просто нажмите Ок. Если на рабочем столе есть ярлык ViPNet Монитора запустите его, после чего в правом нижнем углу в меню Настройка в выпадающем списке выберите Первичная инициализация.

15. На приветствие Мастера инициализации нажмите Далее.

16. Затем необходимо указать путь к ключевому файлу. Если он на USB-флешке, значит указывайте флешку. Просто нажмите Обзор и найдите файл на компьютере либо внешнем устройстве. Жмите Далее.

17. Следующий пункт можно пропустить, нажав Далее.

18. В следующем шаге введите пароль данного ключевого файла. Пароль в обязательном порядке у вас должен быть. Если по каким-либо причинам пароль отсутствует, помочь вам сможет только ваш Удостоверяющий центр либо поставщик дистрибутива ViPNet. Итак, ввели пароль — нажали Далее.

19. Место хранения адресных справочников — без изменений — Далее.

20. Каталог для сохранения набора резервных персональных ключей также оставляем без изменений — Далее.

21. В следующем окне Мастер сообщает нам, что готов к проведению инициализации, если все в порядке жмите Далее.

22. В завершении нажмите Готово, при этом оставив флажок Запустить приложение включенным.

23. Вышеуказанных действий достаточно для нормальной работы ViPNet Client. В дополнение расскажем о некоторых тонких настройках программы для более удобной работы пользователя.

24. В меню Режимы в разделе Режим обработки открытых IP-пакетов установите 4 режим (Пропускать все соединения), ниже в разделе При старте программы… в выпадающем списке и также выберите Пропускать все соединения. Нажмите Применить, чтобы изменения вступили в силу.

25. И напоследок, для наиболее комфортной работы изменим пароль, который был первоначально установлен по умолчанию. Не нужно опасаться последствий данных действий, главное — всегда храните ваш стандартный файл с паролем в надежном и доступном только для вас месте.

26. В меню Сервис выберите Настройка параметров безопасности. В открывшемся окне во вкладке Пароль установите Тип пароля — Собственный и нажмите Сменить пароль.

27. Придумайте любой пароль (7 цифр, например), нажмите Ок. Нажатием Применить внесите изменения в параметры безопасности ViPNet Client — Ок. При запуске компьютера необходимо вводить этот пароль ViPNet.

Также, для удобства работы на компьютере, чтобы в будущем не всплывали различные окна с предложением Разрешить или Запретить работу программ с сетью можно отключить Контроль приложений ViPNet.

випнет блокирует интернет что делать

Все узлы недоступны, или нет сети при использовании VipNet Client

Данная проблема как правило возникает по вине самого пользователя, особенно при наличии у него прав администратора, либо неверным решением на запрос контроля приложений. Как правило даже особая диагностика тут не нужна, но мы её проведем.

Что вообще такое этот VipNet Client? Это одновременно VPN, Firewall и криптопровайдер. Последний как правило вызывает проблемы только при взаимодействии с КриптоПро csp, а проблемы описанные в названии как правило связаны с функцией сетевого экрана и виртуальной сети.

Нет связи с ресурсами компании

Предположим, у нас есть веб-сайт, который открывается только при наличии VPN подключения через Vipnet клиент. Данный веб-сайт вчера открывался, а сегодня «внезапно» перестал. Чтож, идём в пуск — Vipnet — vipnet client — Монитор.

При открытии VipNet монитора видим, что все узлы у нас серые, а при проверке имеют статус «Недоступен». Защищённые ресурсы компании, находящиеся в пределах VPN не открываются, однако интернет у нас на месте. Для диагностики проблемы идём в журнал IP-пакетов, устанавливаем желаемый промежуток времени и жмём поиск:

В логах причина вполне очевидна — «Слишком большая разница во времени».

Нет интернета при использовании VipNet Client

Данная проблема конечно гораздо глобальнее, ведь интернета как и локальной сети в данном случае нет. А виноват опять пользователь. Если при использовании VipNet пропал интернет, скорее всего был заблокирован Svсhost.exe, отвечающий за выход АРМ в сеть. Процесс блокировки скорее всего выглядел так: Контроль приложений Vipnet вызвал у пользователя окно о том, что приложение Svchost.exe изменено и можно ли ему разрешить выход в сеть. Пользователь не глядя ткнул на запрет и вот результат. Проверить заблокирован ли Svchost.exe можно вызвав контроль приложений во вкладке приложения.

Ищем в списке наш процесс и удостоверяемся в том что он не заблокирован. В моем случае всё норм, у вас будет крест напротив процесса.

Чтобы разблокировать данный процесс, понадобится вход в режим администратора, а следовательно, пароль администратора. Звоните администратору сети чтобы узнать был ли ранее задан пароль администратора Vipnet и не истек ли его срок годности.

А если истек?

В случае истечения срока действия админского пароля Vipnet Client скорее всего придётся сносить т.к. администратор сети не сможет выслать вам новый (сети же нет). Однако если вам повезло и администратор сети находится от вас на расстоянии вытянутой руки, пусть перевыпустит и переустановит DST данного узла на новый, но проще конечно переустановить Vipnet Client, не забыв при этом вручную удалить папку d_station по пути установки клиента. По-умолчанию путь C:Program Files (x86)InfoTeCSViPNet Clientd_station. Если вы не зачистите папку d_station, после переустановки клиент снова подхватит правила из контроля приложений и интернета снова не будет. Естественно прежде чем переустанавливать VipNet Client не забудьте убедиться в том что у вас сохранился прежний DST файл. За это вам конечно надо дать по шапке т.к. это небезопасно. Если DST файла у вас нет, опять же звоните администратору сети с просьбой выпустить новый взамен старого.

Надеюсь данный пост был вам полезен, всего хорошего =)

Wiki по СКЗИ ViPNet

Известные проблемы и их решения

Для удаления ViPNet в данном случае вам необходимо выполнить следующее:

Некорректно удалилась предыдущая версия программы ViPNet

Недостаточно места на диске C

На диске C: должно быть не менее 10 ГБ свободного места. Удалите (перенесите) лишние файлы с этого диска и заного Установите ViPNet в программе обновления.

Отключена служба Брандмауэр Windows

При этом в логе C:ProgramDataInfoTeCSInstallerDataViPNet ClientLogsSetup.msi_XXX можно увидеть строчку вида

Проблемы с антивирусным ПО

Выключите антивирус полностью и попробуйте установить ViPNet снова, возможно потребуется удаление антивируса.

Отсутствуют обновления ОС

Работает только на лицензионной Windows!

Установите все последние обновления ОС

Проблемы с установкой драйвера ViPNet (что-то, вероятнее всего драйвера, блокирует изменение одной ветки реестра)

Также эту проблему (0x80070005) можно увидеть в логе C:ProgramDataInfoTeCSInstallerDataDrvInstallInstallIpLirim.log :

Установку ViPNet необходимо производить в безопасном режиме с загрузкой сетевых драйверов (решение для Windows 7):

Неверные настройка даты, времени и часового пояса.
Проверьте настройки даты и времени. Должно быть точное московское время. Максимальная допустимая раница 2 часа.

Не запустилась служба ViPNet.

Блокирует трафик от ViPNet клиента

Проблемы с ОС или сетевыми драйверами

Проблемы с самой ключевой информацией

Вы использовали старую ключевую при установке. ( Важно! Ключевая могла быть удалена или возвращена. Для уточнения подобной информации необходимо направить обращение в «ЦИТ») Необходимо переинициализировать клиент свежей ключевой. Ключевую можно запросить в ГАУ РК «ЦИТ» обычным обращением.

Ничего не помогло, вы ипользовали свежую ключевую, у вас в сети ничего не блокируется и на соседнем ПК все работает, а переустановка не помогает.

В данном случае потребуется переустановка ОС.

Проверьте наличие прокси. Необходимо добавить адрес системы в исключение.

Прокси нет, а в браузере вы видите ошибку DNS.

