Vipnet local signature service windows 10 что это такое

Обновлено: 06.07.2024

Инструкция для подачи заявлений c использованием электронной подписи

Общие требования для использования ЭП

Для подписания заявления электронной подписью (далее – ЭП) Вам потребуются:

Общие требования к компьютеру:

Операционная система – Windows Server 2003 (32-разрядная), , Windows 7 (32/64-разрядная), Windows 8 (32/64-разрядная), Windows 10 (32/64-разрядная);
Веб-браузер – Internet Explorer 10 или более поздней версии, Google Chrome, Opera, Edge, Яндекс.Браузер, Спутник, Mozilla Firefox версии 52.5.0 (при использовании Mozilla Firefox Вам необходимо воспользоваться следующей инструкцией).

Ключи ЭП с квалифицированным сертификатом ключа проверки ЭП необходимо получить в аккредитованном удостоверяющем центре (далее – УЦ). Список аккредитованных удостоверяющих центров.

Модуль автоматизации процесса установки и регистрации компонентов (МУРК) осуществляет инсталляцию:

Также модуль осуществляет автоматизированную регистрацию Средства электронной подписи ViPNet CSP (в случае, если была проведена его инсталляция).

Предварительные условия для установки МУРК

Требования к компьютеру для работы с МУРК:

отсутствие на компьютере иных средств электронной подписи.

Порядок установки МУРК

По завершении установки Вам необходимо осуществить перезагрузку компьютера. При загрузке будет автоматически запущена программа ViPNet LSS. Впоследствии эта программа будет автоматически запускаться при каждой загрузке компьютера.

Установка контейнера ключей и сертификатов необходимых для создания ЭП

Для создания и проверки ЭП необходимо установить полученный от аккредитованного УЦ сертификат ключа проверки ЭП в системное хранилище.

Для установки выполните следующие действия:

1. В окне ViPNet CSP в разделе Контейнеры ключей нажмите кнопку Добавить контейнер.

2. В окне ViPNet CSP - инициализация контейнера ключей нажмите кнопку Обзор.

Если контейнер ключей хранится на жестком диске, в окне Обзор папок укажите путь к папке, содержащей контейнер.

Если контейнер ключей хранится на съемном флэш-диске, в окне Обзор папок укажите этот съемный диск. В поле Папка на диске автоматически будет подставлен путь, например E:\Infotecs\Containers.

3. В списке Имя контейнера выберите файл контейнера ключей или оставьте значение по умолчанию «Папка на диске».

5. После установки (или отмены установки) сертификатов в хранилище в списке доступных контейнеров ключей появится добавленный контейнер ключей.

Подписание Электронной подписью заявления

Заявления, при подаче которых требуется применение ЭП:

об отказе от формирования накопительной пенсии;
о переводе средств пенсионных накоплений и (или) выбор инвестиционного портфеля;
о распределении средств пенсионных накоплений;
уведомление ПФР о замене ранее выбранного страховщика.

Для подачи заявления об отказе от формирования накопительной пенсии перейдите по одной из указанных ссылок, например, «Заявление об отказе от формирования накопительной пенсии».

Жизнь сетевого инженера была счастливой и беззаботной, пока в ней не появился сертифицированный криптошлюз. Согласитесь, разбираться с решениями, предназначенными для шифрования каналов передачи данных по ГОСТу, задача не из легких. Хорошо, если это известные и понятные продукты. Вспомним ту же «С-Терра» (об их «С-Терра Шлюз» мы уже писали). Но что делать с более экзотичными решениями на базе собственных протоколов шифрования, например, «Континент» (от «Кода Безопасности») или ViPNet Coordinator HW (от «Инфотекса»)? В этой статье я постараюсь облегчить погружение в мир ViPNet (про «Континент» тоже когда-нибудь поговорим) и рассказать, с какими проблемами столкнулся сам и как их решал.

Сразу оговорюсь, что мы поговорим о сертифицированной на сегодня ФСБ и ФСТЭК версии 4.2.1. В актуальных версиях 4.3.х появилось много интересного, например, DGD (Dead Gateway Detection) и измененный механизм кластеризации, обеспечивающий практически бесшовное переключение, но пока это будущее. Я не буду глубоко погружаться в недра конфигурационных команд и файлов, акцентировав внимание на ключевых командах и переменных, а подробное описание по этим «ключам» можно будет найти в документации.

