Vipnet csp или криптопро csp сравнение

Криптопро sharpei: что это

КриптоПро Sharpei предназначен для создания новых приложений, которые надежно защищены при помощи современных инструментов. Также благодаря применению этого дистрибутива можно использовать стандартное ПО, например, Microsoft Office Forms Server 2007 чтобы подписывать и верифицировать ЭЦП при помощи отечественных государственных стандартов.

Согласно информации, на официальном сайте на данный момент продукт КриптоПро Sharpei не разрабатывается, а его функции перенесены в КриптоПро .NET.

Источник

Криптопро csp: что это за программа

КриптоПро CSP представляет собой криптопровайдер, средство криптографической защиты, предназначенное для обеспечения целостности программных приложений при помощи методов шифрования. Также ПО позволяет защитить конфиденциальную информацию при обмене данными через интернет и обеспечить юридическую достоверность электронных документов.

В соответствии с российскими государственными стандартами, принятыми в сфере криптозащиты ПО позволяет обезопасить электронную информацию при помощи модулей, которые встраиваются в систему. Программа обеспечивает идентификацию и авторство при электронном документообороте.

Криптопро — что это такое | softmagazin

Установить сначала КриптоПро CSP. После установки программы до перезагрузки компьютера запустить reg-файл с содержимым:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession ManagerCProPatches]

«Force»=dword:00000001

(un)split tunneling

Еще один факт, который знают далеко не все: по умолчанию ViPNet-клиент работает в режиме split tunnel (когда можно указать, какой трафик заворачивать в туннель, а какой нет). У ViPNet существует технология «Открытого Интернета» (позже переименована в «Защищенный интернет-шлюз»).

Многие ошибочно приписывают этот функционал координатору, а не клиенту. На клиенте, который зарегистрирован за координатором с такой функцией, создается два набора предустановленных фильтров. Первый разрешает взаимодействие только с самим координатором и его туннелями, второй – с остальными объектами, но запрещает доступ к координатору ОИ и его туннелям.

Причем, согласно концепции вендора, в первом случае координатор должен либо туннелировать прокси-сервер, либо сам являться прокси-сервером. Служебный трафик, а также прием и передача конвертов (как служебных, так и приложений), работают в любой конфигурации.

«крипто-про 3.6» vs «vipnet client 3.2»

Капризная пара. Рабочий способ установки:

1. Установите «Крипто-Про 3.6». Активируйте если нужно. Перезагрузите компьютер;
2. Установите «Vipnet Client 3.2». Перезагрузите компьютер;
3. Установите ключевой дистрибутив «Vipnet». Отключите криптопровайдер «Vipnet Client 3.2». Как это сделать описано в этой статье. Перезагрузите компьютер.
4. Произведите переустановку (восстановление) «Крипто-Про 3.6». Перезагрузитесь.

«крипто-про 3.6» vs «vipnet client 4.3»

В этом случае установленная на компьютер «Крипто-Про 3.6» может помещать установке «Vipnet Сlient 4.3». В процессе установки последнего может выскочить ошибка «Не удалось установить VipNet Client». Поэтому предлагаю следующий порядок установки:

1. Удалите «Крипто-Про 3.6», если эта программа установлена. Перезагрузитесь;
2. Установите «Vipnet Client 4.3», перезагрузитесь;
3. Установите ключевой дистрибутив в «VipNet». По умолчанию в «Vipnet Client 4.3» криптопровайдер отключен, но это лучше проверить;
4. Установите «Крипто-Про 3.6».

«крипто-про 4» vs «vipnet client 3.6»

В данном случае достаточно отключить криптопровайдер в «Vipnet Client 3.6» и, после этого, переустановить «Крипто-Про 4».

«крипто-про 4» vs «vipnet client 4.3»

Наименее проблемная пара. Если у Вас возникли проблемы при их совместном использовании — убедитесь, что криптопровайдер VipNet CSP отключен, если да, то попробуйте сделать переустановку «Крипто-Про 4».

Также, во всех случаях, советую убедиться, что у Вас установлены все необходимые драйверы для электронных ключей, которые Вы используете (ruTocken, jaCarta и т.п.).

Источник

Установить VipNet CSP/Validata CSP.

Если КриптоПро CSP уже установлен, то запустить reg-файл и перезагрузить компьютер.

Главное, чтобы КриптоПро CSP был установлен (и в реестр внесено нужное значение параметра) до начала установки VipNet CSP/Validata CSP.