В данном случае велика вероятность того, что MFTP на данном узле сломан.
Для проверки на наличие ошибок необходимо сделать следующее:

Для проверки доступа в сеть Интернет можно отключить ViPNet клиент. Для этого необходимо:

Если при отключении защиты ViPNet, доступ в сеть Интернет есть, то фильтры открытой сети были настроены неверно или не настраивались. Необходимо настроить фильтры открытой сети на доступ в сеть Интернет.

Если при откллючении защиты ViPNet, Доступ в сеть Интернет не появился, значит проблема не связанна с клиентом ViPNet. Рекомендуется проверить сеть в организации и настройки сети на рабочем месте. Возможно стоит обновить сетевые драйвера.

Отключить обрабуотку прикладного протокола DNS.

Настройте фильтры открытой сети по инструкции.

Добавление фильтра открытой сети открывающего весь трафик.

Есть 2 способа устранить данную проблему.

О статусе письма можно узнать в справке приложения Деловая почта.

Не рекомендуется устанавливать ViPNet клиент и Континент АП на одно рабочее место. Это приведёт к конфликту между двумя программами и вы не сможете получить доступ к информационным системам.

Для получения доступа к системе СУФД через ViPNet, необходимо оформить обращение в ГАУ РК ЦИТ с просьбой открыть доступ и настроить рабочее место.

Необходимо будет настроить файл hosts. По умолчнию файл находится тут: «Системный диск:WindowsSystem32driversetc «. Файл hosts необходимо открыть в любом текстовом редакторе с правами администратора и добавить следующие строки:
10.136.7.36 s0700w03.ufk07.roskazna.local
10.136.7.36 sufd.s0700w03.ufk07.roskazna.local

Дистрибутивы ПО ViPNet

Обращения в ГАУ РК ЦИТ

В обращении необходимо указать следующую информацию:

Можно указать список из ID узлов ViPNet.

Важно! Убедитесь в том, что вы указываете именно ID узла (в 3 версии ViPNet клиента Номер АП), а не ID пользователя. Они очень похожи друг на друга. У некоторых узлов эти значения могут быть одинаковыми. Инструкцию Как узнать ID узла? можно посмотреть тут.

Важно! Убедитесь в том, что узел, который вы указываете в качестве получателя может получить письмо по Деловой почте. Он должен быть рабочим, а узел ЦИТ_S_B_Сыктывк_Коммун-я 8;Core доступен.

Пример:

Просьба выслать ключевую информацию для узла *ID узла (1)* по Деловой почте на узел *ID узла (2)*.

В обращении необходимо указать следующую информацию:

Важно! Узел, который вы указываете в качестве получателя может быть сломан, и обновления до узла не дойдут. В данном случае поможет только переинициализация ключей или переустановка клиента.

Пример:

В обращении необходимо указать следующую информацию:

Важно! Рекомендуется указывать как можно больше информации о системе. Если вы укажите только название информационной системы, есть вероятность того, что мы будем запрашивать у вас дополнительную информацию.

Важно! Мы можем открыть доступ только к системам, которые сопровождает ГАУ РК ЦИТ. Доступ к другим системам, например ФРДО, Промед или ТФОМС открывают администраторы соответствующих сетей. Со своей стороны ГАУ РК ЦИТ может только сделать связь между вашим узлом и узлом чужой сети, поэтому открытие доступа к таким системам может занять значительно больше времени.

Пример:

Просьба открыть доступ для узла *ID узла (1)* к Информация о системе(2).

ViPNet: как открыть доступ к компьютеру в сети?

Простое решение, как предоставить доступ к любому компьютеру, расположенному в вашей сети при наличии установленного ПО ViPNet Client.

В одной из статей мы рассказывали о том, что бывает, если собьется системное время или дата на компьютере. Речь, о ViPNet, который блокирует доступ ко всем устройствам в сети. В этой статье дадим пару советов, каким образом можно открыть доступ к отдельному компьютеру. При этом нет ошибок, ViPNet исправен, все работает в штатном режиме.

Компьютер с ViPNet не видит другие компьютеры

Чтобы ваш компьютер стал виден другим ПК в сети, он должен быть соответствующим образом подготовлен в Центре управления сетями и общим доступом, установлены необходимые параметры.

ПК должен входить в состав одной и той же рабочей группы.

Это стандартные требования, которые должны быть соблюдены. Что касается ViPNet Client — нужно внести некоторые изменения в настройки ПО.

Как в ViPNet открыть доступ к компьютеру?

Войдите в программу от имени администратора. Добавьте фильтры.

Фильтр защищенной сети

Фильтр открытой сети

Здесь добавьте 2 фильтра.

Фильтр 1

Фильтр 2

На другом компьютере также, добавьте фильтры. Если необходимо добавить несколько адресов, воспользуйтесь диапазоном IP-адресов либо по отдельности добавляйте фильтр для каждого компьютера. Например, таким образом вы сможете контролировать доступ к своему ПК для каждого отдельного компьютера.

ViPNet не работает, не запускается, нет доступа, ошибка

В предыдущей статье мы рассказывали о том, как установить и настроить ViPNet Client на компьютер. Здесь поговорим о том, что делать, если после установки, настройки, и даже после длительной нормальной работы с ViPNet возникли проблемы. не запускается, отсутствует, другие ошибки.

ViPNet не работает

ViPNet не запускается

Иногда пользователи ViPNet Client сталкиваются с проблемой, при которой ViPNet не работает, не запускается, соответственно к сети нет доступа. При попытке запустить программу всплывает окно с предложением войти в режим администратора либо выйти из программы. Что делать в этом случае, как возобновить работу приложения!?

Возможно существуют и другие решения, более простые, например, при возникновении ошибки IpLirControl служба не найдена.

А далее, подробно рассмотрим каждый этап по восстановлению работоспособности ViPNet с помощью его переустановки.

Установка ViPNet

СКАЧАТЬ VIPNET CSP

СКАЧАТЬ VIPNET CLIENT 4.3

1. Перед тем, как продолжить, необходимо убедиться, что у вас под рукой имеется копия ПО ViPNet Client, а также ключ доступа (ViPNet), который представляет собой специальный файл с расширением .dst и пароль к дистрибутиву. Если все в наличии, начинаем…

2. Закройте ViPNet Client (Монитор) и удалите его с компьютера. Да, в данном случае поможет только переустановка. Для удаления лучше всего воспользоваться программой Uninstall Tool, которая начисто удаляет программы, для того, чтобы в будущем не возникало проблем с их установкой и дальнейшей работой. После удаления обязательно перезагрузите компьютер. Собственно система сама вас об этом попросит.

3. Следующим шагом, после перезагрузки Windows запускаем установочный файл ПО ViPNet Client и начинаем его установку.

4. Принимаем Лицензионное соглашение и нажимаем кнопку Далее.

5. Вводим информацию о пользователе, нажимаем Далее (как правило менять ничего не нужно, просто нажать Далее).

6. Выбираем папку для установки программы (также, ничего не меняем, если нет необходимости).

7. Тип установки оставляем Типичная.

8. Решаем Создавать ярлыки на Рабочем столе или нет.

9. Нажимаем Готово для начала процесса установки.

10. В некоторых случаях может появиться окно с предупреждением о включенном брандмауэре. Согласитесь с его отключением и нажмите Да.

11. Начинается установка ViPNet Client.

12. По завершении установки нажмите Ок (галочку можно снять).

13. После установки программы система автоматически предложит перезапустить систему. Перезагрузите Windows.

При нормальных условиях, после перезагрузки компьютера, ViPNet Монитор запустится автоматически. Однако для полноценной работы его необходимо активировать с помощью специального ключа. Дальше останется лишь настроить его для работы в конкретной сети. Рассмотрим подробнее…

Настройка ViPNet

14. Итак, компьютер загружен, появилось небольшое окошко ViPNet. Просто нажмите Ок. Если на рабочем столе есть ярлык ViPNet Монитора запустите его, после чего в правом нижнем углу в меню Настройка в выпадающем списке выберите Первичная инициализация.