Для начала разберемся, как это все работает. Итак, координатор ViPNet выполняет несколько функций. Во-первых, это криптошлюз (КШ), который позволяет реализовать как Site-to-site, так и RA VPN. Во-вторых, он является сервером-маршрутизатором конвертов, содержащих зашифрованные служебные данные (справочники и ключи) или данные клиентских приложений (файловый обмен, деловая почта). Кстати, именно в справочниках хранятся файлы, содержащие информацию об объектах сети ViPNet, в том числе об их именах, идентификаторах, адресах, связях. Координатор также является источником служебной информации для своих клиентов.

Помимо этого, он может туннелировать трафик от компьютеров сети, где не установлено ПО ViPNet. Кстати, специалисты, работающие с этим решением, часто называют открытые хосты не «туннелируемыми узлами», а просто «туннелями». Это может сбить с толку инженеров, которые привыкли к другим VPN-решениям, где под туннелем подразумевают PtP-соединение между КШ.

В качестве протокола шифрования в ViPNet используется IPlir, также разработанный «Инфотексом». Для инкапсуляции трафика применяются транспортные протоколы IP/241 (если трафик не покидает широковещательный домен), UDP/55777 и TCP/80 (при недоступности UDP).

В концепции построения защищенных соединений лежат так называемые «связи», которые бывают двух типов. Первые (на уровне узлов) нужны для построения защищенного соединения между узлами, вторые (на уровне пользователей) необходимы для работы клиентских приложений. Но есть исключение: узлы администратора сети ViPNet требуют обоих типов связи.

Что же может в этой схеме пойти не так? Как показывает практика, особенностей работы действительно много, и далеко не все проблемы можно решить интуитивно, без «помощи зала», а что-то нужно просто принять как данность.

Координатор недоступен

«У нас недоступен координатор/клиент/туннель. Что делать?» – самый частый вопрос, с которым приходят новички при настройке ViPNet. Единственно верное действие в такой ситуации – включать регистрацию всего трафика на координаторах и смотреть в журнал IP-пакетов, который является важнейшим инструментом траблшутинга всевозможных сетевых проблем. Этот способ спасает в 80% случаев. Работа с журналом IP-пакетов также помогает лучше усвоить механизмы работы узлов ViPNet-сети.

Конверт не доставлен

Из этого следуют два вывода. Во-первых, между клиентами не обязательно должна проверяться связь (по нажатию на F5 и соответствующей иконки в меню) для доставки конвертов. Во-вторых, если связь межу ними все-таки проверяется, это не гарантирует доставку, так как проблема может быть в одном из межсерверных каналов.

Диагностировать прохождение конвертов межсерверным каналам или между клиентом и координатором в неочевидных случаях можно с помощью журнала и очереди конвертов, а также логов на координаторе. Также транспортный модуль ViPNet-клиента можно настроить на прямую доставку конвертов, доставку через общую папку или SMTP/POP3 (но это совсем экзотичный вариант). Погружаться в эти настройки мы не будем.

Последствия перепрошивки

Неинформативные конфиги

Основным конфигурационным файлом HW является «iplir.conf», однако он не всегда отражает текущие параметры. Дело в том, что в момент загрузки драйвера IPlir происходит интерпретация этого конфига в соответствии с заложенной логикой, и не вся информация может быть загружена в драйвер (например, при наличии конфликтов IP-адресов). Инженеры, работавшие с программным координатором для Linux, наверняка знают о существовании команды «iplirdiag», которая отображает текущие настройки узлов, прогруженные в драйвер. В HW эта команда также присутствует в режиме «admin escape».

Немного остановимся на режиме «admin escape». По сути это выход из ViPNet shell в bash. Тут я солидарен с вендором, который рекомендует использовать данный режим только для диагностики и вносить какие-либо модификации только под присмотром техподдержки вендора. Это вам не обычный Debian, здесь любое неосторожное движение может вывести из строя ОС, защитные механизмы которой воспримут вашу «самодеятельность» как потенциальную угрозу. В связке с заблокированным по умолчанию BIOS это обрекает вас на негарантийный (читай «дорогой») ремонт.