Если VipNet CSP/Validata CSP уже установлен и нет возможности его удалить, можно попробовать так:

а) Пуск — Выполнить — regedit;

б) запустить установку КриптоПро CSP;

в) по завершении установки программы до перезагрузки компьютера перейти в нужный раздел реестра (HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession ManagerCProPatches) и вручную исправить значение параметра Force с 0 на 1.

Данная инструкция актуальна для всех версий КриптоПро CSP, начиная с КриптоПро CSP 3.6 R2 (если устанавливать КриптоПро CSP первым).

Для корректной работы TLS в Internet Explorer по ГОСТ при установленном КриптоПРО CSP и ViPNet 4.2 необходимо в ветке реестра 

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa

отредактировать параметр Security Packages: заменить sspp на schannel, перезагрузить компьютер и проверить работу Internet Explorer.

Vipnet csp

Для проверки наличия программы и определения версии VipNet на вашем компьютере необходимо сделать следующее:

1. Зайдите по пути: Пуск → Все программы → ViPNet→ ViPNetCSP→ ViPNetCSP (Пуск ViPNetCSP) или Мой компьютер → Диск C → Program Files (Program Files (x86)) → InfoTeCS → ViPNet CSP → csp_settings_app.exe
2. Открыв окно программы в левом нижнем углу будет указана Версия продукта (см. рисунок)

3. Если данной программы нет в списке, значит программа ViPNet CSP не установлена на вашем компьютере.

Выбор криптопровайдера (криптопро csp vs vipnet csp)?

В продолжение вопроса «

ЭЦП для подписи файлов сотрудниками

»: при использовании юридически значимой ЭЦП (по ФЗ №63) от аккредитованного УЦ, в чём разница между криптопровайдерами? Их много, я знаю, в заголовке я указал КриптоПро CSP и ViPNet CSP как самые распространённые, причём вторая бесплатная. Большинство УЦ если и указывает криптопровайдера, то это КриптоПро, но действительно ли это ограничивает выбор, или с тем же УЦ я могу использовать и бесплатную ViPNet CSP? В чём отличия, есть ли подводные камни?

P.S. Про клиентский интерфейс не спрашиваю: я так понимаю, альтернатив КриптоАРМ нет (нагуглились только КриптЭК, КриптоЛайн и ViPNet CryptoFile, но инфы о них крайне мало).

UPD: По поводу клиентского интерфейса: ViPNet CryptoFile стал доступен для загрузки с сайта производителя , а также внесена ясность в права его использования: он бесплатен для использования с другим ПО ViPNet. Таким образом, ViPNet CSP и ViPNet CryptoFile составляют цельный и бесплатный стек для работы с ЭЦП. Ура 🙂

Замена координатора

Рано или поздно встает вопрос о замене координатора на более производительный или временный вариант. Например, замена HW1000 на HW2000 или программного координатора – на ПАК и наоборот. Сложность заключается в том, что у каждого исполнения своя «роль» в ЦУС (Центре управления сетью).

Как правильно изменить роль, не потеряв связность? Сначала в ЦУС меняем роль на новую, формируем справочники, но не отправляем(!) их. Затем в УКЦ выпускаем новый DST-файл и проводим инициализацию нового Координатора. После производим замену и, убедившись, что все взаимодействия работоспособны, отправляем справочники.

Как обновить версию криптопровайдера?

Перед обновлением необходимо приобрести лицензию последней версии криптозащиты.

Как пользоваться эцп криптопро

Использование электронной подписи необходимо для идентификации и авторства электронных документов, юридической верификации электронного документооборота. Электронная подпись решает вопрос доказательства момента подписи документа и действительность сертификата на данный момент. Для примера, приводится момент подписания документа Microsoft Word 2022.

Помимо программного комплекса Крипто-Про CSP, необходимы корневой сертификат УЦ и личный сертификат владельца ЭЦП. Для подписания документа, должен быть установлен плагин «КриптоПро Office Signature». Открыв документ, нужно зайти в пункт «Файл», зайдя во вкладку «Сведения» нужно выбрать пункт «Добавить цифровую подпись».

Как узнать какая версия криптопровайдера у меня?

Для проверки наличия программы и определения версии КриптоПро на вашем компьютере необходимо сделать следующее:

Как установить криптопровайдер: рассказываем на примере криптопро и vipnet

На волне интереса к предыдущим памяткам по работе с ПО «Астрал Отчет» (по переносу ПО на другой компьютер и его первому запуску , например) подготовили для Вас еще одно мини-руководство – по установке и переустановке на ПК криптопровайдеров КриптоПро CSP и ViPNet CSP .