15. На приветствие Мастера инициализации нажмите Далее.

16. Затем необходимо указать путь к ключевому файлу. Если он на USB-флешке, значит указывайте флешку. Просто нажмите Обзор и найдите файл на компьютере либо внешнем устройстве. Жмите Далее.

17. Следующий пункт можно пропустить, нажав Далее.

18. В следующем шаге введите пароль данного ключевого файла. Пароль в обязательном порядке у вас должен быть. Если по каким-либо причинам пароль отсутствует, помочь вам сможет только ваш Удостоверяющий центр либо поставщик дистрибутива ViPNet. Итак, ввели пароль — нажали Далее.

19. Место хранения адресных справочников — без изменений — Далее.

20. Каталог для сохранения набора резервных персональных ключей также оставляем без изменений — Далее.

21. В следующем окне Мастер сообщает нам, что готов к проведению инициализации, если все в порядке жмите Далее.

22. В завершении нажмите Готово, при этом оставив флажок Запустить приложение включенным.

23. Вышеуказанных действий достаточно для нормальной работы ViPNet Client. В дополнение расскажем о некоторых тонких настройках программы для более удобной работы пользователя.

24. В меню Режимы в разделе Режим обработки открытых IP-пакетов установите 4 режим (Пропускать все соединения), ниже в разделе При старте программы… в выпадающем списке и также выберите Пропускать все соединения. Нажмите Применить, чтобы изменения вступили в силу.

25. И напоследок, для наиболее комфортной работы изменим пароль, который был первоначально установлен по умолчанию. Не нужно опасаться последствий данных действий, главное — всегда храните ваш стандартный файл с паролем в надежном и доступном только для вас месте.

26. В меню Сервис выберите Настройка параметров безопасности. В открывшемся окне во вкладке Пароль установите Тип пароля — Собственный и нажмите Сменить пароль.

27. Придумайте любой пароль (7 цифр, например), нажмите Ок. Нажатием Применить внесите изменения в параметры безопасности ViPNet Client — Ок. При запуске компьютера необходимо вводить этот пароль ViPNet.

Также, для удобства работы на компьютере, чтобы в будущем не всплывали различные окна с предложением Разрешить или Запретить работу программ с сетью можно отключить Контроль приложений ViPNet.

Вопросы и ответы: ViPNet Client for Windows

Вопросы и ответы: ViPNet Client for Windows

При установке ViPNet Client 4-х совместно с ПО Secret Net Studio 8 возникают проблемы при работе ПК (периодически пропадает сеть, появляется «Синий экран» BSOD).

После запуска ViPNet Client появляется окно: «Истек срок действия ключа электронной подписи текущего сертификата подписи».

Данное сообщение не является ошибкой, это информационное сообщение. Работоспособность сети не нарушается, пропадает только возможность подписывать письма текущим сертификатом. Для получения нового ключа необходимо обращаться к администратору вашей защищенной сети ViPNet.

Если требуется перенести ViPNet Client с одного компьютера на другой с сохранением конфигурации.

Перенос возможен только в рамках одной разрядности операционной системы (с 32 бит на 32 бит, с 64 бит на 64 бит).

Завершите работу ViPNet Client на исходном компьютере, скопируйте полностью папку «ViPNet Client», поместите данную папку на другой компьютер по тому же пути, по которому он был установлен на исходном. Запустите инсталлятор ViPNet Client той же версии на новом компьютере, при установке укажите путь к данной папке ViPNet Client.

После успешной установки повторное разворачивание ключей не требуется.

При установке ViPNet Client 4-х на ноутбук HP с ОС Windows 10 выходит сообщение «Не удалось установить ViPNet Client».

Проверьте на ноутбуке наличие встроенной утилиты HP Velocity. Если данное ПО установлено, его необходимо удалить. Также рекомендуется установить последние драйвера для всех устройств.

Особенно это касается драйвера сетевой карты. Если установить ViPNet Client после всех действий не удалось, обратитесь в службу технического сопровождения компании «ИнфоТеКС».

В сертифицированной версии 4.5.1-57252 отсутствует «Приложения/Транспортный модуль».

В ПО ViPNet Client 4.5 переработан транспортный модуль ViPNet MFTP.

Программа ViPNet MFTP была заменена кроссплатформенной службой «Транспортный модуль ViPNet MFTP». Служба имеет оптимальные параметры по умолчанию и, как правило, не нуждается в настройке. Указать нестандартные параметры транспортного модуля вы можете с помощью конфигурационного файла.

В списке защищенных узлов ПО ViPNet Client все клиенты при проверке связи с ними отображают статус «Недоступен».

Одной из возможных причин является расхождение времени на ПК со временем в сети ViPNet. Проверьте дату, время, часовой пояс и скорректируйте данные, если это требуется. Проверьте доступность узлов.

В актуальные версии ПО ViPNet Client начиная с 4.5.2 добавлен функционал «Автоматическая синхронизация времени на вашем компьютере с временем в сети ViPNet».

Если время на вашем компьютере отличается от времени в сети ViPNet, работа в защищенной сети невозможна. Чтобы не отслеживать время самостоятельно, вы можете в настройках программы ViPNet установить автоматическую синхронизацию времени на вашем компьютере с временем в сети ViPNet.

На ПК не доставляются обновления ПО ViPNet Client, а также большие по размеру письма в почте.

Если перейти в главном меню ПО ViPNet Client: «Приложения/Транспортный модуль», можно наблюдать, что соединение с координатором устанавливается и начинается процесс загрузки конвертов, но впоследствии загрузка обрывается, процесс зацикливается.

Если при работе с некоторыми устройствами NAT не проходит передача длинных пакетов, перейдите в подраздел «Защищенная сеть> Дополнительные параметры» и уменьшите значение MSS (максимальный размер сегмента) на величину от 20 до 200 байт.

В ПО ViPNet Client 4-ой версии не удается войти в режим администратора посредством «Файл/Войти в режим администратора», появляется сообщение: «Неверный пароль. Пожалуйста, повторите ввод».

Необходимо выполнить вход в режим администратора, посредством «Сервис/Настройка параметров безопасности/Администратор/Войти в режим администратора. ». Если возникает предупреждение «Истек пароль администратора сетевого узла, обратитесь к администратору Вашей сети ViPNet», необходимо обратиться к администратору сети ViPNet, для того чтобы он актуализировал информацию и выслал справочники на узел. После применения справочников на узле доступ в режим администратора должен появиться.

Установка ПО ViPNet Client 4-ой версии оканчивается возвращением системы на исходное состояние и сообщением о необходимости обратиться к администратору сети ViPNet.

Если ранее на ПК была установлена и удалена версия ViPNet Client 3-ей версии, необходимо удалить ветки реестра, предварительно создав точку восстановления ОС:

Выполнить повторную установку ПО ViPNet Client 4-ой версии

При совместном использовании ПО ViPNet Client и Kaspersky Endpoint Security версии 11.0.0.6499 происходит аварийная перезагрузка ОС (BSOD).

Срок действия лицензии на программу заканчивается или закончился.

Программа ViPNet не позволяет войти в систему Windows.

Проблемы входа в систему Windows могут возникнуть при сбоях в работе программы ViPNet Client или в случае конфликтов компонентов программы с уже установленным ПО. Если другие способы восстановления входа неприменимы, удалите программу ViPNet Client в безопасном режиме Windows.

Для этого выполните следующие действия:

SIP-клиент Zoiper сбрасывает входящие звонки.

Если на компьютере с ПО ViPNet также установлена программа Zoiper, в настройках которой задано использование протокола TCP, то входящие звонки сбрасываются через 30 секунд после принятия вызова.