(Un)split tunneling

Служебные порты и TCP-туннель

Однажды я столкнулся с приложением, которое ни в какую не хотело работать через координатор. Так я узнал, что у координатора есть служебные порты, по которым незашифрованный трафик блокируется без возможности какой-либо настройки. К ним относятся UDP/2046,2048,2050 (базовые службы ViPNet), TCP/2047,5100,10092 (для работы ViPNet Statewatcher) и TCP/5000-5003 (MFTP). Тут подвела функции TCP-туннеля. Не секрет, что провайдеры любят фильтровать высокие порты UDP, поэтому администраторы, стремясь улучшить доступность своих КШ, включают функцию TCP-туннеля. Ресурсы в зоне DMZ (по порту TCP-туннеля) при этом становятся недоступны. Это происходит из-за того, что порт TCP-туннеля также становится служебным, и никакие правила межсетевых экранов и NAT (Network Address Translation) на него уже не действуют. Затрудняет диагностику тот факт, что данный трафик не регистрируется в журнале IP-пакетов, как будто его вовсе нет.

Замена координатора

Рано или поздно встает вопрос о замене координатора на более производительный или временный вариант. Например, замена HW1000 на HW2000 или программного координатора – на ПАК и наоборот. Сложность заключается в том, что у каждого исполнения своя «роль» в ЦУС (Центре управления сетью). Как правильно изменить роль, не потеряв связность? Сначала в ЦУС меняем роль на новую, формируем справочники, но не отправляем(!) их. Затем в УКЦ выпускаем новый DST-файл и проводим инициализацию нового Координатора. После производим замену и, убедившись, что все взаимодействия работоспособны, отправляем справочники.

Кластеризация и сбой ноды

Горячий резерв – это must have для любой крупной площадки, поэтому на них всегда закупался кластер старших моделей (HW1000, HW2000, HW5000). Однако создание кластера из более компактных криптошлюзов (HW50 и HW100) было невозможно из-за лицензионной политики вендора. В итоге владельцам небольших площадок приходилось серьезно переплачивать и покупать HW1000 (ну, или никакой отказоустойчивости). В этом году вендор, наконец, сделал дополнительные лицензии и для младших моделей координаторов. Так что с выходом версий 4.2.x появилась возможность собирать в кластер и их.

При первичной настройке кластера можно серьезно сэкономить время, не настраивая интерфейсы в режиме мастера или командами CLI. Можно сразу вписывать необходимые адреса в конфигурационный файл кластера (failover config edit), только не забудьте указать маски. При запуске демона failover в кластерном режиме он сам назначит адреса на соответствующие интерфейсы. Многие при этом боятся останавливать демон, предполагая, что адреса сменяются на пассивные или адреса сингл-режима. Не волнуйтесь: на интерфейсах останутся те адреса, которые были на момент остановки демона.

В кластерном исполнении существует две распространенные проблемы: циклическая перезагрузка пассивной ноды и ее непереключение в активный режим. Для того чтобы понять суть этих явлений, разберемся в механизме работы кластера. Итак, активная нода считает пакеты на интерфейсе и в случае, если за отведенное время пакетов нет, отправляет пинг на testip. Если пинг проходит, то счетчик запускается заново, если не проходит, то регистрируется отказ интерфейса и активная нода уходит в перезагрузку. Пассивная нода при этом отправляет регулярные ARP-запросы на всех интерфейсах, описанных в failover.ini (конфигурационный файл кластера, где указаны адреса, которые принимает активная и пассивная ноды). Если ARP-запись хоть одного адреса пропадает, то пассивная нода переключается в активный режим.