Начнем с КриптоПро CSP

Шаг 1 . Перейдите на сайт «КриптоПро» , затем в меню выберите Продукты → СКЗИ КриптоПро CSP/TLS/JCP → Загрузка файлов

Откроется раздел «Как загрузить дистрибутив?». При первоначальном входе в систему необходимо зарегистрироваться, а если процедуру регистрации Вы уже проходили – войти под своей учетной записью.

После авторизации на сайте откроется ссылка «Загрузка файлов», перейдите по ней. В «Центре загрузки» выберите КриптоПро CSP.

Далее выберите необходимый дистрибутив в соответствии с установленной у Вас операционной системой и ее разрядностью и сохраните его в формате .msi на жесткий диск компьютера (с помощью кнопки «Сохранить файл»). Перед скачиванием дистрибутива рекомендуем ознакомиться с совместимостью СКЗИ КриптоПро CSP и Windows .

Важно: перед установкой, переустановкой и удалением криптопровайдера рекомендуем также предусмотрительно создать точку восстановления системы .

Шаг 2 . Для начала установки нажмите в открывшемся окне «Установить»

Начнется установка программы. После ее завершения нажмите кнопку «Ок»

Шаг 3 . После установки КриптоПро CSP Вам необходимо перезагрузить ПК, после чего криптопровайдер будет готов к работе.

Обращаем Ваше внимание на то, что СКЗИ КриптоПро CSP имеет демонстрационный период продолжительностью 3 месяца, в течение которого КриптоПро CSP будет работать в полнофункциональном режиме, после чего потребуется его обязательная регистрация.

Как установить СКЗИ ViPNet CSP

Шаг 1 . Перейдите на сайт «ОАО «ИнфоТеКС» . Из списка дистрибутивов выберите необходимый и перейдите по ссылке с его наименованием. Рекомендуем перед скачиванием ознакомиться с совместимостью СКЗИ VipNet CSP и Windows .

Затем необходимо заполните лицензионное соглашение и нажмите «Отправить заявку»

После этого ссылка на загрузку файла и его серийный номер будут отправлены Вам на указанный при регистрации адрес электронной почты (серийный номер необходим для регистрации программного продукта ViPNet CSP после его установки).

Важно : перед установкой, переустановкой и удалением криптопровайдера рекомендуем также предусмотрительно создать точку восстановления системы .

Шаг 2 . Перейдите по ссылке, загрузите и запустите файл. Откроется лицензионное соглашение. Нажмите «Я принимаю это соглашение – Продолжить»

Если Вы планируете использовать ViPNet CSP для входа в Личный кабинет ФНС, в окне «Способ установки» нажмите «Настроить – Поддержка работы ViPNet CSP через MS Crypto API – Поддержка протокола TLS/SSL». Если не для этого – выберите «Установить сейчас»

Начнется установка ViPNet CSP, после ее окончания нажмите «Закрыть»

Шаг 3 . По завершении установки перезагрузите компьютер для обеспечения корректной работы VipNet CSP. Важно: в течение демонстрационного периода (14 дней) криптопровайдер будет работать в полнофункциональном режиме, после нужно будет его обязательно зарегистрировать.

Готово! Успешной работы!

Кластеризация и сбой ноды

Горячий резерв – это must have для любой крупной площадки, поэтому на них всегда закупался кластер старших моделей (HW1000, HW2000, HW5000). Однако создание кластера из более компактных криптошлюзов (HW50 и HW100) было невозможно из-за лицензионной политики вендора.

В итоге владельцам небольших площадок приходилось серьезно переплачивать и покупать HW1000 (ну, или никакой отказоустойчивости). В этом году вендор, наконец, сделал дополнительные лицензии и для младших моделей координаторов. Так что с выходом версий 4.2.x появилась возможность собирать в кластер и их.

При первичной настройке кластера можно серьезно сэкономить время, не настраивая интерфейсы в режиме мастера или командами CLI. Можно сразу вписывать необходимые адреса в конфигурационный файл кластера (failover config edit), только не забудьте указать маски.

При запуске демона failover в кластерном режиме он сам назначит адреса на соответствующие интерфейсы. Многие при этом боятся останавливать демон, предполагая, что адреса сменяются на пассивные или адреса сингл-режима. Не волнуйтесь: на интерфейсах останутся те адреса, которые были на момент остановки демона.