Для устранения этой проблемы в настройках программы Zoiper включите использование протокола UDP вместо протокола TCP.

Невозможно запустить службу MSSQLSERVER.

Возможно, причиной неполадки является сбой одного из компонентов программы ViPNet Client.

Для решения данной проблемы выполните следующие действия:

Невозможно работать в Windows с правами администратора.

Если вы используете Windows 7 или Server 2008 R2, после обновления программы ViPNet Client возможно нарушение работы в ОС с правами администратора.

При запуске какой-либо программы или команды от имени администратора появляется сообщение об ошибке, программа или команда не выполняется.

Для исправления проблемы скачайте с сайта Microsoft (https://www.microsoft.com/ru-ru/download/) обновление KB2533623 отдельно или в составе накопительного пакета обновлений, затем установите обновление на вашем компьютере.

Невозможно установить соединение по протоколу PPPoE.

Соединение по протоколу PPPoE может быть заблокировано программой ViPNet Монитор. Для решения данной проблемы выполните следующие действия:

Медленное соединение с ресурсами в интернете.

Если вы используете ПО Kaspersky и после установки программы ViPNet Client соединение с сайтами в интернете происходит очень медленно, выполните следующие настройки:

Невозможно сохранить пароль.

Сохранение пароля в реестре может противоречить регламенту безопасности вашей организации. Эта возможность определяется настройками программы ViPNet:

– в режиме работы администратора программы ViPNet Монитор (см. «Дополнительные настройки параметров безопасности»);

– в программе ViPNet Administrator.

Если вам необходимо сохранить пароль, обратитесь к администратору сетевого узла или администратору сети ViPNet.

Ошибка при повторном разворачивании DST.

Если пароль для входа в программу ViPNet Client сохранен в реестре, после установки нового дистрибутива ключей при запуске программы может появиться сообщение об ошибке.

В этом случае для первого входа в программу введите пароль. При последующих запусках программы ввод пароля не потребуется.

Не найдены ключи пользователя или неверный пароль.

В этом случае в окне ввода пароля щелкните значок справа от кнопки «Настройка», в меню выберите пункт «Папка ключей пользователя» и укажите путь к папке ключей пользователя.

Если операционная система еще не загружена, в окне ввода пароля ViPNet нажмите кнопку «Отмена». После загрузки операционной системы запустите ViPNet Монитор и укажите путь к папке ключей пользователя.

Невозможно произвести авторизацию пользователя ViPNet.

При появлении такой ошибки выполните следующие действия:

После восстановления программы запустите компьютер в обычном режиме.

Если приведенные действия не помогли войти в программу ViPNet, обратитесь в службу технического сопровождения компании «ИнфоТеКС».

Программа ViPNet Client не запускается после загрузки Windows.

Если на вашем компьютере работает несколько пользователей и компьютер находится не в домене, после входа в Windows программа ViPNet Client может не запускаться автоматически.

Для исправления проблемы выполните следующие настройки:

Невозможно установить или обновить программу ViPNet Client.

Если у вас установлен антивирус Касперского, установка или обновление ViPNet Client может быть заблокировано самозащитой антивируса. Для установки программы:

Источник

Жизнь сетевого инженера была счастливой и беззаботной, пока в ней не появился сертифицированный криптошлюз. Согласитесь, разбираться с решениями, предназначенными для шифрования каналов передачи данных по ГОСТу, задача не из легких. Хорошо, если это известные и понятные продукты. Вспомним ту же «С-Терра» (об их «С-Терра Шлюз» мы уже писали). Но что делать с более экзотичными решениями на базе собственных протоколов шифрования, например, «Континент» (от «Кода Безопасности») или ViPNet Coordinator HW (от «Инфотекса»)? В этой статье я постараюсь облегчить погружение в мир ViPNet (про «Континент» тоже когда-нибудь поговорим) и рассказать, с какими проблемами столкнулся сам и как их решал.

Сразу оговорюсь, что мы поговорим о сертифицированной на сегодня ФСБ и ФСТЭК версии 4.2.1. В актуальных версиях 4.3.х появилось много интересного, например, DGD (Dead Gateway Detection) и измененный механизм кластеризации, обеспечивающий практически бесшовное переключение, но пока это будущее. Я не буду глубоко погружаться в недра конфигурационных команд и файлов, акцентировав внимание на ключевых командах и переменных, а подробное описание по этим «ключам» можно будет найти в документации.

Для начала разберемся, как это все работает. Итак, координатор ViPNet выполняет несколько функций. Во-первых, это криптошлюз (КШ), который позволяет реализовать как Site-to-site, так и RA VPN. Во-вторых, он является сервером-маршрутизатором конвертов, содержащих зашифрованные служебные данные (справочники и ключи) или данные клиентских приложений (файловый обмен, деловая почта). Кстати, именно в справочниках хранятся файлы, содержащие информацию об объектах сети ViPNet, в том числе об их именах, идентификаторах, адресах, связях. Координатор также является источником служебной информации для своих клиентов.

Помимо этого, он может туннелировать трафик от компьютеров сети, где не установлено ПО ViPNet. Кстати, специалисты, работающие с этим решением, часто называют открытые хосты не «туннелируемыми узлами», а просто «туннелями». Это может сбить с толку инженеров, которые привыкли к другим VPN-решениям, где под туннелем подразумевают PtP-соединение между КШ.

В качестве протокола шифрования в ViPNet используется IPlir, также разработанный «Инфотексом». Для инкапсуляции трафика применяются транспортные протоколы IP/241 (если трафик не покидает широковещательный домен), UDP/55777 и TCP/80 (при недоступности UDP).

В концепции построения защищенных соединений лежат так называемые «связи», которые бывают двух типов. Первые (на уровне узлов) нужны для построения защищенного соединения между узлами, вторые (на уровне пользователей) необходимы для работы клиентских приложений. Но есть исключение: узлы администратора сети ViPNet требуют обоих типов связи.

Что же может в этой схеме пойти не так? Как показывает практика, особенностей работы действительно много, и далеко не все проблемы можно решить интуитивно, без «помощи зала», а что-то нужно просто принять как данность.

Координатор недоступен

«У нас недоступен координатор/клиент/туннель. Что делать?» – самый частый вопрос, с которым приходят новички при настройке ViPNet. Единственно верное действие в такой ситуации – включать регистрацию всего трафика на координаторах и смотреть в журнал IP-пакетов, который является важнейшим инструментом траблшутинга всевозможных сетевых проблем. Этот способ спасает в 80% случаев. Работа с журналом IP-пакетов также помогает лучше усвоить механизмы работы узлов ViPNet-сети.

Конверт не доставлен

Но журнал IP-пакетов, увы, бесполезен, когда речь заходит о конвертах. Они доставляются с помощью транспортного модуля (mftp), у которого есть свой журнал и своя очередь. Конверты по умолчанию передаются на «свой» координатор клиента (то есть тот, на котором зарегистрирован узел), и далее по межсерверным каналам, которые настроены между координаторами (то есть не напрямую по защищенному каналу). Значит, если вы захотите отправить письмо по деловой почте, то клиент упакует его в конверт и отправит сначала на свой координатор. Далее на пути могут быть еще несколько координаторов, и только после этого конверт попадет на узел адресата.

Из этого следуют два вывода. Во-первых, между клиентами не обязательно должна проверяться связь (по нажатию на F5 и соответствующей иконки в меню) для доставки конвертов. Во-вторых, если связь межу ними все-таки проверяется, это не гарантирует доставку, так как проблема может быть в одном из межсерверных каналов.

Диагностировать прохождение конвертов межсерверным каналам или между клиентом и координатором в неочевидных случаях можно с помощью журнала и очереди конвертов, а также логов на координаторе. Также транспортный модуль ViPNet-клиента можно настроить на прямую доставку конвертов, доставку через общую папку или SMTP/POP3 (но это совсем экзотичный вариант). Погружаться в эти настройки мы не будем.