Вернемся к кластерным проблемам. Начну с простого – неперключение в активный режим. В случае если активная нода отсутствует, но на пассивной в ARP-таблице (inet show mac-address-table) ее mac-адрес все еще присутствует, необходимо идти к администраторам коммутаторов (либо так настроен ARP-кэш, либо это какой-то сбой). С циклической перезагрузкой пассивной ноды немного сложнее. Происходит это из-за того, что пассивная не видит ARP-записи активной, переходит в активный режим и (внимание!) по HB-линку опрашивает соседа. Но сосед-то у нас в активном режиме и аптайм у него больше. В этот момент пассивная нода понимает, что что-то не так, раз возник конфликт состояний, и уходит в перезагрузку. Так продолжается до бесконечности. В случае возникновения данной проблемы необходимо проверить настройки IP-адресов в failover.ini и коммутацию. Если все настройки на координаторе верны, то пришло время подключить к вопросу сетевых инженеров.

Пересечения адресов

В нашей практике нередко встречается пересечение туннелируемых адресов за разными координаторами.

Именно для таких случаев в продуктах ViPNet существует виртуализация адресов. Виртуализация – это своеобразный NAT без контроля состояния соединения один к одному или диапазон в диапазон. По умолчанию на координаторах эта функция выключена, хотя потенциальные виртуальные адреса вы можете найти в iplir.conf в строке «tunnel» после «to» в секциях соседних координаторов. Для того, чтобы включить виртуализацию глобально для всего списка, необходимо в секции [visibility] изменить параметр «tunneldefault» на «virtual». Если же хотите включить для конкретного соседа, то необходимо в его секцию [id] добавить параметр «tunnelvisibility=virtual». Также стоит убедиться, что параметр tunnel_local_networks находится в значении «on». Для редактирования виртуальных адресов параметр tunnel_virt_assignment необходимо перевести в режим «manual». На противоположной стороне нужно выполнить аналогичные действия. За настройки туннелей также отвечают параметры «usetunnel» и «exclude_from_tunnels». Результат выполненной работы можно проверить с помощью утилиты «iplirdiag», о которой я говорил выше.

Конечно, виртуальные адреса приносят некоторые неудобства, поэтому администраторы инфраструктуры предпочитают минимизировать их использование. Например, при подключении организаций к информационным системам (ИС) некоторых госорганов этим организациям выдается DST-файл c фиксированным диапазоном туннелей из адресного плана ИС. Как мы видим, пожелания подключающегося при этом не учитываются. Как вписываться в этот пул, каждый решает для себя сам. Кто-то мигрирует рабочие станции на новую адресацию, а кто-то использует SNAT на пути от хостов к координатору. Не секрет, что некоторые администраторы применяют SNAT для обхода лицензионных ограничений младших платформ. Не беремся оценивать этичность такого «лайфхака», однако не стоит забывать, что производительность самих платформ все-таки имеет предел, и при перегрузке начнется деградация качества канала связи.

Невозможность работы GRE

Само собой, у каждого решения в IT есть свои ограничения по поддерживаемым сценариям использования, и ViPNet Coordinator не исключение. Достаточно назойливой проблемой является невозможность работы GRE (и протоколов, которые его используют) от нескольких источников к одному адресу назначения через SNAT. Возьмем, к примеру, систему банк-клиент, которая поднимает PPTP-туннель к публичному адресу банка. Проблема в том, что протокол GRE не использует порты, поэтому после прохождения трафика через NAT, socketpair такого трафика становится одинаковым (адрес назначения у нас одинаковый, протокол тоже, а трансляцию адреса источника мы только что произвели также в один адрес). Координатор реагирует на такое блокировкой трафика на фоне ошибки 104 – Connection already exists. Выглядит это так:

Поэтому, если вы используете множественные GRE-подключения, необходимо избегать применения NAT к этим подключениям. В крайнем случае выполнять трансляцию 1:1 (правда, при использовании публичных адресов это достаточно непрактичное решение).

Не забываем про время

Тему блокировок продолжаем событием номер 4 – IP packet timeout. Тут все банально: это событие возникает при расхождении абсолютного (без учета часовых поясов) времени между узлами сети ViPNet (координаторы и ViPNet-клиенты). На координаторах HW максимальная разница составляет 7200 секунд и задается в параметре «timediff» конфигурационного файла IPlir. Я не рассматриваю в этой статье координаторы HW-KB, но стоит отметить, что в версии KB2 timediff по умолчанию 7 секунд, а в KB4 – 50 секунд, и событие там может генерироваться не 4, а 112, что, возможно, собьет с толку инженера, привыкшего к «обычным» HW.