В кластерном исполнении существует две распространенные проблемы: циклическая перезагрузка пассивной ноды и ее непереключение в активный режим. Для того чтобы понять суть этих явлений, разберемся в механизме работы кластера. Итак, активная нода считает пакеты на интерфейсе и в случае, если за отведенное время пакетов нет, отправляет пинг на testip.

Если пинг проходит, то счетчик запускается заново, если не проходит, то регистрируется отказ интерфейса и активная нода уходит в перезагрузку. Пассивная нода при этом отправляет регулярные ARP-запросы на всех интерфейсах, описанных в failover.ini (конфигурационный файл кластера, где указаны адреса, которые принимает активная и пассивная ноды). Если ARP-запись хоть одного адреса пропадает, то пассивная нода переключается в активный режим.

Вернемся к кластерным проблемам. Начну с простого – неперключение в активный режим. В случае если активная нода отсутствует, но на пассивной в ARP-таблице (inet show mac-address-table) ее mac-адрес все еще присутствует, необходимо идти к администраторам коммутаторов (либо так настроен ARP-кэш, либо это какой-то сбой).

С циклической перезагрузкой пассивной ноды немного сложнее. Происходит это из-за того, что пассивная не видит ARP-записи активной, переходит в активный режим и (внимание!) по HB-линку опрашивает соседа. Но сосед-то у нас в активном режиме и аптайм у него больше.

В этот момент пассивная нода понимает, что что-то не так, раз возник конфликт состояний, и уходит в перезагрузку. Так продолжается до бесконечности. В случае возникновения данной проблемы необходимо проверить настройки IP-адресов в failover.ini и коммутацию. Если все настройки на координаторе верны, то пришло время подключить к вопросу сетевых инженеров.

Конверт не доставлен

Но журнал IP-пакетов, увы, бесполезен, когда речь заходит о конвертах. Они доставляются с помощью транспортного модуля (mftp), у которого есть свой журнал и своя очередь. Конверты по умолчанию передаются на «свой» координатор клиента (то есть тот, на котором зарегистрирован узел), и далее по межсерверным каналам, которые настроены между координаторами (то есть не напрямую по защищенному каналу).

Из этого следуют два вывода. Во-первых, между клиентами не обязательно должна проверяться связь (по нажатию на F5 и соответствующей иконки в меню) для доставки конвертов. Во-вторых, если связь межу ними все-таки проверяется, это не гарантирует доставку, так как проблема может быть в одном из межсерверных каналов.

Диагностировать прохождение конвертов межсерверным каналам или между клиентом и координатором в неочевидных случаях можно с помощью журнала и очереди конвертов, а также логов на координаторе. Также транспортный модуль ViPNet-клиента можно настроить на прямую доставку конвертов, доставку через общую папку или SMTP/POP3 (но это совсем экзотичный вариант). Погружаться в эти настройки мы не будем.

Координатор недоступен

«У нас недоступен координатор/клиент/туннель. Что делать?» – самый частый вопрос, с которым приходят новички при настройке ViPNet. Единственно верное действие в такой ситуации – включать регистрацию всего трафика на координаторах и смотреть в журнал IP-пакетов, который является важнейшим инструментом траблшутинга всевозможных сетевых проблем.

Криптопро и vipnet client.

Как могут ужиться на одном рабочем компьютере два программных продукта российских разработчиков: «КриптоПро» и «Vipnet Client».

Версия «Vipnet Client» успела смениться с 3.2. на 4.3, а «КриптоПро» с 3.6 на 4. «Vipnet Client» и «Крипто-Про» установленные на одном компьютере, без дополнительных манипуляций, корректно работают редко. Обычно либо одна, либо другая программа выдает ошибку, не устанавливается или просто не работает как нужно.

Почему? Возможно по разным причинам. Часто дело может быть в Microsoft Crypto API операционной системы Windows. Точнее, в том, как эти программы с ней работают.

CryptoAPI – это интерфейс прикладного программирования (API – Application Programming Interface) в операционной системе Windows, предоставляющий службы шифрования для операционной системы и приложений, работающих под ее управлением. Он содержит ряд функций, позволяющих приложениям шифровать данные и ставить цифровую подпись различными способами, обеспечивая защиту личных ключей. Однако, сами функции CryptoApi не выполняют никаких криптографических действий, а служат лишь посредниками между прикладной программой и CSP (Cryptographic Service Provider – поставщик службы шифрования). Программная часть криптопровайдера представляет собой dll-файл с функциями поддержки шифрования. Криптопровайдеры отличаются друг от друга составом функций, требованиями к оборудованию, алгоритмами, осуществляющими базовые действия (создание ключей, хеширование и пр.). Источник.