Последствия перепрошивки

Проблемной может оказаться перепрошивка на актуальную версию старых железок, которые долго лежали, например, в качестве ЗИП. В процессе может появиться ошибка «unsupported hardware», которая сообщает либо о том, что у вас действительно неподдерживаемая аппаратная платформа устаревшей линейки G1 (это HW100 E1/E2 и HW1000 Q1), либо о проблемах в настройке BIOS или в некорректной информации, зашитой в DMI. Править ли самостоятельно DMI, каждый решает для себя сам, поскольку есть риск превратить оборудование в бесполезный «кирпич». С BIOS чуть проще: неверные настройки системы заключаются в выключенной функции HT (Hyper Threading) или выключенном режиме ACHI (Advanced Host Controller Interface) для HDD. Чтобы не гадать, в чем конкретно проблема, можно обратиться к флешке, с которой производится прошивка. На ней создаются файлы с диагностической информацией, в частности, в файле verbose.txt перечислены все поддерживаемые платформы с результатом сверки с вашей. Например, ошибка cpu::Vendor(#3)==’GenuineIntel’ 24 times => [Failed], скорее всего, сообщает о выключенном HT. Кстати, перепрошивку часто путают с обновлением, но это разные процессы. При обновлении сохраняются все настройки, а параметры, о которых было написано выше, не проверяются. А при перепрошивке вы возвращаетесь к заводским параметрам.

Неинформативные конфиги

Основным конфигурационным файлом HW является «iplir.conf», однако он не всегда отражает текущие параметры. Дело в том, что в момент загрузки драйвера IPlir происходит интерпретация этого конфига в соответствии с заложенной логикой, и не вся информация может быть загружена в драйвер (например, при наличии конфликтов IP-адресов). Инженеры, работавшие с программным координатором для Linux, наверняка знают о существовании команды «iplirdiag», которая отображает текущие настройки узлов, прогруженные в драйвер. В HW эта команда также присутствует в режиме «admin escape».

Самые популярные выводы это:
iplirdiag -s ipsettings —node-info <идентификатор узла> ##отображение информации об узле
iplirdiag -s ipsettings —v-tun-table ##отображение всех загруженных в драйвер туннелей

Немного остановимся на режиме «admin escape». По сути это выход из ViPNet shell в bash. Тут я солидарен с вендором, который рекомендует использовать данный режим только для диагностики и вносить какие-либо модификации только под присмотром техподдержки вендора. Это вам не обычный Debian, здесь любое неосторожное движение может вывести из строя ОС, защитные механизмы которой воспримут вашу «самодеятельность» как потенциальную угрозу. В связке с заблокированным по умолчанию BIOS это обрекает вас на негарантийный (читай «дорогой») ремонт.

(Un)split tunneling

Еще один факт, который знают далеко не все: по умолчанию ViPNet-клиент работает в режиме split tunnel (когда можно указать, какой трафик заворачивать в туннель, а какой нет). У ViPNet существует технология «Открытого Интернета» (позже переименована в «Защищенный интернет-шлюз»). Многие ошибочно приписывают этот функционал координатору, а не клиенту. На клиенте, который зарегистрирован за координатором с такой функцией, создается два набора предустановленных фильтров. Первый разрешает взаимодействие только с самим координатором и его туннелями, второй – с остальными объектами, но запрещает доступ к координатору ОИ и его туннелям. Причем, согласно концепции вендора, в первом случае координатор должен либо туннелировать прокси-сервер, либо сам являться прокси-сервером. Служебный трафик, а также прием и передача конвертов (как служебных, так и приложений), работают в любой конфигурации.

Служебные порты и TCP-туннель

Однажды я столкнулся с приложением, которое ни в какую не хотело работать через координатор. Так я узнал, что у координатора есть служебные порты, по которым незашифрованный трафик блокируется без возможности какой-либо настройки. К ним относятся UDP/2046,2048,2050 (базовые службы ViPNet), TCP/2047,5100,10092 (для работы ViPNet Statewatcher) и TCP/5000-5003 (MFTP). Тут подвела функции TCP-туннеля. Не секрет, что провайдеры любят фильтровать высокие порты UDP, поэтому администраторы, стремясь улучшить доступность своих КШ, включают функцию TCP-туннеля. Ресурсы в зоне DMZ (по порту TCP-туннеля) при этом становятся недоступны. Это происходит из-за того, что порт TCP-туннеля также становится служебным, и никакие правила межсетевых экранов и NAT (Network Address Translation) на него уже не действуют. Затрудняет диагностику тот факт, что данный трафик не регистрируется в журнале IP-пакетов, как будто его вовсе нет.

Замена координатора

Рано или поздно встает вопрос о замене координатора на более производительный или временный вариант. Например, замена HW1000 на HW2000 или программного координатора – на ПАК и наоборот. Сложность заключается в том, что у каждого исполнения своя «роль» в ЦУС (Центре управления сетью). Как правильно изменить роль, не потеряв связность? Сначала в ЦУС меняем роль на новую, формируем справочники, но не отправляем(!) их. Затем в УКЦ выпускаем новый DST-файл и проводим инициализацию нового Координатора. После производим замену и, убедившись, что все взаимодействия работоспособны, отправляем справочники.

Кластеризация и сбой ноды

Горячий резерв – это must have для любой крупной площадки, поэтому на них всегда закупался кластер старших моделей (HW1000, HW2000, HW5000). Однако создание кластера из более компактных криптошлюзов (HW50 и HW100) было невозможно из-за лицензионной политики вендора. В итоге владельцам небольших площадок приходилось серьезно переплачивать и покупать HW1000 (ну, или никакой отказоустойчивости). В этом году вендор, наконец, сделал дополнительные лицензии и для младших моделей координаторов. Так что с выходом версий 4.2.x появилась возможность собирать в кластер и их.

При первичной настройке кластера можно серьезно сэкономить время, не настраивая интерфейсы в режиме мастера или командами CLI. Можно сразу вписывать необходимые адреса в конфигурационный файл кластера (failover config edit), только не забудьте указать маски. При запуске демона failover в кластерном режиме он сам назначит адреса на соответствующие интерфейсы. Многие при этом боятся останавливать демон, предполагая, что адреса сменяются на пассивные или адреса сингл-режима. Не волнуйтесь: на интерфейсах останутся те адреса, которые были на момент остановки демона.

В кластерном исполнении существует две распространенные проблемы: циклическая перезагрузка пассивной ноды и ее непереключение в активный режим. Для того чтобы понять суть этих явлений, разберемся в механизме работы кластера. Итак, активная нода считает пакеты на интерфейсе и в случае, если за отведенное время пакетов нет, отправляет пинг на testip. Если пинг проходит, то счетчик запускается заново, если не проходит, то регистрируется отказ интерфейса и активная нода уходит в перезагрузку. Пассивная нода при этом отправляет регулярные ARP-запросы на всех интерфейсах, описанных в failover.ini (конфигурационный файл кластера, где указаны адреса, которые принимает активная и пассивная ноды). Если ARP-запись хоть одного адреса пропадает, то пассивная нода переключается в активный режим.

Вернемся к кластерным проблемам. Начну с простого – неперключение в активный режим. В случае если активная нода отсутствует, но на пассивной в ARP-таблице (inet show mac-address-table) ее mac-адрес все еще присутствует, необходимо идти к администраторам коммутаторов (либо так настроен ARP-кэш, либо это какой-то сбой). С циклической перезагрузкой пассивной ноды немного сложнее. Происходит это из-за того, что пассивная не видит ARP-записи активной, переходит в активный режим и (внимание!) по HB-линку опрашивает соседа. Но сосед-то у нас в активном режиме и аптайм у него больше. В этот момент пассивная нода понимает, что что-то не так, раз возник конфликт состояний, и уходит в перезагрузку. Так продолжается до бесконечности. В случае возникновения данной проблемы необходимо проверить настройки IP-адресов в failover.ini и коммутацию. Если все настройки на координаторе верны, то пришло время подключить к вопросу сетевых инженеров.

Пересечения адресов

В нашей практике нередко встречается пересечение туннелируемых адресов за разными координаторами.

Именно для таких случаев в продуктах ViPNet существует виртуализация адресов. Виртуализация – это своеобразный NAT без контроля состояния соединения один к одному или диапазон в диапазон. По умолчанию на координаторах эта функция выключена, хотя потенциальные виртуальные адреса вы можете найти в iplir.conf в строке «tunnel» после «to» в секциях соседних координаторов. Для того, чтобы включить виртуализацию глобально для всего списка, необходимо в секции [visibility] изменить параметр «tunneldefault» на «virtual». Если же хотите включить для конкретного соседа, то необходимо в его секцию [id] добавить параметр «tunnelvisibility=virtual». Также стоит убедиться, что параметр tunnel_local_networks находится в значении «on». Для редактирования виртуальных адресов параметр tunnel_virt_assignment необходимо перевести в режим «manual». На противоположной стороне нужно выполнить аналогичные действия. За настройки туннелей также отвечают параметры «usetunnel» и «exclude_from_tunnels». Результат выполненной работы можно проверить с помощью утилиты «iplirdiag», о которой я говорил выше.

Конечно, виртуальные адреса приносят некоторые неудобства, поэтому администраторы инфраструктуры предпочитают минимизировать их использование. Например, при подключении организаций к информационным системам (ИС) некоторых госорганов этим организациям выдается DST-файл c фиксированным диапазоном туннелей из адресного плана ИС. Как мы видим, пожелания подключающегося при этом не учитываются. Как вписываться в этот пул, каждый решает для себя сам. Кто-то мигрирует рабочие станции на новую адресацию, а кто-то использует SNAT на пути от хостов к координатору. Не секрет, что некоторые администраторы применяют SNAT для обхода лицензионных ограничений младших платформ. Не беремся оценивать этичность такого «лайфхака», однако не стоит забывать, что производительность самих платформ все-таки имеет предел, и при перегрузке начнется деградация качества канала связи.

Невозможность работы GRE

Само собой, у каждого решения в IT есть свои ограничения по поддерживаемым сценариям использования, и ViPNet Coordinator не исключение. Достаточно назойливой проблемой является невозможность работы GRE (и протоколов, которые его используют) от нескольких источников к одному адресу назначения через SNAT. Возьмем, к примеру, систему банк-клиент, которая поднимает PPTP-туннель к публичному адресу банка. Проблема в том, что протокол GRE не использует порты, поэтому после прохождения трафика через NAT, socketpair такого трафика становится одинаковым (адрес назначения у нас одинаковый, протокол тоже, а трансляцию адреса источника мы только что произвели также в один адрес). Координатор реагирует на такое блокировкой трафика на фоне ошибки 104 – Connection already exists. Выглядит это так:

Поэтому, если вы используете множественные GRE-подключения, необходимо избегать применения NAT к этим подключениям. В крайнем случае выполнять трансляцию 1:1 (правда, при использовании публичных адресов это достаточно непрактичное решение).

Не забываем про время

Тему блокировок продолжаем событием номер 4 – IP packet timeout. Тут все банально: это событие возникает при расхождении абсолютного (без учета часовых поясов) времени между узлами сети ViPNet (координаторы и ViPNet-клиенты). На координаторах HW максимальная разница составляет 7200 секунд и задается в параметре «timediff» конфигурационного файла IPlir. Я не рассматриваю в этой статье координаторы HW-KB, но стоит отметить, что в версии KB2 timediff по умолчанию 7 секунд, а в KB4 – 50 секунд, и событие там может генерироваться не 4, а 112, что, возможно, собьет с толку инженера, привыкшего к «обычным» HW.

Нешифрованный трафик вместо зашифрованного

Новичкам бывает сложно понять природу 22 события – Non-encrypted IP Packet from network node – в журнале IP-пакетов. Оно означает, что координатор ждал с этого IP-адреса шифрованный трафик, а пришел нешифрованный. Чаще всего это происходит так:

1. пользователь забыл залогиниться в ViPNet-клиент, или случайно разлогинился, но при этом пытается попасть на защищаемые ресурсы. В этом случае драйвер IPlir неактивен, а трафик, который по маршрутизации дошел до координатора, не был зашифрован на АРМ пользователя. По заголовкам пакета координатор видит, что все легально: адрес источника принадлежит АРМ с ViPNet-клиентом, адрес назначения – защищенному или туннелируемому узлу. Значит, и трафик должен приходить зашифрованным, но это не так, поэтому его надо заблокировать. Частным случаем данного сценария является ситуация, когда в сети поменялись адреса, и на том адресе, на котором был защищенный ViPNet-клиент, АРМ оказался туннелируемый. Но координатор все еще считает, что на этом адресе есть ViPNet-клиент, и поэтому нешифрованный трафик блокируется;
2. с одной стороны взаимодействия отсутствуют связи. Например, вы связали два координатора, а справочники и ключи отправили только на один (или до второго они не дошли). В этом случае первый будет ждать зашифрованный трафик, но второй, так как не знает о существовании первого, будет присылать только незашифрованный;
3. туннели прописываются вручную локально на КШ. Чтобы смоделировать такой сценарий, нужно два связанных координатора. На одном прописываем собственные туннели и туннели соседа, на втором «забываем» это сделать. При такой настройке трафик, исходящий от туннелей второго координатора к туннелям первого, шифроваться не будет, и на первом координаторе возникнет 22 событие.

Обработка прикладных протоколов (ALG)

На многих межсетевых экранах, включая ViPNet Coordinator, могут возникать проблемы с прохождением SIP через NAT. С учетом того, что виртуальные адреса – это внутренний NAT, проблема может возникать, даже когда в явном виде NAT не используется, а используются только виртуальные адреса. Координатор обладает модулем обработки прикладных протоколов (ALG), который должен эти проблемы решать, но не всегда это работает так, как хотелось бы. Не буду останавливаться на механизме работы ALG (на эту тему можно написать отдельную статью), принцип одинаков на всех МСЭ, изменяются лишь заголовки прикладного уровня. Для корректной работы протокола SIP через координатор необходимо знать следующее:

• при использовании NAT должен быть включен ALG;
• при использовании виртуальной адресации ALG должен быть включен на обоих узлах, участвующих во взаимодействии (координатор-координатор, координатор-клиент), даже если виртуальная видимость установлена только с одной стороны;
• при использовании реальной видимости и отсутствии NAT необходимо выключить ALG для того, чтобы он не вмешивался в работу SIP;
• ALG-линейки 3.х и 4.х несовместимы (строго говоря, в линейке 3.х вообще не было возможности как-то им управлять). В таком сценарии гарантировать корректную работу SIP вендор не может.

Управляется модуль командами группы «alg module» из привилегированного режима (enable).

В заключение

Я постарался рассмотреть самые злободневные проблемы, обозначить их корни и рассказать о решениях. Конечно, это далеко не все особенности ViPNet, поэтому рекомендую не стесняться – обращаться в поддержку и спрашивать совета в коммьюнити (на форуме вендора, в телеграмм-канале, в комментариях под этим постом). А если вам не хочется погружаться во все сложности работы с ViPNet или это слишком трудозатратно, то всегда можно отдать управление вашей ViPNet-сетью в руки профессионалов.

Автор: Игорь Виноходов, инженер 2-ой линии администрирования «Ростелеком-Солар»

Mftp служба windows не найдена status 238

Из документации: Программы ViPNet Client и ViPNet Coordinator версии 4.x могут быть установлены на

компьютер под управлением ОС Windows 8 (32/64-разрядной) и Windows Server 2012 (64-разрядной).

Доброе утро, киньте дистрибутив или скажите откуда скачать?

МОУ Гимназия № 18 г. Рыбинск

pryanas Писал(а): Доброе утро, киньте дистрибутив или скажите откуда скачать?

МОУ Гимназия № 18 г. Рыбинск

4.2 должны быть совместима с нашей сетью.

С просторов Интернета:

Вопрос: Как установить VipNet Client 3.х в ОС Windows 8?

Ответ: Использование VipNetClient на ОС Windows 8 возможно (проверена работа с

версией Проф.) с версией клиента 3.2.11, но стабильная работа не гарантируется, т.к.

официально данная версия VipNetClienta не поддерживается производителем для

Перед началом установки VipNetClient необходима установка Microsoft Visual C++

2010 SP1 Redistributable Package (x86), Visual Studio 2008 X64 redistributable, Visual

Studio 2008 redistributable (х86), указанные программы можно скачать с сайта

же нужно установить все последние обновления на Windows 8. Установку VipNetClient

необходимо производить в режиме совместимости с Windows 7.

(05-07-2016, 15:59) Татьяна Писал(а): Установили версию 4. после перезагрузки выдает предупреждение об ошибке: IpLir Control: Служба Windows не найдена (status=238)/ Что делать, куда обращаться?

1) Можно попробовать запустить службу IpLirControl в ручную. Для этого зайдите Пуск-Панель управления-Администрирование-Службы. Вам нужно запустить службу «Сервис управления драйвером защиты VipNet» запустите эту службу после чего включите VipNet Монитор. (Так же проверьте установлен ли автоматический запуск для данной службы если нет то поставьте запускать 16 автоматически). Так же сам драйвер можно попробовать запустить из папки C:Program FilesInfoTeCSVipNet Clientmonitsrv.exe. Так же если вы используете версию VipNet Client 3.1, установите версию 3.2 или новее (для этого обратитесь к вашему поставщику ПО VipNet Client.)
2) Если у вас перед установкой ПО VipNet Client был установлена антивирус Dr. Web, то возможно именно он заблокировал данную службу при установке ПО VipNet Client. Удалите VipNet Client, перезагрузитесь. Затем полностью удалите антивирус, снова перезагрузите компьютер. Установите сначала VipNet Client и лишь затем Dr. Web но без сетевого монитора. Проблемы могут касаться любого антивируса.

При установки vipnet После перезагрузки при запуске ViPNet Clien пишет следующую ошибку «IpLirControl:Служба Windows не найдена (Status=238)»
Нашел причину ошибки. На момент установки ПО ViPNet 3.2 на компьютере был установлен Dr.Web 8.0.
При удалении Dr.Weba и последующей инсталяции ПО ViPNet 3.2. драйвер стартует. Причем проблема только с Dr.Web 8.0. тоже самое с оотпостом.
C Dr.Web 6 таких проблем не было.

(05-07-2016, 15:59) Татьяна Писал(а): Установили версию 4. после перезагрузки выдает предупреждение об ошибке: IpLir Control: Служба Windows не найдена (status=238)/ Что делать, куда обращаться?

Источник

VipNet 3.2.11.19855 не стартует служба IpLirControl (monitsrv.exe) с DrWeb ESS 10 (Win 7 x86)

Последовательность действий для воспроизведения проблемы:

Установлен Windows 7 x86 (VM на Hyper-V 2012R2), введен в домен, установлены все критические апдейты, установлен Office 2016 Pro Plus, установлен VipNet 3.2.11.19855 (сертификат ФСБ).

В VipNet сделана настройка автоввода пароля из реестра компьютера в окно VipNet при старте системы,

в VipNet добавлено правило, разрешающее входящие подключения для возможности подключения к машине по RDP. Включен удаленный доступ RDP в Win7.

В силу особенности VipNet данное правило начинает работать только при вводе пароля VipNet.

Конфигурация проверена, работает!

Установлен агент DrWeb ESS 10, компоненты Сканер, Guard, Gate, Офисный контроль, Превентивная защита.

через 5-6 перезагрузок вообще перестает стартовать.

При старте системы, когда не стартует VipNet появляется сообщение от VipNet Monitor, что служба IpLirControl не доступна.

Далее появляется стандартное приглашение Ctrl+Alt+Del.

Вводим логин и пароль доменного юзера.

Для решения проблемы:

В сканере сделаны исключения на папки:

C:Program FilesInfoTeCSVipNet Client*

В Guard сделаны исключения

C:Program FilesInfoTeCSVipNet Client*

C:Program FilesInfoTeCSVipNet Clientivpsrv.exe

C:Program FilesInfoTeCSVipNet ClientMonitor.exe

C:Program FilesInfoTeCSVipNet Clientmonitsrv.exe

C:Program FilesInfoTeCSVipNet Clientvipnetln.exe

В превентивной защите разрешено все.

VipNet 3.2.11.19855 не стартует служба IpLirControl (monitsrv.exe)

Очень долгий старт, логи смотреть примерно с 14-45 по 15-15.

Прикрепленные файлы:

поправка, до VipNet Client 3.2.11.19855 установлен VipNet CSP 4.2

Процессы, если не ошибаюсь. прописываются без указания путей.

Ну и вероятней всего, все-таки, превентивная защита, этот vipnet занимается инжектами, всё-таки.

А погодите-ка. Так «не стартует» или «очень долгий старт»?

А погодите-ка. Так «не стартует» или «очень долгий старт»?

далее долго черный экран до старта винды.

Процессы, если не ошибаюсь. прописываются без указания путей.

Ну и вероятней всего, все-таки, превентивная защита, этот vipnet занимается инжектами, всё-таки.

в превентивной защите разрешено все.

я так понял она часть агента и её не получится не устанавливать как компонент? и отдельно удалить нельзя?

Процессы, если не ошибаюсь. прописываются без указания путей.

Если задавать исключения напрямую в агенте, то при указании файла он прописывает полный путь, а так же есть 2 галочки не проверять гардом и не проверять гейтом и майлом. При выборе галочек появляются соответсвующие отметки в таблице интерфейса добавления исключений.

И еще косяк, если в настройках привентивной защиты в консоли еss выставить галочки как надо, но при этом запретить юзеру менять настройки превентивной защиты агента, то на агенте в табличке настроек привентивной защита отображается неактивная настройка, состав которой не соответсвует той, то выставлена на сервере ess для данного клиента. И опять не понятно, что приехало на клиента, то что надо или то что показывает агент.

для анализа нужны трейсы procmon с бут режима. можно в личку а лучше в саппорт. тут не место для решения таких проблем.

Подскажите, плиз, как сделать такие трейсы?

для анализа нужны трейсы procmon с бут режима. можно в личку а лучше в саппорт. тут не место для решения таких проблем.

бутлог сделал, см. лс.

в саппорт подал заявку на создание ЛК, жду пароля )

пытался решить через саппорт, там предположили, что проблема в том, что машина виртуальная.

Проблему со стартом VipNet решил путем установки типа запуска службы IpLirControl на «отложенный».

Не надо советовать людям, не зная всех нюансов и не разбираясь в предмете, то, за что можно получить по голове, вплоть до уголовной статьи.

Да, практически. Пришлось много применять метод научного тыка, пока удалось запустить сабжевую сбору VipNet Client + Win 7 + All critical updates + DrWeb.

Далее немного оффтоп, да простит меня модератор )

После установки некоторых обновлений Windows 7 возникает конфликт системы безопасности Win7 и драйвера TLS от VipNet 3.2. Выражается это в том, что при запуске появляется черный экран, и загрузка Win до Ctrl+Alt+Del не происходит. Если использовать ворэраунд саппорта и деактивировать в реестре драйвер TLS от VipNet, то сохраняется проблема с доступом к рабочей станции по RDP, он тупо не работает.

И как уже было написано проблема с DrWeb решилась отложенным запуском службы IpLirControl.

Пользуйтесь данными обходными решениями на свой страх и риск.

Спасибо, а дистра VipNet Client, сборка 3.2.11.19855 в свободном официальном доступе, конечно же, нет?

Спасибо, а дистра VipNet Client, сборка 3.2.11.19855 в свободном официальном доступе, конечно же, нет?

насколько я знаю нет, но думаю что её без проблем может выдать саппорт випнета. Но без формуляра, а без этой бумажки это уже не сертифицированное СКЗИ )))

VipNet Client мне поставлялся централизовано в рамках определенного федерального проекта.

Не надо советовать людям, не зная всех нюансов и не разбираясь в предмете

VipNet Client мне поставлялся централизовано в рамках определенного федерального проекта.

Не надо советовать людям, не зная всех нюансов и не разбираясь в предмете

​исполнитель программы ответил, что ему все равно.

Источник

Сейчас расскажу что делать, если у вас не запускается Центр Управления Сетью ViPNet из комплекта ViPNet Administrator 4.

Всё это основано на собственном опыте, который приобретён с потом и кровью… и до некоторых решений дойти самому очень сложно, а в документации про это ничего нет, и в интернете ответов нет. В интернете не то чтобы ответов нет про випнет, там вообще про него информации толком нет. На форуме инфотекса тоже полезной информации нет, так как разработчики там не отвечают.

В общем, ближе к делу. При попытке запустить Центр управления сетью ViPNet появляется сообщение, что его не удалось запустить или он просит указать IP-адрес сервера с базой данных.

Что делать в такой ситуации?

Первым делом идём в службы. Нажимаем правой кнопкой по значку компьютера или моего компьютера и выбираем пункт Управление. Далее выбираем вкладку Службы и приложения, затем подпункт службы. Откроется список служб, в котором ищем службу SQL Server (WINNCCSQL).

Состояние этой службы должно быть выполняется, а тип запуска автоматически (отложенный старт). Если так и есть, то проблема не в этом.

Если служба не запущена, то попробуйте её запустить.

В моём случае, при попытке запустить эту службу появилась ошибка «Ошибка 1067 «Не удалось запустить службу»». При таком раскладе событий нужно в свойствах этой службы зайти во вкладку вход в систему и там нажать кнопку обзор. В поле имени указать имя вашей учетной записи, потом нажать кнопку проверить имена и потом нажать ок. После этого у меня запустилась служба.

Служба запущена, но проблема с запуском ЦУСа сохранилась.

Теперь, остается всего две вещи:

1) Попробуйте удалить КриптоПро, если он есть на данном компьютере. У меня на Windows 10 КриптоПро версии 4.0.9734 (если правильно версию помню) был конфликт с Microsoft SQL Server, который решился удалением криптопро и установкой её более новой версии.

2) Необходимо восстановить серверной приложения центра управления сетью. Если вы устанавливали этот комплект программ, то вы знаете, что ЦУС ViPNet состоит из клиентского и серверного приложения. Так вот, запускаем установить серверного цуса и выбираем пункт восстановить. В моём случае это решило все проблемы.

VipNet Client 3.2 Обнаружены несанкционированно измененные файлы 

Версия хоть уже и под устарела но ей много кто пользуется и естественно сталкивается с проблемами. Для начала для чего эта программа — для связи с другим компьютером через интернет как по локальной сети и естественно с защитой данных. А раз обеспечивается защита данных — то и соответственно эту программу ставить надо с умом (не браузер же устанавливаем), где любая мелочь приводит к невозможности установки или настройке к подключению.

Бывает что вчера работали нормально, а сегодня ничего ни работает.
Первым делом надо вспомнить не устанавливали чего мы вчера? Бывают случаи установки других программ мешающим уже установленным — в этом случае может помочь вариант с де инсталляцией (удалением) недавно установленной программы, или откат системы на более ранее состояние где программа уже работала.

Это было отступление. Теперь рассмотрим попавшийся случай неполадки нам на руки с диагнозом ошибки «обнаружены несанкционированно измененные файлы». Пробороздив по данной ошибке в интернете (ПОДСКАЗКА КОТОРАЯ ПОМОГЛА НАМ )выяснили, что с вероятностью в 90% был скачек света или не дождались завершения работы — выключили компьютер.
Удалось реанимировать просто достав архив или файлы первоначальной конфигурации в папку C:Program FilesInfoTeCSViPNet Clientlogdatases файла ses.cfg и в придачу всего содержимого в папке. Алеллуя заработало. Рекомендуем на будущее сделать копию программы для реанимации.

Очень часто к нам на страничку приходят с вопросом- vipnet не ставиться, ошибка

Решений Несколько. Во первых — при повторной установке папку випнета клиент с С:Рrogram files (х86) надо удалять, можно почистить Ccleaner (ом) или другими утилитами комп от мусора, перезагрузка и повторная установка.

Еще может помочь это — в окне запуска VipNet Client Монитор выбираем «Настройка» и производим  «Первичная инициализация», ждем продолжения автоматической установки. Если ничего не происходит, ищем в каталоге «Temp» файл вида abn_xxxx.dst. Если файл не обнаруживаем, то все содержимое удаляем.

Третий вариант тоже может помочь, но не во всех случаях,но пробовать стоить начинасть с него. Это откат системы (восстановление по точке сохранения системы) на тот момент когда система работала корректно.

Это может быть вам интересно.

Настройка АСТГОЗ + VipNet

6 часов назад, На карантине сказал:

Ник уже не поменять

у меня пароль не открылся, пришлось пересылать коллеге, у неё открываются такого типа файлы. он состоит из англ. букв, но внизу была странная фраза на русском. её тоже можно как-то использовать?

— Как не поменять НИК, вы что теперь до конца дней тут будите «На карантине» ? Не делайте больше не когда таких НИКов.

— Пароль в 4-й версии выдаётся в xps файл, для чего такие сложности были даже программистам думаю не известно, скорее всего кто то как обычно использовал какой то готовый метод, который так делал и потому так и оставили. Я стараюсь всем передавать ДСТ и обычным txt, как было всегда.

Насчёт фразы, печально, что вас не информируют элементарному и тут не надо вену перекладывать типа кому то там некогда вдруг, а до этого они что делали? Я например для всех клиентов по ФРДО на пример и другим (где применяется Випнет Клиент), делал небольшую шпаргалку, где указал в одном из пунктов:

После установки и настройки ПО СЗИ, установить ключи для программного обеспечения ViPNet Client. Ключи — это файл DST, (ПКИ) полученный после согласования подключения от ФЦТ или ФРДО. Чтобы установить ключи, дважды кликните на файл DST и в открывшемся окне нажмите кнопку «Установить ключи». Пароль на вход находится с DST файлом, обычно он состоит из парольной фразы, где первые буквы в словах на английской раскладке, являются паролем. На пример: фраза «ломовой егерь поблагодарил зяблика», пароль будет «kjvtutgj,pz,»

И поверьте я ещё не одного человека не встретил потом, кто бы это не понял. А тем кому проще копипастить по привычке — это их выбор.

Насчёт МЭ в стороней программе — это да, я такое наверно по привычке не сообразил, НО я лично НЕ РЕКОМЕНДУЮ отключать полностью, как мой коллеги безопасники новые сделали тоже, т.к. когда Випнет отключен, у вас МЭ нет, а это плохо… а чтоб работало в том же Касперском часто есть предопределённые правила и всё что надо это зайти в сетевые правили и запрещённое правило «Сетевая активность для работы технологии удалённого рабочего стола» — перевести в «Разрешить». Проблем сразу нет и минимизированы риски, но я дилетант в этом деле, а они обученные безопасники, мне ли их учить 

Спасибо, что поделились решением, порой работая долго и правда забываешь о мелочах, а они порой очень критичны (на пример тот же часовой пояс, пол дня безопасник промучился, а я же не ожидал такого от него, потому тоже не сразу понял и вот тебе и «безопасники»). Век живи — век учись, а всё равно дураком помрёшь