Нешифрованный трафик вместо зашифрованного

Новичкам бывает сложно понять природу 22 события – Non-encrypted IP Packet from network node – в журнале IP-пакетов. Оно означает, что координатор ждал с этого IP-адреса шифрованный трафик, а пришел нешифрованный. Чаще всего это происходит так:

пользователь забыл залогиниться в ViPNet-клиент, или случайно разлогинился, но при этом пытается попасть на защищаемые ресурсы. В этом случае драйвер IPlir неактивен, а трафик, который по маршрутизации дошел до координатора, не был зашифрован на АРМ пользователя. По заголовкам пакета координатор видит, что все легально: адрес источника принадлежит АРМ с ViPNet-клиентом, адрес назначения – защищенному или туннелируемому узлу. Значит, и трафик должен приходить зашифрованным, но это не так, поэтому его надо заблокировать. Частным случаем данного сценария является ситуация, когда в сети поменялись адреса, и на том адресе, на котором был защищенный ViPNet-клиент, АРМ оказался туннелируемый. Но координатор все еще считает, что на этом адресе есть ViPNet-клиент, и поэтому нешифрованный трафик блокируется;
с одной стороны взаимодействия отсутствуют связи. Например, вы связали два координатора, а справочники и ключи отправили только на один (или до второго они не дошли). В этом случае первый будет ждать зашифрованный трафик, но второй, так как не знает о существовании первого, будет присылать только незашифрованный;
туннели прописываются вручную локально на КШ. Чтобы смоделировать такой сценарий, нужно два связанных координатора. На одном прописываем собственные туннели и туннели соседа, на втором «забываем» это сделать. При такой настройке трафик, исходящий от туннелей второго координатора к туннелям первого, шифроваться не будет, и на первом координаторе возникнет 22 событие.

Обработка прикладных протоколов (ALG)

На многих межсетевых экранах, включая ViPNet Coordinator, могут возникать проблемы с прохождением SIP через NAT. С учетом того, что виртуальные адреса – это внутренний NAT, проблема может возникать, даже когда в явном виде NAT не используется, а используются только виртуальные адреса. Координатор обладает модулем обработки прикладных протоколов (ALG), который должен эти проблемы решать, но не всегда это работает так, как хотелось бы. Не буду останавливаться на механизме работы ALG (на эту тему можно написать отдельную статью), принцип одинаков на всех МСЭ, изменяются лишь заголовки прикладного уровня. Для корректной работы протокола SIP через координатор необходимо знать следующее:

при использовании NAT должен быть включен ALG;
при использовании виртуальной адресации ALG должен быть включен на обоих узлах, участвующих во взаимодействии (координатор-координатор, координатор-клиент), даже если виртуальная видимость установлена только с одной стороны;
при использовании реальной видимости и отсутствии NAT необходимо выключить ALG для того, чтобы он не вмешивался в работу SIP;
ALG-линейки 3.х и 4.х несовместимы (строго говоря, в линейке 3.х вообще не было возможности как-то им управлять). В таком сценарии гарантировать корректную работу SIP вендор не может.

В заключение

Я постарался рассмотреть самые злободневные проблемы, обозначить их корни и рассказать о решениях. Конечно, это далеко не все особенности ViPNet, поэтому рекомендую не стесняться – обращаться в поддержку и спрашивать совета в коммьюнити (на форуме вендора, в телеграмм-канале, в комментариях под этим постом). А если вам не хочется погружаться во все сложности работы с ViPNet или это слишком трудозатратно, то всегда можно отдать управление вашей ViPNet-сетью в руки профессионалов.

Автор: Игорь Виноходов, инженер 2-ой линии администрирования «Ростелеком-Солар»

В настоящий момент в РМИС поддерживается работа с ЭЦП на Windows (VipNet CSP, КриптоПро) и в Linux (КриптоПро). Планируется расширить перечень поддерживаемых криптопровайдеров в Linux (VipNet CSP) в течение 2018 г.