В нашем случае, «Крипто-Про» и «Vipnet Client» выполняют функцию криптопровайдера. Оба криптопровайдера позволяют системе Windows шифровать и подписывать информацию по ГОСТовским алгоритмам. Для программы «Крипто-Про» это основная функция, для которой она предназначена.

Так уж получается, что в большинстве случаев эти криптопровайдеры конфликтуют, замещая друг друга. Например, вы хотите подписать документ в веб-приложении при помощи ключа установленного в «Крипто-Про», но вместо «Крипто-Про» подписать документ вызывается криптопровайдер «VipNet», который данный ключ/сертификат не знает.

Чтобы связка «Крипто-Про» и «VipNet Client» была рабочей нужно отключить криптопровайдер «VipNet Client» и добиться, чтобы криптопровайдер «Крипто-Про» стал основным. Таким образом Вы сможете работать в защищенной сети «VipNet», использовать «Деловую почту» и при этом для электронной цифровой подписи использовать «Крипто-Про».

По наблюдениям та программа, которая была установлена в последнюю очередь будет играть роль криптопровайдера «по умолчанию». Поэтому, один из приёмов, если Вам нужно использовать в качестве криптопровайдера «Крипто-Про» — установите его в последнюю очередь. Также, в теории, это можно сделать правкой реестра, но это более трудоемко.

Ну а теперь конкретнее, про установку различных версий этих программ.

Не забываем про время

Тему блокировок продолжаем событием номер 4 – IP packet timeout. Тут все банально: это событие возникает при расхождении абсолютного (без учета часовых поясов) времени между узлами сети ViPNet (координаторы и ViPNet-клиенты). На координаторах HW максимальная разница составляет 7200 секунд и задается в параметре «timediff» конфигурационного файла IPlir.

Я не рассматриваю в этой статье координаторы HW-KB, но стоит отметить, что в версии KB2 timediff по умолчанию 7 секунд, а в KB4 – 50 секунд, и событие там может генерироваться не 4, а 112, что, возможно, собьет с толку инженера, привыкшего к «обычным» HW.

Невозможность работы gre

Само собой, у каждого решения в IT есть свои ограничения по поддерживаемым сценариям использования, и ViPNet Coordinator не исключение. Достаточно назойливой проблемой является невозможность работы GRE (и протоколов, которые его используют) от нескольких источников к одному адресу назначения через SNAT.

Возьмем, к примеру, систему банк-клиент, которая поднимает PPTP-туннель к публичному адресу банка. Проблема в том, что протокол GRE не использует порты, поэтому после прохождения трафика через NAT, socketpair такого трафика становится одинаковым (адрес назначения у нас одинаковый, протокол тоже, а трансляцию адреса источника мы только что произвели также в один адрес). Координатор реагирует на такое блокировкой трафика на фоне ошибки 104 – Connection already exists. Выглядит это так:

Поэтому, если вы используете множественные GRE-подключения, необходимо избегать применения NAT к этим подключениям. В крайнем случае выполнять трансляцию 1:1 (правда, при использовании публичных адресов это достаточно непрактичное решение).

Нешифрованный трафик вместо зашифрованного

Новичкам бывает сложно понять природу 22 события – Non-encrypted IP Packet from network node – в журнале IP-пакетов. Оно означает, что координатор ждал с этого IP-адреса шифрованный трафик, а пришел нешифрованный. Чаще всего это происходит так:

Обработка прикладных протоколов (alg)

На многих межсетевых экранах, включая ViPNet Coordinator, могут возникать проблемы с прохождением SIP через NAT. С учетом того, что виртуальные адреса – это внутренний NAT, проблема может возникать, даже когда в явном виде NAT не используется, а используются только виртуальные адреса.

Координатор обладает модулем обработки прикладных протоколов (ALG), который должен эти проблемы решать, но не всегда это работает так, как хотелось бы. Не буду останавливаться на механизме работы ALG (на эту тему можно написать отдельную статью), принцип одинаков на всех МСЭ, изменяются лишь заголовки прикладного уровня. Для корректной работы протокола SIP через координатор необходимо знать следующее:

Управляется модуль командами группы «alg module» из привилегированного режима (enable).