Click here to expand. (старая инструкция, актуальная по криптопровайдерам и ОС выше)

При автоматической загрузке появится всплывающее окно:

Нажмите «Выполнить».
При появлении окна контроля учетных записей нажмите «Да»:

Нажмите «Да», чтобы началась установка:

После завершения установки выполните указанные инструкции о перезагрузке компьютера:

сертификат»:
Выберите «Поместить все сертификаты в следующее хранилище», нажмите «Обзор» и укажите «Доверенные корневые центры сертификации». Затем нажмите «ОК» и «Далее»:

В конце работы мастера нажмите «Готово». На всплывающих окнах жмите «ОК».
3. Установить личный сертификат с УЭК в хранилище сертификатов «Личные» с обязательной связкой данного сертификата с ключом электронной подписи.

Откройте Пуск – Все программы – Крипто-Про – КриптоПро УЭК CSP. Перейдите во вкладку Сервис – Просмотреть сертификаты в контейнере – Нажмите «

Автоматически произойдет установка связи с сервисом CV сертификатов. Для генерации случайного числа терминала необходимо нажимать на кнопки клавиатуры и перемещать указатель мыши. Это необходимо для установки CV –сертификата и получения защищенного доступа к карте:
При условии успешной аутентификации терминала на карте будет найден ключевой контейнер, который отобразится в окне:

Появившееся окно с уведомлением об установке говорит о том, что Ваш сертификат был успешно установлен. Нажмите «ОК»: !worddave50c9e156709f24b72cbb87f553bb0d2.jpg|height=166,width=467!Затем нажмите «Готово». КриптоПро УЭК CSP можно закрыть.

Для удаления ViPNet в данном случае вам необходимо выполнить следующее:

Выполнить запуск Операционной Системы в безопасном режиме(клавиша F8).
Запустите редактор реестра: Пуск - Выполнить, укажите regedit.exe и нажмите ОК
В реестре найдите слева ветку HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal
В этой ветке создайте раздел с названием MSIServer (путь должен получиться HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MSIServer)
Откройте этот раздел. Справа дважды щелкните по "(По умолчанию)"
Введите значение service и нажмите на ОК.
Запустите Пуск - Все выполнить , укажите services.msc и нажмите на ОК
Найдите службу Установщик Windows, щелкните правой кнопкой и запустите ее.
Теперь можно удалить ViPNet через Установку и удаление программ в Панели управления.

Некорректно удалилась предыдущая версия программы ViPNet

Нажмите на Пуск -> Выполнить (или на клавиатуре Win+R)
В появившемся окне введите regedit.exe и нажмите на ОК
Открыть папку HKEY_LOCAL_MACHINE\Software\InfoTecs\Setup\Products
1. Если в ней есть папка Infotecs-Client, переименовать ее в -Infotecs-Client(поставить вначале -)
1. Если в ней есть папка Infotecs-Client, переименовать ее в -Infotecs-Client(поставить вначале -)
Недостаточно места на диске C

На диске C: должно быть не менее 10 ГБ свободного места. Удалите (перенесите) лишние файлы с этого диска и заного Установите ViPNet в программе обновления.

Отключена служба Брандмауэр Windows

При этом в логе C:\ProgramData\InfoTeCS\InstallerData\ViPNet Client\Logs\Setup.msi_XXX можно увидеть строчку вида

Failed to start service MpsSvc. Error code = 1058, (0x422) - Указанная служба не может быть запущена, поскольку она отключена или все связанные с ней устройства отключены.
1. Откройте Пуск -> Панель управления -> (проверьте что справа-вверху стоит вид "Мелкие значки" или "Крупные значки") -> Администрирование
2. Запустите Службы
3. Найдите службу Брандмауэр Windows. Дважды кликните на ней, зайдя в свойства.
4. В окне свойств убедитесь, что Тип запуска отличен от "Отключено". Если установлено "Отключено", выберите вариант "Автоматически" и нажмите на ОК.
5. Попробуйте переустановить ViPNet
Проблемы с антивирусным ПО

Выключите антивирус полностью и попробуйте установить ViPNet снова, возможно потребуется удаление антивируса.

Отсутствуют обновления ОС

Работает только на лицензионной Windows!