Пересечения адресов

В нашей практике нередко встречается пересечение туннелируемых адресов за разными координаторами.

Именно для таких случаев в продуктах ViPNet существует виртуализация адресов. Виртуализация – это своеобразный NAT без контроля состояния соединения один к одному или диапазон в диапазон. По умолчанию на координаторах эта функция выключена, хотя потенциальные виртуальные адреса вы можете найти в iplir.conf в строке «tunnel» после «to» в секциях соседних координаторов.

Для того, чтобы включить виртуализацию глобально для всего списка, необходимо в секции [visibility] изменить параметр «tunneldefault» на «virtual». Если же хотите включить для конкретного соседа, то необходимо в его секцию [id] добавить параметр «tunnelvisibility=virtual».

Также стоит убедиться, что параметр tunnel_local_networks находится в значении «on». Для редактирования виртуальных адресов параметр tunnel_virt_assignment необходимо перевести в режим «manual». На противоположной стороне нужно выполнить аналогичные действия.

Конечно, виртуальные адреса приносят некоторые неудобства, поэтому администраторы инфраструктуры предпочитают минимизировать их использование. Например, при подключении организаций к информационным системам (ИС) некоторых госорганов этим организациям выдается DST-файл c фиксированным диапазоном туннелей из адресного плана ИС.

Как мы видим, пожелания подключающегося при этом не учитываются. Как вписываться в этот пул, каждый решает для себя сам. Кто-то мигрирует рабочие станции на новую адресацию, а кто-то использует SNAT на пути от хостов к координатору. Не секрет, что некоторые администраторы применяют SNAT для обхода лицензионных ограничений младших платформ.

Последствия перепрошивки

Проблемной может оказаться перепрошивка на актуальную версию старых железок, которые долго лежали, например, в качестве ЗИП. В процессе может появиться ошибка «unsupported hardware», которая сообщает либо о том, что у вас действительно неподдерживаемая аппаратная платформа устаревшей линейки G1 (это HW100 E1/E2 и HW1000 Q1), либо о проблемах в настройке BIOS или в некорректной информации, зашитой в DMI.

Править ли самостоятельно DMI, каждый решает для себя сам, поскольку есть риск превратить оборудование в бесполезный «кирпич». С BIOS чуть проще: неверные настройки системы заключаются в выключенной функции HT (Hyper Threading) или выключенном режиме ACHI (Advanced Host Controller Interface) для HDD.

Чтобы не гадать, в чем конкретно проблема, можно обратиться к флешке, с которой производится прошивка. На ней создаются файлы с диагностической информацией, в частности, в файле verbose.txt перечислены все поддерживаемые платформы с результатом сверки с вашей.

Например, ошибка cpu::Vendor(#3)==’GenuineIntel’ 24 times => [Failed], скорее всего, сообщает о выключенном HT. Кстати, перепрошивку часто путают с обновлением, но это разные процессы. При обновлении сохраняются все настройки, а параметры, о которых было написано выше, не проверяются. А при перепрошивке вы возвращаетесь к заводским параметрам.

Служебные порты и tcp-туннель

Однажды я столкнулся с приложением, которое ни в какую не хотело работать через координатор. Так я узнал, что у координатора есть служебные порты, по которым незашифрованный трафик блокируется без возможности какой-либо настройки. К ним относятся UDP/2046,2048,2050 (базовые службы ViPNet)

, TCP/2047,5100,10092 (для работы ViPNet Statewatcher) и TCP/5000-5003 (MFTP). Тут подвела функции TCP-туннеля. Не секрет, что провайдеры любят фильтровать высокие порты UDP, поэтому администраторы, стремясь улучшить доступность своих КШ, включают функцию TCP-туннеля.

Ресурсы в зоне DMZ (по порту TCP-туннеля) при этом становятся недоступны. Это происходит из-за того, что порт TCP-туннеля также становится служебным, и никакие правила межсетевых экранов и NAT (Network Address Translation) на него уже не действуют. Затрудняет диагностику тот факт, что данный трафик не регистрируется в журнале IP-пакетов, как будто его вовсе нет.

В заключение

Я постарался рассмотреть самые злободневные проблемы, обозначить их корни и рассказать о решениях. Конечно, это далеко не все особенности ViPNet, поэтому рекомендую не стесняться – обращаться в поддержку и спрашивать совета в коммьюнити (на форуме вендора, в телеграмм-канале, в комментариях под этим постом).