Установите все последние обновления ОС

Проблемы с установкой драйвера ViPNet (что-то, вероятнее всего драйвера, блокирует изменение одной ветки реестра)

Также эту проблему (0x80070005) можно увидеть в логе C:\ProgramData\InfoTeCS\InstallerData\DrvInstall\InstallIpLirim.log :

2017/11/17 14:59:58 - Installing component "IplirLwf"
2017/11/17 15:00:01 - INetCfgClassSetup::Install successful
2017/11/17 15:00:01 - Successfully installed, apply the changes
2017/11/17 15:00:01 - Operation failed with error 0x80070005.

Установку ViPNet необходимо производить в безопасном режиме с загрузкой сетевых драйверов (решение для Windows 7):
1. Перезагрузитесь и в начале загрузки жмите много раз F8
2. Выберите вариант загрузки Безопасный режим с загрузкой сетевых драйверов
3. Загрузитесь до рабочего стола, ошибки Secret Net игнорируйте
4. Запустите редактор реестра: Пуск - Выполнить, укажите regedit.exe и нажмите ОК
5. В реестре найдите слева ветку HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network
6. В этой ветке создайте раздел ("папку") с названием MSIServer (путь должен получиться HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MSIServer)
7. Откройте этот раздел. Справа дважды щелкните по "(По умолчанию)"
8. Введите значение service и нажмите на ОК.
9. Запустите Пуск - Все выполнить , укажите services.msc и нажмите на ОК
10. Найдите службу Установщик Windows, щелкните правой кнопкой и запустите ее.
11. Запустите установку ViPNet снова.
Неверные настройка даты, времени и часового пояса.
Проверьте настройки даты и времени. Должно быть точное московское время. Максимальная допустимая раница 2 часа.

Не запустилась служба ViPNet.
1. Зайдите в ViPNet под администратором.
2. Файл - Конфигурации - Отключить защиту.
3. Файл - Конфигурации - Включить защиту.
4. Проверьте доступность узлов.
Блокирует трафик от ViPNet клиента
1. Проверьте наличие ПО, которое может блокировать трафик. Это может быть любой Firewall или Антивирус.
2. Если вы используете прокси, то необходимо разрешить прохождение пакетов от ViPNet, добавить необходимы адреса в исключение.
3. Попробуйте подключить ПК к другой сети. Если узлы стали доступны, то возможно трафик блокируется сетевым оборудованием.
Проблемы с ОС или сетевыми драйверами
1. Попробуйте установить ViPNet с этой ключевой на другой ПК. Если все узлы доступны, то скорее всего проблема в ПК.
2. Удалите ViPNet клиент, и полностью переустановить сетевые драйвера. Установите клиент повторно.
Проблемы с самой ключевой информацией

Ничего не помогло, вы ипользовали свежую ключевую, у вас в сети ничего не блокируется и на соседнем ПК все работает, а переустановка не помогает.

В данном случае потребуется переустановка ОС.

Проверьте наличие прокси. Необходимо добавить адрес системы в исключение.

Прокси нет, а в браузере вы видите ошибку DNS.
- В инструкции по установке ViPNet есть пункт настройка DNS. Выполните настройку DNS.
- Можно добавить адрес в файл host, в виде IP адрес DNS имя. В файле host есть примеры добавления.
1. Зайдите в ViPNet под администратором.
2. Сервис - Настройка приложения.
3. Прикладные протоколы.
4. Выберите протокол Передача файлов FTP и снимите галочку с tcp 21.
В данном случае велика вероятность того, что MFTP на данном узле сломан.
Для проверки на наличие ошибок необходимо сделать следующее:

Для проверки доступа в сеть Интернет можно отключить ViPNet клиент. Для этого необходимо:
1. Зайдите в ViPNet под администратором.
2. Файл - Конфигурации - Отключить защиту.
Если при отключении защиты ViPNet, доступ в сеть Интернет есть, то фильтры открытой сети были настроены неверно или не настраивались. Необходимо настроить фильтры открытой сети на доступ в сеть Интернет.

Если при откллючении защиты ViPNet, Доступ в сеть Интернет не появился, значит проблема не связанна с клиентом ViPNet. Рекомендуется проверить сеть в организации и настройки сети на рабочем месте. Возможно стоит обновить сетевые драйвера.

Отключить обрабуотку прикладного протокола DNS.
1. Зайти в режим администратора.
2. Сервис.
3. Настройка приложения.
4. Прикладные протоколы.
5. Двойной клик по строке "Система доменных имен (DNS)"
6. Снять галочки с используемых портов и нажать ОК.
7. Нажать кнопку применить.
Настройте фильтры открытой сети по инструкции.

Добавление фильтра открытой сети открывающего весь трафик.

Есть 2 способа устранить данную проблему.
1. Переинициализировать ViPNet клиент свежей ключевой. Для получени нового файла ключевой информации ViPNet, необходимо сделать обращение в ГАУ РК ЦИТ. Пример обращения на получение ключевой информации можно найти ниже.
2. Запросить обновления справочников и ключей. Для этого необходимо сделать обращение в ГАУ РК ЦИТ. Пример обращения на рассылку справочников и ключей можно найти ниже. Данный способ поможет устранить проблему только, если ваш ViPNet клиент обновлен до версии 4 и работает исправно.
О статусе письма можно узнать в справке приложения Деловая почта.

Не рекомендуется устанавливать ViPNet клиент и Континент АП на одно рабочее место. Это приведёт к конфликту между двумя программами и вы не сможете получить доступ к информационным системам.

Для получения доступа к системе СУФД через ViPNet, необходимо оформить обращение в ГАУ РК ЦИТ с просьбой открыть доступ и настроить рабочее место.

Необходимо будет настроить файл hosts. По умолчнию файл находится тут: "Системный диск:\Windows\System32\drivers\etc\ ". Файл hosts необходимо открыть в любом текстовом редакторе с правами администратора и добавить следующие строки:
10.136.7.36 s0700w03.ufk07.roskazna.local
10.136.7.36 sufd.s0700w03.ufk07.roskazna.local
- Континент АП или иные клиенты VPN
- Антивирус Dr.Web
- Программные межсетевые экраны
В обращении необходимо указать следующую информацию:
1. ID узла ViPNet клиента, ключевая которого вам нужна.
2. ID узла ViPNet клиента, на Деловую почту которого вам будет направлена данная ключевая.
Можно указать список из ID узлов ViPNet.

Важно! Убедитесь в том, что вы указываете именно ID узла (в 3 версии ViPNet клиента Номер АП), а не ID пользователя. Они очень похожи друг на друга. У некоторых узлов эти значения могут быть одинаковыми. Инструкцию Как узнать ID узла? можно посмотреть тут.

Важно! Убедитесь в том, что узел, который вы указываете в качестве получателя может получить письмо по Деловой почте. Он должен быть рабочим, а узел ЦИТ_S_B_Сыктывк_Коммун-я 8;Core доступен.

Пример:

Просьба выслать ключевую информацию для узла *ID узла (1)* по Деловой почте на узел *ID узла (2)*.

В обращении необходимо указать следующую информацию:
1. ID узла ViPNet клиента на который необходимо выслать обновления.
2. Описать проблему. Рекомендуется приложить скриншот с ошибкой.
Важно! Узел, который вы указываете в качестве получателя может быть сломан, и обновления до узла не дойдут. В данном случае поможет только переинициализация ключей или переустановка клиента.

Пример:

Просьба выслать обновление справочников и ключей для узла *ID узла (1)* , так как Описание проблемы(2).

В обращении необходимо указать следующую информацию:
1. ID узла ViPNet клиента которому необходимо открыть доступ.
2. IP адрес, DNS имя и наименование системы, к которой необходимо открыть доступ.
Важно! Рекомендуется указывать как можно больше информации о системе. Если вы укажите только название информационной системы, есть вероятность того, что мы будем запрашивать у вас дополнительную информацию.

Важно! Мы можем открыть доступ только к системам, которые сопровождает ГАУ РК ЦИТ. Доступ к другим системам, например ФРДО, Промед или ТФОМС открывают администраторы соответствующих сетей. Со своей стороны ГАУ РК ЦИТ может только сделать связь между вашим узлом и узлом чужой сети, поэтому открытие доступа к таким системам может занять значительно больше времени.

Пример:

Просьба открыть доступ для узла *ID узла (1)* к Информация о системе(2).

Читайте также: