Проверить ПТС по номеру автомобиля или VIN онлайн — на сайте проверки авто по базе ГИБДД
Статистика гласит, что более 86% покупателей не знают, как уберечь себя от обмана, приобретая авто. Покупка проблемного автомобиля грозит тратой денег, походом в суд и даже лишением машины. Чтобы не попасться на удочку мошенников, проверьте авто по гос.номеру или vin с помощью Автокод.
Что даёт проверка данных ПТС
Сервис предоставит достоверные данные из тех. паспорта автомобиля и сформирует полный отчет об истории машины. В него войдёт следующая информация:
- история регистрационных действий;
- сведения о розыске;
- данные об угоне;
- реальный пробег;
- наличие ограничений ГИБДД / арест;
- работа в такси;
- залог и прочее.
Если у авто проблемы с законом, его бывший владелец скрывался с места ДТП, не оплачивал штрафы, имел задолженности и так далее, то гос. номер машины числится в базе ГИБДД. В самом плохом случае при первом предъявлении документов на дороге инспекторы имеют право забрать машину на штрафстоянку. Поэтому перед покупкой необходимо проверить ПТС онлайн по базе ГИБДД и другим официальным базам.
Автокод пробивает машину более чем по 12 базам, среди которых ГИБДД, ЕАИСТО, РСА, ФНС, ФТС, ФНП, CarFax, реестры банков и такси и прочее.
Почему важно проверить данные ПТС перед покупкой
Денис Лукин, автоэксперт, компания «Ремонтиста»:
— Перед покупкой автомобиля недостаточно наличия главного документа на автомобиль — ПТС. Он должен быть подлинным и оригинальным. В противном случае может получиться так, что паспорт на автомобиль окажется поддельным, а у автомобиля совершенно другой хозяин. Мало того, машина находится в розыске. Надо ли вам это? В любом случае подделывают или делают дубликат ПТС не просто так, а для того чтобы скрыть информацию, которая отпугнёт покупателя. Например, то, что автомобилем владели многие люди. Почему тогда от него избавлялись? Наверняка, что-то с ним не так. Если в автомобиле хотя бы что-то вызывает подозрение, лучше от покупки отказаться. Рынок полон моделей с более чистой и прозрачной историей.
Денис Муранов, автоэксперт:
— Способов подделки ПТС не сосчитать. Часто преступники угоняют авто, а после тех. паспорт восстанавливают и изменяют на имя угонщика. Второй по популярности метод жульничества — покупка автомобиля в кредит и перепродажа. Пока оригинальный ПТС заложен в банке, мошенники оформляют дубликат и продают машину, сделав лишь пару кредитных платежей. Подобных случаев очень много, поэтому лично я советую всегда делать проверку ПТС по базе ГИБДД перед покупкой.
Как пробить данные ПТС машины
Процесс проверки тех. паспорта занимает не более 5 минут. Узнать данные ПТС автомобиля можно с помощью сервиса «Автокод». Для этого сделайте четыре простых шага:
- укажите символы госномера или vin в строке ввода;
- получите краткую характеристику автомобиля;
- оплатите стоимость полного отчета нажатием клавиши «Купить»;
- получите полный отчет о транспортном средстве.
В то же время на электронный адрес поступит письмо с копией развернутого отчета. Это позволит изучить данные о ТС в режиме онлайн и сохранить их в электронном формате.
Почему пробить ПТС лучше через Автокод
Сайт проверки ПТС онлайн по базе ГИБДД Автокод каждый день формирует более 500 полных отчетов и бесперебойно работает с клиентами по телефонам службы технической поддержки.
В чем преимущества Автокод:
- Информация поступает на сайт напрямую из ГИБДД и других официальных источников.
- Проверка сведений из тех.паспорта осуществляется только по гос.номеру или вин.
- Действует мобильное приложение Автокод, позволяющее пробить сведения об авто прямо на сделке.
Сервис поможет получить ясность о приобретаемой машине во время покупки. При этом проверка возможна по одному гос. номеру! Сайт позволит проверить данные ПТС в удобное время суток, а приложение «Автокод» – из любой точки страны. Уберегите себя от нежелательной покупки быстро и вовремя!
Проверить автомобиль прямо сейчас!
Как проверить авто в РСА
Наличие страхового полиса является обязательным для абсолютно всех владельцев машин Российской Федерации. С 2013 года Российским союзом автостраховщиков для обеспечения безопасности владельцам автомобилей от разного рода мошенников была создана единая база учёта, с помощью которой автовладелец может самостоятельно проверить информацию о его полисе. В этой статье вы узнаете о том, как правильно произвести проверку автомобиля в РСА.
Доступ к базе РСА возможен для любого пользователя интернета
Цели проверки автомобиля в базе РСА
В базе РСА содержится информация о клиентах страховых организаций и их машинах. Обновлением данных занимаются сотрудники страховых компаний, потому в реестре имеются актуальные материалы на момент запроса потребителем.
РСА — это организация, основана в 2002 году с целью защиты клиентов от мошенников в лице организаций, которые не имеют лицензии, и права предоставлять услуги по автострахованию. В базу вносятся абсолютно все сведения о машине, арестах и ДТП, что позволяет любой дочерней организации сверить данные клиента и предоставить соответствующие страховые гарантии потребителю в каждом отдельном случае.
Единая база РСА включает в себя такую информацию:
- О владельце транспортного средства и самой машине, включая причастность авто к ДТП;
- Данные о договоре обязательного страхования;
- Материалы об условиях, прописанных в договоре страхования;
- Актуальность страховки, её статус, сведения об организации, с которой заключён договор;
- Сумма выплаты по договору в ситуации страховых происшествий;
- Материалы о коэффициенте КБМ. Существующие скидки для клиента или повышение стоимости полиса при невыполнении обязательств потребителем.
А также по номеру удостоверения владельца машины можно узнать о лицах, которые имеют право на управление автомобилем.
Потребность в проверке по базе РСА возникает в случаях, когда надо определить подлинность документа о страховании или в случае возникновения страховой ситуации.
Проверка машины в РСА
Для проверки автомобиля в РСА необходимо иметь всего лишь доступ к интернету и базовые навыки пользования компьютером. На официальном сайте Российского союза автостраховщиков по номеру страхового полиса, номеру машины или VIN-коду пользователь может узнать все необходимые ему данные.
Чтобы проверить подлинность полиса, и его условия надо иметь номер страховки. Для получения сведений потребуется только ввести в специальные окошки номер полиса и его серию. Потребителю откроется за несколько секунд вся необходимая информация.
Для проверки ОСАГО достаточно ввести серию и номер полиса
А также на сайте имеется раздел «Сведения для потерпевших и других участников ДТП о наличии действующего договора ОСАГО в отношении определённого лица или транспортного средства», в котором любой гражданин Российской Федерации может проверить интересующую его машину на наличие полиса страхования по государственным регистрационным номерам или VIN-коду авто. Чаще всего этим сервисом пользуются для определения нарушителя закона, если владелец автомобиля скрылся с места ДТП. А также этот сервис часто используется потенциальными покупателями авто для проверки его на причастность к ДТП.
Единая база имеет полную информацию о машине, её владельцах, угонах, наличии дорожно-транспортных происшествий с участием авто. Обновления базы происходят ежесуточно, потому полученный отчёт всегда соответствует действительности.
А также на сегодня клиентам предоставлена возможность в режиме онлайн продлить договор страховки на автомобиль. Сделать это можно за шестьдесят дней до окончания действующего соглашения между компанией и потребителем. Клиент самостоятельно может ввести все свои данные, программа автоматически их сверит с ранее введёнными сведениями и продлит договор со страховой организацией.
Данные не проходят проверку в РСА
Случаются ситуации, когда при введении данных программа выдаёт ошибку. Такая проблема может возникать, если потребитель при заполнении полей допустил ошибку или же сотрудник страховой организации неточно внёс данные при оформлении полиса.
При возникновении такой проблемы надо попробовать заполнить поля ещё раз или же внести данные с ошибкой, которая имеется в страховом полисе.
Если выяснилось, что информация не выдаётся из-за ошибки в базе, тогда надо обратиться в страховую компанию и попросить откорректировать данные по полису. Обращение с такой просьбой имеет смысл только в том случае, если срок действия страховки ещё не истёк. Клиент имеет право присутствовать при произведении специалистом этой процедуры.
Ошибки в базе корректируются страховыми компаниями
Подведём итоги
Проверка авто в РСА не составит никакой сложности человеку, который умеет пользоваться интернетом. Для этого надо всего лишь зайти на сайт РСА и ввести в отведённых ячейках требуемые данные о машине. Усовершенствованная программа выдаст полноценный отчёт о транспортном средстве, его владельце и много дополнительных полезных сведений.
Прежде чем оформлять соглашение со страховой организацией, её можно проверить на подлинность и наличие лицензии на предоставляемые услуги. Чтобы не иметь проблем, лучше оформлять страховку на своё авто в крупных проверенных организациях, которые правильно рассчитают стоимость компенсаций и страховки, а также гарантированно и своевременно выполнят свои обязательства в случае страхового происшествия.
Как проверить диагностическую карту техосмотра по базе РСА в 2020
При покупке автомобиля, а вместе с ним и диагностической карты, следует убедиться в том, что документ не является «пустышкой», и техосмотр был действительно произведен. Убедиться в отсутствии обмана можно, самостоятельно сделав запрос в системе РСА. Если техосмотр был выполнен, сведения о нем будут содержаться в ЕАИСТО.
Что это такое
Для получения полиса ОСАГО или для совершения каких – либо юридических сделок с автомобилем, необходим, чтобы у владельца была на руках техкарта, которая оформляется только компетентным специалистом. Это официальный документ, являющийся подтверждением того, что технологическая проверка авто была пройдена.
Карта составляется на листе формата А4 и содержит данные в табличной форме. Обязательно должны быть занесены результаты проверки основных узлов машины, которые служат для обеспечения безопасности.
В конце таблицы указывается срок действия результатов. По его окончании владелец должен снова предоставить автомобиль для технического осмотра. Проверить результаты осмотра можно, не обращаясь ни в какие учреждения, достаточно лишь зайти на сайт базы РСА и ввести вин – код или государственный номер машины.
Еще несколько лет назад проводить техосмотр можно было лишь после получения страхового полиса, но сегодня действуют иные правила, и получить полис ОСАГО при отсутствии диагностической карты водителю не удастся.
Все данные, полученные экспертом в процессе проверки, заносятся в единую базу ЕАИСТО, которая находится в ведении ГИБДД. Информация сохраняется в течение пяти лет, после чего должна быть обновлена.
Какие сведения содержит
Документ, подтверждающий, что технический осмотр был пройдет, составляется в двух экземплярах, один из которых остается у оператора, второй передается владельцу автомобиля. Возможно составление карты как в бумажном, так и в электронном виде.
Карта может быть распечатана как на обычной бумаге, так и на специальном бланке, имеющим высокую степень защиты. Однако, карта будет иметь законную силу лишь в том случае, если при ее составлении были соблюдены все правила и нормы.
Так, в документе должна быть отображена следующая информация:
- Информация о гражданине, являющимся собственником транспортного средства.
- Идентификационный, уникальный номер документа.
- Перечень узлов машины, которые были проверены специалистом.
- Заключение проверяющего.
- Отметка, повествующая о том, что машина была зарегистрирована в ГИБДД.
- Печать и подпись оператора.
Если в готовом документе были обнаружены какие – либо недочеты и ошибки, они должны быть исправлены в обязательном порядке, в течение двадцати дней с момента получения документа на руки.
Таблица, в которую вписываются данные при проведении технического осмотра авто, содержит более 70 пунктов.
Технический осмотр проводится в несколько этапов:
- сопоставление данных, указанных в сопроводительных документах на авто;
- проверка соответствия авто заявленным в документации параметрам;
- диагностика узлов, агрегатов, отвечающих за исправную работу транспортного средства;
- оформление документации, в том числе и технической карты.
Чтобы проведение осмотра было возможным, владелец авто должен предъявить несколько документов:
- Свой российский паспорт.
- Свидетельство, выданное при регистрации машины в ГИБДД.
- Документ, дающий право на владение данной машиной.
Диагностическая карта заполняется следующим образом:
- Обязательно должна быть указана контактная и персональная информация об операторе ТО, проводящем техническую экспертизу.
- Должны быть указаны данные об автомобиле: год выпуска, номера рамы и кузова, регистрационный номер, серия и номер ПТС.
Диагностическая карта заполняется по мере проверки автомобиля. В соответствующих пунктах анкеты ставятся «галочки» или указывается развернутая информация.
Как проверить диагностическую карту техосмотра по базе РСА
В случае, если карта была куплена у мошенников, даже если она была добавлена в базу, через несколько дней ее удаляют, а полис ОСАГО оказывается недействительным и не может быть использован по назначению.
Так, при проверке через базу ЕАИСТО, водитель машины сможет узнать следующие сведения:
- имеется ли действующая карта в базе и когда она была добавлена;
- уникальный регистрационный номер;
- вин – код машины;
- дата проведения технического осмотра авто;
- дата окончания осмотра.
Для того, чтобы получить информацию, нужно ввести вин – номер машины или государственный номер, выданный при регистрации в ГИБДД.
Также можно провести проверку по официальным базам, представленным на сайтах:
- ГИБДД.
- Компания ОСАГО.
- Федеральная служба судебных приставов.
- ФТС.
Чтобы проверить подлинность ПТС, нужно обратить внимание на:
- правильность пропечатки орнамента по краям технического паспорта;
- качество голограммы. Если документ подлинный, она будет высоко качества, четкая;
- на обратной стороне страницы ПТС должен быть пробит узор — тиснение, который можно прощупать рукой;
- также документ должен иметь водяной знак «RUS».
Также проверить номер карты можно в любом офисе страховой компании, осуществляющей выдачу страховых полисов или кабинете ТО.
Наиболее удобной и часто используемой является проверка по государственному номеру, получаемому при регистрации авто в ГИБДД. Ввести этот номер можно легко и быстро, поскольку он состоит из восьми или десяти цифр.
Однако, данный вид проверки может быть осуществлен только в том случае, если техосмотр проводится повторно, а авто уже было поставлено на учет, в ином случае придется выбрать другой способ проверки информации – по вин – номеру. Результат по запросу можно получить практически сразу, после того, как введенная информация будет обработана.
Для чего нужно
Срок, в течение которого данные о проверке должны быть выложены в базу, законом не устанавливается, чаще всего, результаты можно получить через 2-4 дня. Однако, если обнаружится, что документ о проведении техосмотра фальшивый или содержит недостоверную информацию, его блокируют.
После того, как диагностическая карта получена и найдена в базе, владелец авто может:
- Узнать номер авто и его модель, а также уточнить срок действия диагностической карты.
- Сделать выводы о недобросовестности оператора ТО, если карта не была добавлена в систему и обратиться к другому специалисту до посещения офиса страховой компании.
Недостаточно просто купить авто и ездить на нем, чтобы не возникало никаких проблем с ГИБДД, нужно соблюдать все правила и оформлять нужные документы, в том числе и диагностическую карту, которая выдается после проведения техосмотра, в ходе которого определяется общее состояние машины и делаются выводы о том, пригодна ли она к использованию.
Диагностическая карта обязательно должна быть оформлена для того, чтобы владелец авто мог получить страховой полис КАСКО или ОСАГО, что является обязательным.
Все время иметь при себе карту не нужно, сотрудник ГИБДД может проверить ее наличие в любой момент по базе данных. Если возник страховой случай, и полис действительный, но карту необходимо заменить, согласно действующим правилам, в страховой компании обязаны это сделать, однако придется потратить больше времени на подготовку документов.
Компенсация в таком случае выплачивается по протоколу ГИБДД, а наблюдение за процессом выплат осуществляет РСА. Менять ОСАГО нужно ежегодно.
Чтобы не попасть на удочку мошенников, обращаться следует только в те СТО, которые одобрены ГИБДД – полный перечень приводится на официальном сайте. Сотрудник инспекции также может оказать водителю помощь при проверке подлинности выданного техпаспорта.
Заниматься оформлением документа следует заблаговременно, с учетом окончания срока действия страхового полиса. Это позволит не остаться без компенсации, если наступит страховой случай, а полис окажется недействительным.
На техническую проверку авто в целом уходит около получаса, однако получить карту так быстро не удастся, сведения о проверке поступают в базу РСА в течение нескольких дней.
Данные в базу заносятся моментально, поэтому, если их там нет, но продавец уверяет, что они появятся через несколько дней, верить не стоит, также как и приобретать карту. Проверка проводится быстро и легко, нужно лишь нажать несколько кнопок и получить результат. Диагностическую справку чаще всего требуют при выдаче страховки, а чтобы не оказаться в глупой ситуации, следует заранее проверить ее наличие в базе.
Видео: Как проверить диагностическую карту техосмотра
Внимание!
- В связи с частыми изменениями в законодательстве информация порой устаревает быстрее, чем мы успеваем ее обновлять на сайте.
- Все случаи очень индивидуальны и зависят от множества факторов. Базовая информация не гарантирует решение именно Ваших проблем.
Поэтому для вас круглосуточно работают БЕСПЛАТНЫЕ эксперты-консультанты!
- Задайте вопрос через форму (внизу), либо через онлайн-чат
- Позвоните на горячую линию:
ЗАЯВКИ И ЗВОНКИ ПРИНИМАЮТСЯ КРУГЛОСУТОЧНО и БЕЗ ВЫХОДНЫХ ДНЕЙ.
ОСАГО — всё об обязательном страховании автомобиля
Скидок на ОСАГО не бывает!
ОСАГО — это обязательный по законодательству России вид страхования, поэтому тарифы на него регулируются государством и к нему не могут применяться такие понятия, как скидки и праздничные акции. Если вам предлагают неожиданные скидки, не связанные с вашим безаварийным вождением (КБМ), остерегайтесь: скорее всего, это мошенничество!
Стоимость договора ОСАГО определяется как произведение базовой ставки и коэффициентов.
Предельные размеры базовых ставок устанавливаются Банком России. Точное значение базовой ставки по договору устанавливается страховщиком в зависимости от факторов, перечень которых приведен в файле «Перечень факторов по ОСАГО» (вы найдете его в разделе «Скачать»).
Коэффициенты устанавливаются Банком России в зависимости от:
Что нужно знать про диагностическую карту
Чтобы оформить ОСАГО (или электронное ОСАГО), каждый автомобиль старше 4 лет должен пройти техосмотр и получить диагностическую карту. Данные о прохождении вами техосмотра содержатся в Единой автоматизированной информационной системе технического осмотра (ЕАИСТО) ГИБДД.
Период использования и срок страхования
При сезонной эксплуатации автомобиля выбирайте только тот период использования, в течение которого вам понадобится автомобиль. Не платите за месяцы, когда машина будет стоять в гараже — так вы сэкономите.
Срок страхования ОСАГО всегда равен 1 году | |||||||||||
янв | фев | Период использования выбираете вы | ноя | дек |
Только вписанные в полис ОСАГО водители могут находиться за рулем автомобиля! Если страхователь (и/или владелец) также управляют транспортным средством, они должны быть внесены в список водителей.
Что такое страховой класс
Существует 15 страховых классов водителей. Каждому классу соответствует свой КБМ (коэффициент), который определяет стоимость полиса. Новый страховой класс присваивается водителю каждый год 1 апреля в зависимости от количества страховых случаев по его вине.
Страховой класс водителя | КБМ (стоимость ОСАГО) | |
---|---|---|
Первая покупка ОСАГО | 3 | 1 (100%) |
с 1 апреля по 31 марта без аварий | повышается | понижается |
с 1 апреля по 31 марта с авариями по вашей вине | понижается | повышается |
Как проверить Электронный ПТС | На автомобиль
Сегодня уже можно встретить Электронные Паспорта Транспортных Средств, на конец 2019 года уже выпущено более 100 тысяч ЭПТС. Помимо его использования важно знать как проверить Электронный ПТС, перед покупкой или переоформленнии транспортного средства.
Уже сейчас можно проверить информацию о ЭПТС через официальный портал Систем Электронный Паспортов. На данный момент портал работает в тестовом режиме. Узнать информацию о транспортном средстве вы можете по номеру ЭПТС или по номеру VIN:
Где проверить автомобиль Электронный ПТС
На сегодняшний день можно проверить Электронный Паспорт Транспортного Средства в трёх уполномоченных организация.
Карта России с аккредитованными удостоверяющими центрами здесь.
- Системы Электронных Паспортов. Акционерное общество «Электронный Паспорт» создано в структуре Государственной корпорации «Ростех». Оно в первую очередь осуществляет полноценную деятельность Электронных Паспортов. Занимается организацией и обеспечением функционирования систем по оформлению, проверке, внесению изменений в ЭПТС в РФ. Ссылка: elepts.ru
- ГосУслуги. Официальный интернет-портал государственных услуг. Сайт ГосУслуги предоставляет все виды государственных услуг, здесь можно записаться в любое гос учреждение, сразу оплатить госпошлину, заказать необходимые выписки или документы. Так же здесь будет доступ к получению информаци о Электронном ПТС. Ссылка: gosuslugi.ru
- МФЦ. Государственный Много Функциональные Центры «Мои Документы» предоставляют все государственные документы в одном месте, от гражданских паспортов до справок о отсутствия (наличия) судимости. МФЦ так же занимается оформлением транспортных средств. Зная номер ЭПТС и ВИН можно заказать информацию о данных электронного ПТС. Ссылка: моидокументы.рф
Чтобы проверить информацию в Электронном ПТС необходимо знать номер ЭПТС или ВИН транспортного средства.
Проверить Электронный ПТС по номеру
Каждый ранее выданный бумажный ПТС имеет свою серию и номер. Новые Электронный ПТС так же имеет свой номер. Он предоставляется при оформлении ЭПТС. Чтобы проверить электронный ПТС прежде всего необходимо знать его номер. Например его можно получить при покупке нового автомобиля, так его можно спросить у собственника при продаже транспортного средства. Далее, чтобы проверить электронный ПТС, необходимо обратиться в уполномоченные организации, которые предоставляю эти данный. Официальными представителями являются «Системы Электронных Паспортов», «ГосУслуги» и мфц «Мои Документы».
Проверить Электронный ПТС по вин
Помимо номера Электронного ПТС, информацию из него можно проверить по Вин номеру транспортного средства. Перед покупкой или переоформленном определённого транспортного средства необходимо узнать ВИН номер. Далее обратившись в Государственные Учреждения можно проверить Электронный ПТС по вин номеру и получит всю подробную информаци о транспортном средстве. Например точные характеристики транспортного средства, дату и место производства или расстаможки ТС, количество прежних собственником, наличие особых отметок, ограничений и другой важной информации. Эти сведения можно получить через ГосУслуги, МФЦ или портал Электронный Паспорт.
Уже сейчас можно проверить информацию о ЭПТС через официальный портал Систем Электронный Паспортов. На данный момент портал работает в тестовом режиме. Узнать информацию о транспортном средстве вы можете по номеру ЭПТС или по номеру VIN:
Как проверить ОСАГО по номеру автомобиля ВИН?
Идентификационный номер автомобиля представляет собой код, который содержит арабские цифры и буквы латиницы в свободной комбинации. С помощью него можно проверить информацию о технических характеристиках авто, производителе, комплектующих. Он вносится в свидетельство о регистрации транспортного средства, которое помещается в углу лобового стекла, паспорт автомобиля, диагностическую карту и гарантийный талон.
Проверить полис страхования по номеру автомобиля ВИН
На сегодняшний день полисы ОСАГО выдаются в электронном виде, но при себе автомобилист обязан иметь во время вождения его распечатанную бумажную копию. Данные регистрируются в единой базе Российского союза автостраховщиков. Но саму копию легко подделать, чтобы ввести в заблуждение инспекторов ГИБДД и потенциальных покупателей при продаже. В связи с этим существует несколько способов, как проверить полис на подлинность:
- с помощью по государственному номеру автомобиля;
- проверить полис по ВИН данные полиса – 17-значному коду, который присваивается индивидуально каждому автомобилю.
ВИН-номер представляет собой код, который содержит арабские цифры и буквы латиницы в свободной комбинации. С помощью него можно узнать информацию о технических характеристиках авто, производителе, комплектующих. Он вносится в свидетельство о регистрации транспортного средства, которое помещается в углу лобового стекла, паспорт автомобиля, диагностическую карту и гарантийный талон. Также идентификационный номер дублируется на специальных табличках, которые традиционно расположены на стойке водительской двери, под обивкой пола и под капотом на передней части мотора. У некоторых автомобилей он может отсутствовать на определенных комплектующих кузова – щитке у ветрового стекла, на теплоизоляционной перегородке и других частях кузова.
С помощью идентификационного и госномера легко выяснить историю автомобиля на различных интернет-сервисах, где за несколько минут можно узнать, соответствуют ли реальные сведения о транспортном средстве имеющейся у водителя документации. Легкий способ узнать о наличии полиса ОСАГО – проверка по номеру ВИН. Особенно это важно для тех, кто покупает автомобиль с пробегом – узнать, действует ли страховка, можно с помощью идентификационного номера.
Единая база РСА
Российский союз автостраховщиков выступает в роли контролирующей организации при заключении договора ОСАГО, оказывает информационную и юридическую помощь водителям в случае необходимости.
Сведения о транспортных средствах хранятся в единой информационной базе РСА. Она основана в 2013 году и содержит данные о договорах страхования гражданской ответственности.
База содержит сведения о КБМ каждого транспортного средства, который влияет на стоимость самого полиса. Если автовладелец становится участником ДТП, коэффициент КБМ повышается, а вместе с ним и цена страховки. Если в течение года водитель не нарушал ПДД, цена ОСАГО снижается. Коэффициент бонус-малус хранится у того страховщика, который выдал полис. При смене страховой компании данные по КБМ берутся из единой базы РСА. Чтобы сведения регулярно обновлялись, все СК обязаны своевременно передавать акутальную информацию о клиенте.
В базе РСА вы можете легко получить данные об ОСАГО – проверка осуществляется по регистрационному или ВИН-номеру. В строке поиска необходимо ввести идентификационные данные и посмотреть, застрахован ли автомобиль.
Как проверить по номеру автомобиля полис через ГИБДД
Однако в базе могут содержаться и ошибочные сведения (что бывает связано как с техническими ошибками, так и человеческим фактором). Именно ВИН поможет узнать всю необходимую информацию по направлению ГИБДД. Указав номер автомобиля на официальном сайте дорожной инспекции, вы получите данные о годе выпуска транспортного средства и его пробеге. Идентификационный номер автомобиля дает возможность выяснить количество владельцев, сколько человек вписано в полис, не находится ли машина в угоне, участвовала ли она в ДТП. Для тех, кто собирается приобрести машину, так же важно будет узнать, не находится ли она в залоге.
С помощью ВИН-номера можно получить таможенную историю автомобиля, срок действия полиса ОСАГО, проверить данные о техосмотрах и штрафах, периодах регистрации в ГИБДД за разными владельцами, работе в такси. Чтобы получить эти данные на сайте дорожной инспекции, необходимо указывать ВИН-номер. По госномеру сделать это не получится.
Как узнать данные об авто бесплатно
Бесплатно полис ОСАГО проверить по номеру автомобиля (идентификационного) сегодня предлагают различные интернет-сервисы, а также на РСА и ГИБДД. Некоторые частные компании дают возможность узнать сведения по регистрационному знаку. РСА предоставляет данные как по госномеру, так и по ВИН, а ГИБДД – только по индивидуальному номеру.
В отчете содержатся все подробные сведения об автомобиле: история регистрационных действий и лизинга, ограничения ГИБДД, утилизация, данные техосмотра. В сводных данных указано количество владельцев и их статус, содержится информация о сроке эксплуатации транспортного средства, штрафах. Есть данные о ПТС и наличии дубликата. В отчете есть сведения об изменениях в конструкции автомобиля, номере кузова и шасси, массе, объеме двигателя и мощности также расположении руля и цвете машины. Вы сможете проверить полис ОСАГО – является ли он действующим, дату начала и окончания страховки, компанию, в которой она оформлена, и номер договора.
Что особенно важно, проверить по номеру автомобиля страховку через сервис, значит избежать сделки с мошенниками – узнать, кем была продана машина, не фигурирует ли физлицо в базе МВД. Также вы сможете узнать, не находится ли автомобиль в угоне или залоге. В противном случае вы рискуете отдать деньги, не получив транспортное средство в собственность.
Правда и мифы о деньгах в Facebook
Подписаться
Статья была полезной?
0 2
КомментироватьПриложение VIN01 для проверки авто по гос или VIN номеру бесплатно
VIN01 — это приложение, которое поможет Вам при покупке автомобиля больше узнать о нем.
Наше приложение позволяет узнать:- Год автомобиля и сколько у него было владельцев
- Историю регистрации транспортного средства, участие в ДТП
- Проверить не находится ли автомобиль в розыске или в залоге у банка
- Нет ли на нем каких-либо ограничений.
- Наличие полиса ОСАГО.
- Узнать расшифровку VIN номера и пройденные ТО
В приложении Вы можете осуществить поиск как по VIN так и по гос. номеру автомобиля. Для определения VIN номера мы используем две базы ЕАИСТО и РСА, что позволяет добиться большей точности в определении VIN номера для дальнейшей проверки.
Все данные предоставляются Вам бесплатно.
Полный список всех доступных проверок:
- История регистрации в ГИБДД — позволяет узнать количество владельцев автомобиля по ПТС, периоды владения, номер кузова, номер двигателя и многое другое. В некоторых случаях в базе так же содержится информация о ПТС (серия/номер и кем выдан.).
- История ДТП по базе ГИБДД — позволяет узнать участвовал ли данный автомобиль в ДТП с начала 2015 года, увидеть время и место ДТП, а так же места наиболее значимых повреждений. Обращаем ваше внимание!Данные о ДТП предоставляются только с начала 2015 года и при условии того что происшествие оформлялось сотрудниками ДПС.
- Наличие ограничений — позволяет узнать имеются ли ограничения на регистрационные действия в ГИБДД. Обычно такие ограничения накладывают сотрудники службы судебных приставов.
- Розыск ТС — данная проверка позволит узнать не находится ли данное ТС в федеральном розыске, узнать регион инициатор розыска, а так же дату внесения информации в базу ГИБДД.
- Наличие полиса ОСАГО — проверка позволит узнать имеется ли на автомобиль оформленный полис ОСАГО, его серию и номер, а так же название страховой компании.
- Реестр залогов — проверка авто на нахождение в залоге у банка. Проверка осуществляется через официальную базу Федеральной нотариальной палаты (https://www.reestr-zalogov.ru)
- Пройдённые ТО — позволяет узнать дату последнего прохождения ТО автомобиля, номер диагностической карты и срок её действия, а так же гос. номер ТС на момент прохождения осмотра.
Тестирование портов TCP на RSA Authentication Manager 8 …. — RSA Link
Набор продуктов RSA: SecurID
Тип продукта / услуги RSA: RSA Authentication Manager
Версия / состояние RSA: 8.1 SP1 или более поздняя
Платформа: Linux
Администратор должен проверять наличие TCP-портов на экземплярах Authentication Manager в развертывании на случай, если брандмауэр или другое устройство блокирует обмен данными между основным экземпляром и экземпляром-репликой.
В этой статье представлен сценарий оболочки Linux, который можно запустить на любом экземпляре Authentication Manager в развертывании для проверки наличия портов TCP; например, порты репликации 7002 TCP, 1812 TCP, 1813 TCP.Сценарий оболочки Linux должен запускаться с правами суперпользователя и требовать имя пользователя и пароль Консоли управления для чтения имен хостов Authentication Manager, хранящихся в базе данных Authentication Manager. Сценарий оболочки Linux будет использовать имена хостов Authentication Manager для выполнения разрешения имен через настроенные серверы доменных имен и проверки наличия TCP-портов на этих экземплярах Authentication Manager.
Установка
- Загрузите и скопируйте прикрепленный сценарий оболочки commcheck.sh в папку / tmp на экземпляре Authentication Manager в развертывании. Прочтите следующую статью о том, как включить Secure Shell на устройстве, если это необходимо. Если включен SSH, можно использовать безопасный FTP-клиент, например WinSCP, для копирования сценария оболочки в папку / tmp.
- Измените разрешения для commcheck.sh, чтобы его можно было запускать из командной строки:
chmod 755 / tmp / commcheck.ш
Использование
- Войдите в экземпляр диспетчера аутентификации с учетной записью rsaadmin либо в сеансе SSH, либо на локальной консоли.
- Измените привилегии учетной записи rsaadmin с помощью команды:
судо су -
Обратите внимание: если вы не измените права учетной записи rsaadmin, появится следующее сообщение:
Для использования этой программы вы должны быть пользователем root; выход ...
- Перейдите в папку / tmp с помощью команды:
CD / TMP
- Сценарий оболочки может быть выполнен одним из двух способов, поскольку требуются учетные данные пользователя Консоли управления.Обратите внимание, что в первом примере пароль администратора Консоли управления будет отображаться открытым текстом, а во втором варианте он замаскирован.
cd / tmp
./commcheck.sh <Имя администратора Консоли управления> <Пароль администратора Консоли управления>
Проверка учетных данных OC ..
Учетные данные OC подтверждены ... перенаправление в меню ..
или
cd / tmp
./commcheck.sh
Проверка учетных данных OC .... отсутствуют учетные данные OC!
Введите имя пользователя администратора OC: <Имя администратора Консоли управления>
Введите пароль администратора OC: <пароль администратора Консоли управления>
Учетные данные OC проверены... перенаправление в меню ..
- В меню сценария оболочки отображается:
Служба поддержки клиентов RSA (Азиатско-Тихоокеанский регион)
Проверка связи - порты AM TCP
1) Отображение имен хостов диспетчера аутентификации
2) Выполните проверку связи
3) Создать отчет
9) Выход
Пожалуйста, выберите вариант
Показать имена хостов диспетчера аутентификации Вариант 1 считывает имена хостов Authentication Manager из базы данных Authentication Manager и отображает их на экране.
Например:
Служба поддержки клиентов RSA (Азиатско-Тихоокеанский регион)
Проверка связи - порты AM TCP
1) Отображение имен хостов диспетчера аутентификации
2) Выполните проверку связи
3) Создать отчет
9) Выход
Пожалуйста, выберите вариант
1
Получение имен хостов экземпляров AM ..
Первичный - app82p.csau.ap.rsa.net с IP-адресом 192.168.31.51.
Реплика - app82r.csau.ap.rsa.net с IP-адресом 192.168.31.52.
Сделанный!
Для продолжения нажмите любую клавишу ...
Выполнить проверку связи Вариант 2 использует имена хостов Authentication Manager для поиска имен с помощью DNS, а затем проверяет наличие портов TCP.Например:
Служба поддержки клиентов RSA (Азиатско-Тихоокеанский регион)
Проверка связи - порты AM TCP
1) Отображение имен хостов диспетчера аутентификации
2) Выполните проверку связи
3) Создать отчет
9) Выход
Пожалуйста, выберите вариант
2
Проверка связи ..
Разрешение имени - имя хоста
Сервер: 192.168.31.20
Адрес: 192.168.31.20 # 53
Имя: app82p.csau.ap.rsa.net
Адрес: 192.168.31.51
Разрешение имени - IP-адрес
Сервер: 192.168.31.20
Адрес: 192.168.31.20 # 53
51.31.168.192.in-addr.arpa name = app82p.csau.ap.rsa.net.
Проверки порта TCP
Порт аутентификации
-------------------
app82p.csau.ap.rsa.net порт аутентификации 5500 успешно
app82p.csau.ap.rsa.net порт аутентификации 5555 успешно
Порты репликации
-----------------
app82p.csau.ap.rsa.net порт репликации 7002 успешно
app82p.csau.ap.rsa.net порт репликации 1812 успешно
app82p.csau.ap.rsa.net порт репликации 1813 успешно
Порт арбитра
----------------
app82p.csau.ap.rsa.net порт арбитра 7022 успех
Консольные порты
------------
app82p.csau.ap.rsa.net порт консоли безопасности 7004 успешно
app82p.csau.ap.rsa.net порт консоли операций 7072 успешно
app82p.csau.ap.rsa.net https порт 443 успешно
SSH порт
--------
app82p.csau.ap.rsa.net ssh порт 22 успешно
Порты AM Services
-----------------
app82p.csau.ap.rsa.net порт автоматической регистрации 5550 успешно
app82p.csau.ap.rsa.net автономный порт аутентификации 5580 успешно
Требуется функцией продвижения
-----------------------------
app82p.csau.ap.rsa.net radius настроить порт 7082 успешно
Разрешение имени
Сервер: 192.168.31.20
Адрес: 192.168.31.20 # 53
Имя: app82r.csau.ap.rsa.net
Адрес: 192.168.31.52
Разрешение имени - IP-адрес
Сервер: 192.168.31.20
Адрес: 192.168.31.20 # 53
52.31.168.192.in-addr.arpa имя = app82r.csau.ap.rsa.net.
Проверки порта TCP
Порт аутентификации
-------------------
app82r.csau.ap.rsa.net authn port 5500 успешно
Порты репликации
-----------------
app82r.csau.ap.rsa.net порт репликации 7002 успешно
app82r.csau.ap.rsa.net порт репликации 1812 успешно
app82r.csau.ap.rsa.net порт репликации 1813 успешно
Порт арбитра
----------------
app82r.csau.ap.rsa.net порт арбитра 7022 успех
Консольные порты
------------
app82r.csau.ap.rsa.net порт консоли безопасности 7004 успешно
app82r.csau.ap.rsa.net порт консоли операций 7072 успешно
app82r.csau.ap.rsa.net https порт 443 успешно
SSH порт
--------
app82r.csau.ap.rsa.net ssh порт 22 успешно
Порты AM Services
-----------------
app82r.csau.ap.rsa.net порт автоматической регистрации 5550 успешно
app82r.csau.ap.rsa.net offlien auth port 5580 успешно
Требуется функцией продвижения
-----------------------------
app82r.csau.ap.rsa.net radius настроить порт 7082 успешно
Сделанный!
Для продолжения нажмите любую клавишу ...
Создать отчет Вариант 3 создаст отчет и предоставит пользователю имя отчета. Содержание отчета такое же, как и при использовании варианта 2. Например:
Служба поддержки клиентов RSA (Азиатско-Тихоокеанский регион)
Проверка связи - порты AM TCP
1) Отображение имен хостов диспетчера аутентификации
2) Выполните проверку связи
3) Создать отчет
9) Выход
Пожалуйста, выберите вариант
3
.. просмотрите файл журнала /tmp/commcheck_201801121009.log на предмет результатов.
Для продолжения нажмите любую клавишу ...
Если порт TCP недоступен, на дисплее или в отчете появится сообщение FAILED, как показано здесь:
app82p.csau.ap.rsa.net порт репликации 7002 FAILED
22, TCP | Secure Shell (SSH) | SSH-клиент | По умолчанию отключено.SSH можно включить в Консоли управления. SSH позволяет учетной записи операционной системы (rsaadmin) получить доступ к операционной системе. |
49, TCP | Аутентификация TACACS | Клиент TACACS | Этот порт закрыт, если не настроен TACACS. Используется для получения запросов аутентификации от устройства доступа к сети (NAD). |
80, TCP | Быстрая настройка Консоль управления, Консоль безопасности | Браузер администратора | Используется для быстрой настройки.После завершения быстрой настройки устройство перенаправляет соединения с этого порта на соответствующую консоль. |
161, UDP | SNMP | Клиент SNMP | Используется агентом SNMP Authentication Manager для прослушивания запросов GET и отправки ответов в систему управления сетью (NMS). Этот порт закрыт, если не включен протокол SNMP. Его можно настроить в Консоли безопасности. |
443, TCP | Быстрая настройка Консоль управления, Консоль безопасности, Консоль самообслуживания | Браузер администратора | Используется для быстрой настройки. После завершения быстрой настройки устройство перенаправляет соединения с этого порта на соответствующую консоль. |
1645, UDP | Аутентификация RADIUS (устаревший порт) | Клиент RADIUS | Этот порт получает запросы аутентификации от клиента RADIUS. Для получения дополнительной информации см. Требуемые порты прослушивания сервера RSA RADIUS. |
1646, UDP | Учет RADIUS (устаревший порт) | Клиент RADIUS | Этот порт получает входящие запросы на учет от клиента RADIUS. Для получения дополнительной информации см. Требуемые порты прослушивания сервера RSA RADIUS. |
1812, TCP | Порт репликации RADIUS | Другой сервер RADIUS | Этот порт используется для связи между первичным RADIUS и репликами служб RADIUS. Если вы не используете RSA RADIUS, но у вас есть экземпляры реплик, вы должны разрешить соединения между экземплярами Authentication Manager через этот порт. Вам следует ограничить подключения из других систем, не являющихся экземплярами Authentication Manager. Для получения дополнительной информации см. Требуемые порты прослушивания сервера RSA RADIUS. |
1812, UDP | Аутентификация RADIUS | Клиент RADIUS | Этот порт получает запросы аутентификации от клиента RADIUS. Если вы не планируете использовать аутентификацию RSA RADIUS, вы можете закрыть этот порт. |
1813, TCP | Администрирование RADIUS | Сервер RADIUS | Этот порт используется для администрирования RADIUS из Консоли безопасности через защищенный канал удаленного администрирования RADIUS. Если вы не используете RSA RADIUS, но у вас есть экземпляры реплик, вы должны разрешить соединения между экземплярами Authentication Manager через этот порт.Вам следует ограничить подключения из других систем, не являющихся экземплярами Authentication Manager. Для получения дополнительной информации см. Требуемые порты прослушивания сервера RSA RADIUS. |
1813, UDP | Учет RADIUS | Клиент RADIUS | Этот порт получает запросы на учет от клиента RADIUS. Если вы не планируете использовать аутентификацию RSA RADIUS, вы можете закрыть этот порт. |
5500, TCP | Аутентификация агента | Агенты протокола аутентификации RSA SecurID | Принимает запросы от агентов аутентификации на основе TCP и отправляет ответы.Требуется для RSA SecurID и аутентификации по запросу (ODA). Этот порт поддерживает агентов, совместимых как с IPv4, так и с IPv6. |
5500, UDP | Аутентификация агента | Агенты протокола аутентификации RSA SecurID | Принимает запросы от агентов аутентификации на основе UDP и отправляет ответы. Требуется для RSA SecurID, ODA и аутентификации на основе рисков (RBA). Этот порт поддерживает только агентов, совместимых с IPv4. |
5550, TCP | Авторегистрация агента | Агенты RSA | Используется для связи с агентами аутентификации, которые пытаются зарегистрироваться в Authentication Manager. |
5555, TCP | Аутентификация агента | Агенты API аутентификации RSA SecurID | Принимает запросы от агентов аутентификации на основе REST и отправляет ответы.Требуется для RSA SecurID и аутентификации по запросу (ODA). Этот порт поддерживает агентов, совместимых как с IPv4, так и с IPv6. |
5580, TCP | Автономная служба проверки подлинности | Агенты RSA | Используется для получения запросов на дополнительные данные автономной проверки подлинности и отправки автономных данных агентам. Также используется для обновления списков серверов на агентах. Это можно закрыть, если автономная проверка подлинности не используется и никакие агенты в вашем развертывании не используют API интеграции пароля входа в систему. |
7002, TCP SSL-шифрование | Authentication Manager | Другое устройство | Используется для связи между основным экземпляром Authentication Manager и экземпляром реплики, а также для связи между экземплярами реплик (для воспроизведения обнаружение). Используется интерфейсом прикладного программирования (API) RSA. Включите, если у вас есть хотя бы один экземпляр реплики. |
7002, TCP SSL-шифрование | Оснастка управления токенами RSA для консоли управления Microsoft (MMC) | Консоль управления Microsoft | Включите этот порт, если вы планируете используйте оснастку RSA Token Management для управления пользователями и аутентификаторами из MMC. |
7004, TCP SSL-шифрование | Консоль безопасности | Браузер администратора | Требуется для управления развертыванием из консоли безопасности.Принимает запросы на функции консоли безопасности. |
7004, TCP SSL-шифрование | Консоль самообслуживания и RBA | Браузер пользователя | Требуется для использования Консоли самообслуживания или RBA. Принимает запросы на функции консоли самообслуживания и аутентификацию RBA. |
7004, TCP SSL-шифрование | Протокол инициализации криптографического ключа-токена (CT-KIP) | Браузер пользователя | Требуется для использования динамической инициализации начального числа. |
7022, TCP SSL-шифрование | Диспетчер аутентификации, точка доступа к сети доверенной области, RBA или веб-уровень | Другое устройство, доверенная область или веб-уровень и другое устройство | Используется для связи между первичным экземпляром Authentication Manager и экземпляром реплики, а также для связи между экземплярами реплик (для обнаружения повторного воспроизведения). Используется для связи с доверенными областями и для RBA. Разрешает связь между устройством и его веб-уровнем. |
7072, TCP SSL-шифрование | Консоль управления | Браузер суперадминистратора | Требуется для администрирования вашего развертывания из Консоли управления. Принимает запросы на функции Консоли управления. |
7082, TCP SSL-шифрование | Конфигурация RADIUS SSL | Экземпляр Authentication Manager | Используется для настройки RADIUS и перезапуска службы RADIUS из Консоли управления. |
8443, TCP SSL-шифрование | Патчи и пакеты обновления Authentication Manager | Браузер администратора | Доступ к этому порту необходим для сообщений о состоянии в реальном времени при применении Authentication Manager патчи и пакеты обновлений. Во время обновления продукта устройство открывает этот порт во внутреннем брандмауэре. Устройство закрывает этот порт после завершения обновления. Если внешний брандмауэр блокирует этот порт, браузер отображает недоступную или пустую веб-страницу, но обновление может быть успешно завершено. |
9786, TCP SSL-шифрование | Встроенный маршрутизатор идентификации | Authentication Manager | Используется для связи между Authentication Manager и встроенным маршрутизатором идентификации для проверки токена многофакторной аутентификации (MFA) через Authentication Manager -идентичный канал маршрутизатора. |
NW Server | ESA первичный | TCP: 22, 80, 443, 5671, 7005 UDP: 123 |
Сервер NW | ESA | TCP: 22, 80, 443, 5671 |
Сервер NW | Сетевой декодер | TCP: 22, 5671, 50004 (без SSL), 50006 (без SSL), 50104 (REST), 50106 (REST), 56004 (SSL), 56006 (SSL) |
Сервер NW | Брокер | TCP: 5671, 50003 (без SSL), 50006 (без SSL), 50103 (REST), 50106 (REST) 56003 (SSL), 56006 (SSL) |
Сервер NW | Концентратор (сеть и журналы) | TCP: 22, 5671, 50005 (без SSL), 50006 (без SSL), 50105 (REST), 50106 (REST), 56005 (SSL), 56006 (SSL) UDP: 123 |
Сервер NW | Сетевой гибрид | TCP: 22, 5671, 50004 (без SSL), 50005 (без SSL), 50006 (без SSL), 50104 (REST), 50105 (REST), 50106 (REST), 56004 (SSL), 56005 (SSL), 56006 (SSL) UDP: 123 |
Сервер NW | Декодер журнала | TCP: 22, 5671, 50001 (без SSL), 50002 (без SSL), 50006 (без SSL), 50101 (REST), 50102 (REST), 50106 (REST), 56001 (SSL), 56002 (SSL), 56006 (SSL) UDP: 123 |
Сервер NW | Гибрид журнала | TCP: 22, 5671, 50001 (без SSL), 50002 (без SSL), 50005 (без SSL), 50006 (без SSL), 50101 (REST), 50102 (REST), 50105 (REST) ), 50106 (REST), 56001 (SSL), 56002 (SSL), 56005 (SSL), 56006 (SSL) UDP: 123 |
Сервер NW | Гибрид бревен — удержание | TCP: 22, 5671, 50001 (без SSL), 50002 (без SSL), 50006 (без SSL), 50101 (REST), 50102 (REST), 50105 (REST), 50106 (REST), 56001 (SSL), 56002 (SSL), 56006 (SSL) UDP: 123 |
Сервер NW | Гибридный журнал конечных точек | TCP: 22, 5671, 7050, 7054, 50001 (без SSL), 50002 (без SSL), 50005 (без SSL), 50006 (без SSL), 50101 (REST), 50102 (REST) , 50105 (REST), 50106 (REST), 56001 (SSL), 56002 (SSL), 56005 (SSL), 56006 (SSL), 56202 (конечная точка) UDP: 123 |
Сервер NW | VLC | TCP: 22, 5671, 50001 (без SSL), 50006 (без SSL), 50101 (REST), 50106 (REST), 56001 (SSL), 56006 (SSL) UDP: 123 |
Сервер NW | Архиватор | TCP: 22, 514, 5671, 6514, 50006 (без SSL), 50007 (без SSL), 50008 (без SSL), 50106 (REST), 50107 (REST), 50108 (REST), 56006 (SSL), 56007 (SSL), 56008 (SSL) UDP: 123, 514 |
Сервер NW | Вредоносное ПО | TCP: 22, 5671, 5432, 50003 (без SSL), 50006 (без SSL), 50103 (REST), 50106 (REST), 56003 (SSL), 56006 (SSL), 60007 |
Сервер NW | УЭБА | TCP: 22, 15671, 5671, 443 |
ESA | Сервер NW | TCP: 53, 80, 443, 4505, 4506, 5671, 15671, 27017 UDP: 123, 53 |
ESA | Active Directory | TCP: 389 (без SSL), 636 (SSL) |
ESA | Лучник | TCP: 80 (без SSL), 443 (SSL), |
ESA вторичный | ESA первичный | TCP: 27017 |
ESA Primary или Secondary | Концентратор | TCP: 50005 (без SSL), 56005 (SSL) |
Сетевой декодер | Сервер NW | TCP: 53, 80, 443, 4505, 4506, 5671, 15671, 27017, UDP: 53, 123 |
Концентратор (сеть и журналы) | Сервер NW | TCP: 53, 80, 443, 4505, 4506, 5671, 15671, 27017 UDP: 53, 123 |
Гибридная сеть | Сервер NW | TCP: 53, 80, 443, 4505, 4506, 5671, 15671, 27017) UDP: 53, 123 |
Декодер журнала | Сервер NW | TCP: 53, 80, 443, 4505, 4506, 5671, 15671, 27017 UDP: 53, 123 |
Гибрид журнала | Сервер NW | TCP: 53, 80, 443, 4505, 4506, 5671,15671, 27017 UDP: 53, 123 |
Гибрид бревен — удержание | Сервер NW | TCP: 53, 80, 443, 4505, 4506, 5671,15671, 27017 UDP: 53, 123 |
VLC | Сервер NW | TCP: 53, 80, 443, 4505, 4506, 5671,15671, 27017 UDP: 53, 123 |
VLC | Сборщик бревен | TCP: 5671 |
Коллекционер бревен | VLC | TCP: 5671 |
Гибридный журнал конечной точки | Сервер NW | TCP: 53, 80, 443, 5671, 4505, 4506, 15671, 27017 UDP: 53, 123 |
Гибридный журнал конечных точек | Декодер журнала | TCP: 50202 (без SSL), 50102 (REST), 56202 (SSL) UDP: 514 |
Агент конечной точки | Декодер журнала | TCP: 514, 6514 UDP: 514 |
Агент конечной точки | Гибридный журнал конечных точек | TCP: 443 UDP: 444 |
УЭБА | Сервер NW | TCP: 53, 80, 443, 4505, 4506, 5671, 15671, 27017, 50003 (брокер без SSL), 50103 (брокер / REST), 56003 (брокер / SSL) UDP: 53, 123 |
УЭБА | Концентратор | TCP: 50005 (без SSL), 50105 (REST), 56005 (SSL) |
www соединения | ||
Сервер NW | облако.netwitness.com cms.netwitness.com download.rsasecurity.com panacea.threatgrid.com Quantum.subscribenet.com rsasecurity.subscribenet.com smcupdate.emc.com | TCP: 80, 443 |
ESA (первичный и вторичный) | cloud.netwitness.com download.rsasecurity.com panacea.threatgrid.com Quantum.subscribenet.com rsasecurity.subscribenet.com smcupdate.emc.com | TCP: 80, 443 |
Вредоносное ПО | panacea.threatgrid.com | TCP: 443 |
ШАГ 4 Установка и настройка RSA и EDGE1
- 11 минут для чтения
В этой статье
Применимо к: Windows Server (полугодовой канал), Windows Server 2016
RSA является сервером RADIUS и OTP и устанавливается до настройки RADIUS и OTP.
Для настройки развертывания RSA выполните следующие действия:
Установите операционную систему на сервер RSA. Установите Windows Server 2016, Windows Server 2012 R2 или Windows Server 2012 на сервер RSA.
Настройте TCP / IP на RSA. Настройте параметры TCP / IP на сервере RSA.
Скопируйте установочные файлы Authentication Manager на сервер RSA. После установки операционной системы на RSA скопируйте файлы Authentication Manager на компьютер RSA.
Присоедините сервер RSA к домену CORP. Присоединитесь к RSA к домену CORP.
Отключить брандмауэр Windows на RSA. Отключите брандмауэр Windows на сервере RSA.
Установите RSA Authentication Manager на сервер RSA. Установите RSA Authentication Manager.
Настройте диспетчер проверки подлинности RSA. Настройте диспетчер проверки подлинности.
Создайте DAProbeUser. Создайте учетную запись пользователя для зондирования.
Установите программный токен RSA SecurID на КЛИЕНТ1. Установите программный токен RSA SecurID на CLIENT1.
Настройте EDGE1 в качестве агента аутентификации RSA. Настройте агент проверки подлинности RSA на EDGE1.
Настройте EDGE1 для поддержки аутентификации OTP. Настройте OTP для DirectAccess и проверьте конфигурацию.
Установите операционную систему на сервер RSA
В RSA запустите установку Windows Server 2016, Windows Server 2012 R2 или Windows Server 2012.
Следуйте инструкциям для завершения установки, указав Windows Server 2016, Windows Server 2012 R2 или Windows Server 2012 (полная установка) и надежный пароль для учетной записи локального администратора. Войдите в систему, используя учетную запись локального администратора.
Подключите RSA к сети с доступом в Интернет и запустите Центр обновления Windows, чтобы установить последние обновления для Windows Server 2016, Windows Server 2012 R2 или Windows Server 2012, а затем отключитесь от Интернета.
Подключите RSA к подсети Corpnet.
Настройка TCP / IP на RSA
В разделе «Задачи начальной настройки» щелкните Настроить сеть .
В Сетевые подключения щелкните правой кнопкой мыши Подключение по локальной сети , а затем выберите Свойства .
Щелкните Протокол Интернета версии 4 (TCP / IPv4) , а затем щелкните Свойства .
Щелкните Используйте следующий IP-адрес . В IP-адресе введите 10.0.0.5 . В маске подсети введите 255.255.255.0 . В шлюзе по умолчанию введите 10.0.0.2 . Щелкните Используйте следующие адреса DNS-серверов , в Preferred DNS server , введите 10.0.0.1 .
Щелкните Advanced , а затем щелкните вкладку DNS .
В DNS-суффиксе для этого подключения , введите corp.contoso.com , а затем дважды щелкните ОК .
В диалоговом окне Свойства подключения по локальной сети нажмите Закрыть .
Закройте окно Сетевые подключения .
Скопируйте установочные файлы Authentication Manager на сервер RSA
На сервере RSA создайте папку C: \ RSA Installation.
Скопируйте содержимое RSA Authentication Manager 7.1 носитель с пакетом обновления 4 (SP4) в папку установки C: \ RSA.
Создайте подпапку C: \ RSA Installation \ License and Token.
Скопируйте файлы лицензии RSA в папку C: \ RSA Installation \ License and Token.
Присоедините сервер RSA к домену CORP
Щелкните правой кнопкой мыши Мой компьютер и выберите Свойства .
В диалоговом окне Свойства системы на вкладке Имя компьютера щелкните Изменить .
В Имя компьютера , введите RSA . В Член щелкните Домен , введите corp.contoso.com и щелкните ОК .
Когда вам будет предложено ввести имя пользователя и пароль, введите User1 и его пароль и нажмите OK .
В диалоговом окне приветствия домена нажмите ОК .
Когда вам будет предложено перезагрузить компьютер, нажмите OK .
В диалоговом окне Свойства системы нажмите Закрыть .
Когда вам будет предложено перезагрузить компьютер, нажмите Перезагрузить сейчас .
После перезагрузки компьютера введите User1 и пароль, выберите CORP в раскрывающемся списке Войти в: и нажмите OK .
Отключить брандмауэр Windows на RSA
Щелкните Пуск , щелкните Панель управления , щелкните Система и безопасность и щелкните Брандмауэр Windows .
Щелкните Включение или выключение брандмауэра Windows .
Отключите брандмауэр Windows для всех настроек.
Нажмите ОК и закройте брандмауэр Windows.
Установите RSA Authentication Manager на сервере RSA
Если во время этого процесса появляется предупреждение системы безопасности, нажмите Выполнить , чтобы продолжить.
Откройте папку установки C: \ RSA и дважды щелкните автозапуск .exe .
Нажмите Установить сейчас , нажмите Далее , выберите верхний вариант для Северной и Южной Америки и нажмите Далее .
Выберите Я принимаю условия лицензионного соглашения и нажмите Далее .
Выберите Первичный экземпляр и нажмите Далее .
В Имя каталога: введите C: \ RSA и щелкните Далее .
Убедитесь, что имя сервера (RSA.corp.contoso.com) и IP-адрес верны, и нажмите Далее .
Перейдите к C: \ RSA Installation \ License and Token и щелкните Далее .
На странице Проверить файл лицензии нажмите Далее .
В поле User ID введите Administrator , а в полях Password и Confirm Password введите надежный пароль.Нажмите Далее .
На экране выбора журнала примите значения по умолчанию и нажмите Далее .
На итоговом экране нажмите Установить .
После завершения установки нажмите Готово .
Настройка диспетчера проверки подлинности RSA
Если консоль безопасности RSA не открывается автоматически, то на рабочем столе компьютера RSA дважды щелкните «Консоль безопасности RSA».
Если появляется предупреждение о сертификате безопасности / предупреждение о безопасности, щелкните Перейти на этот веб-сайт или щелкните Да , чтобы продолжить и добавить этот сайт в список надежных сайтов, если потребуется.
В поле User ID введите Administrator и нажмите OK .
В поле Пароль введите пароль для учетной записи администратора и нажмите Войти в систему .
Вставьте информацию о токене.
В консоли безопасности RSA щелкните Authentication и щелкните SecurID Tokens .
Щелкните Import Tokens Job , а затем щелкните Add New .
В разделе Параметры импорта щелкните Обзор . Найдите и выберите XML-файл токенов в папке C: \ RSA Installation \ License and Token и нажмите Открыть .
Нажмите Отправить задание внизу страницы.
Создать нового пользователя OTP.
В консоли безопасности RSA щелкните вкладку Identity , щелкните Users и щелкните Добавить новый .
В поле Last Name: введите User и в разделе User ID: введите User1 (UserID должен совпадать с именем пользователя AD, используемым в этой лабораторной работе). В разделах Password: и Confirm Password: введите надежный пароль.Снимите флажок «Требовать от пользователя смены пароля при следующем входе в систему» и нажмите Сохранить .
Назначьте пользователя User1 одному из импортированных токенов.
На странице Пользователи щелкните User1 и щелкните токенов SecurID .
Щелкните SecurID Tokens и щелкните Assign Token .
Под заголовком Serial Number щелкните первый номер в списке и щелкните Assign .
Щелкните назначенный токен и выберите Изменить . В разделе SecurID PIN Management для User Authentication Requirement выберите Do not require PIN (only tokencode) .
Нажмите Сохранить и распространить токен .
На странице Distribute Software Token в разделе Basics щелкните Issue Token File (SDTID) .
На странице Распространение программного токена в разделе Параметры файла токена снимите флажок Включить защиту от копирования .Нажмите Без пароля и Далее .
На странице Distribute Software Token в разделе Download File щелкните Download Now . Нажмите Сохранить . Перейдите к C: \ RSA Installation и нажмите Сохранить и Закрыть .
Сверните RSA Security Console для использования в дальнейшем.
Настройте диспетчер аутентификации как сервер RADIUS.
На рабочем столе компьютера RSA дважды щелкните «Консоль управления безопасностью RSA» .
Если появляется предупреждение о сертификате безопасности / предупреждение о безопасности, щелкните Перейти на этот веб-сайт или щелкните Да , чтобы продолжить, и добавьте этот сайт в список надежных сайтов, если потребуется.
Введите идентификатор пользователя и пароль и нажмите Войти в систему .
Щелкните Deployment Configuration — RADIUS — Configure Server .
На странице Требуются дополнительные учетные данные введите идентификатор пользователя и пароль администратора и нажмите ОК .
На странице Configure RADIUS Server введите тот же пароль, который используется для пользователя-администратора для Secrets и Master Password . Введите идентификатор пользователя и пароль администратора и нажмите Настроить .
Убедитесь, что отображается сообщение «Успешно настроен сервер RADIUS» .Нажмите Готово . Закройте консоль управления RSA .
Вернитесь к «Консоль безопасности RSA» .
На вкладке RADIUS щелкните RADIUS Servers . Убедитесь, что в списке есть rsa.corp.contoso.com.
Настройте сервер RSA в качестве клиента аутентификации RSA.
На вкладке RADIUS щелкните RADIUS Clients и Добавить новый .
Установите флажок ANY RADIUS Client .
Введите надежный пароль по вашему выбору в поле Shared Secret . Вы будете использовать этот же пароль позже при настройке EDGE1 для OTP.
Оставьте поле IP Address пустым, а в поле Make / Model укажите значение Standard RADIUS .
Нажмите Сохранить без агента RSA .
Создайте файлы, необходимые для настройки EDGE1 в качестве агента аутентификации RSA.
На вкладке Access выделите Authentication Agents и нажмите Добавить новый .
Введите EDGE1 в поле Hostname и щелкните Resolve IP .
Обратите внимание, что IP-адрес для EDGE1 теперь отображается в поле IP-адрес . Нажмите Сохранить .
Создайте файл конфигурации для сервера EDGE1 (AM_Config.zip).
На вкладке Access выделите Authentication Agents и щелкните Generate Configuration File .
На странице Generate Configuration File щелкните Generate Config File , а затем нажмите Download Now .
Нажмите Сохранить , перейдите в папку C: \ RSA Installation и нажмите Сохранить .
Нажмите Закройте в диалоговом окне Загрузка завершена .
Создайте секретный файл узла для сервера EDGE1 (EDGE1_NodeSecret.zip).
На вкладке Access выделите Authentication Agents и щелкните Manage Existing .
Щелкните текущий настроенный узел EDGE1 и щелкните Управление секретом узла .
Установите флажок Создать новый случайный секрет узла и экспортировать секрет узла в файл установите флажок.
Введите тот же пароль, что и для пользователя-администратора, в поля Encryption Password и Confirm Encryption Password и нажмите Save .
На странице Создан секретный файл узла щелкните Загрузить сейчас .
В диалоговом окне Загрузка файла нажмите Сохранить , перейдите в папку C: \ RSA Installation и нажмите Сохранить . Нажмите Закройте в диалоговом окне Загрузка завершена .
Из носителя RSA Authentication Manager скопируйте \ auth_mgr \ windows-x86_64 \ am \ rsa-ace_nsload \ win32-5.0-x86 \ agent_nsload.exe в папку C: \ RSA Installation.
Создать DAProbeUser
В консоли безопасности RSA щелкните вкладку Identity , щелкните Users и щелкните Добавить новый .
В поле Last Name: введите Probe , а в идентификаторе пользователя : введите DAProbeUser .В разделах Password: и Confirm Password: введите надежный пароль. Снимите флажок «Требовать от пользователя смены пароля при следующем входе в систему» и нажмите Сохранить .
Установить программный токен RSA SecurID на КЛИЕНТ1
Используйте эту процедуру для установки программного токена SecurID на КЛИЕНТ1.
Установить программный токен SecurID
На компьютере CLIENT1 создайте папку C: \ RSA Files. Скопируйте файл Software_Tokens.zip из C: \ Установка RSA на компьютере RSA в C: \ RSA Files. Распакуйте файл User1_000031701832.SDTID в C: \ RSA Files на CLIENT1.
Получите доступ к источнику носителя программного токена RSA SecurID и дважды щелкните RSASECURIDTOKEN410 в папке клиентского приложения SecurID SoftwareToken , чтобы запустить установку RSA SecurID. Если появляется сообщение Открыть файл — предупреждение безопасности , нажмите Выполнить .
В диалоговом окне RSA SecurID Software Token — InstallShield Wizard дважды щелкните Далее .
Примите лицензионное соглашение и нажмите Далее .
В диалоговом окне Тип установки выберите Обычный , щелкните Далее и щелкните Установить .
Если появится диалоговое окно Контроль учетных записей пользователей , убедитесь, что отображаемое действие соответствует вашему желанию, а затем щелкните Да, .
Установите флажок Launch RSA SecurID Software Token и нажмите Finish .
Щелкните Импортировать из файла .
Щелкните Обзор , выберите C: \ RSA Files \ User1_000031701832.SDTID и щелкните Открыть .
Дважды щелкните ОК .
Настроить EDGE1 в качестве агента проверки подлинности RSA
Используйте эту процедуру, чтобы настроить EDGE1 для выполнения аутентификации RSA.
Настройте агент проверки подлинности RSA
На EDGE1 откройте проводник Windows и создайте папку C: \ RSA Files.Перейдите на установочный носитель RSA ACE.
Скопируйте файлы agent_nsload.exe, AM_Config.zip и EDGE1_NodeSecret.zip с носителя RSA в C: \ RSA Files.
Распакуйте содержимое обоих zip-файлов в следующие места:
C: \ Windows \ system32 \
C: \ Windows \ SysWOW64 \
Скопируйте agent_nsload.exe в C: \ Windows \ SysWOW64 \.
Откройте командную строку с повышенными привилегиями и перейдите в папку C: \ Windows \ SysWOW64.
Введите agent_nsload.exe -f nodesecret.rec -p где — надежный пароль, созданный во время начальной настройки RSA. Нажмите Ввод.
Скопируйте C: \ Windows \ SysWOW64 \ securid в C: \ Windows \ System32.
Настроить EDGE1 для поддержки OTP-аутентификации
Используйте эту процедуру для настройки OTP для DirectAccess и проверки конфигурации.
Настроить OTP для DirectAccess
На EDGE1 откройте диспетчер сервера и щелкните УДАЛЕННЫЙ ДОСТУП на левой панели.
Щелкните правой кнопкой мыши EDGE1 на панели СЕРВЕРЫ и выберите Управление удаленным доступом .
Нажмите Конфигурация .
В окне DirectAccess Setup в разделе Step 2 — Remote Access Server щелкните Edit .
Нажмите Далее три раза и в разделе Аутентификация выберите Двухфакторная аутентификация и Использовать OTP и убедитесь, что установлен флажок Использовать сертификаты компьютера .Убедитесь, что для корневого ЦС задано значение CN = corp-APP1-CA . Нажмите Далее .
В разделе OTP RADIUS Server дважды щелкните пустое поле Server Name .
В диалоговом окне Добавить сервер RADIUS введите RSA в поле Имя сервера . Щелкните Изменить рядом с полем Общий секрет и введите тот же пароль, который вы использовали при настройке клиентов RADIUS на сервере RSA, в полях Новый секрет и Подтвердите новый секрет .Дважды нажмите OK и нажмите Далее .
Примечание
Если сервер RADIUS находится в домене, отличном от домена сервера удаленного доступа, то в поле Имя сервера должно быть указано полное доменное имя сервера RADIUS.
В разделе OTP CA Servers выберите APP1.corp.contoso.com и нажмите Добавить . Нажмите Далее .
На странице Шаблоны сертификатов OTP щелкните Обзор , чтобы выбрать шаблон сертификата, используемый для регистрации сертификатов, выпущенных для проверки подлинности OTP, и в диалоговом окне Шаблоны сертификатов выберите DAOTPLogon .Нажмите ОК . Нажмите Обзор , чтобы выбрать шаблон сертификата, используемый для регистрации сертификата, используемого сервером удаленного доступа для подписи запросов на регистрацию сертификата OTP, и в диалоговом окне Шаблоны сертификатов выберите DAOTPRA . Щелкните Ok . Нажмите Далее .
На странице Настройка сервера удаленного доступа нажмите Завершить и нажмите Завершить в мастере DirectAccess Expert .
В диалоговом окне Проверка удаленного доступа нажмите Применить , дождитесь обновления политики DirectAccess и нажмите Закрыть .
На экране Start введите powershell.exe , щелкните правой кнопкой мыши powershell , щелкните Advanced и щелкните Run as administrator . Если появится диалоговое окно Контроль учетных записей пользователей , убедитесь, что отображаемое действие соответствует вашему желанию, а затем щелкните Да, .
В окне Windows PowerShell введите gpupdate / force и нажмите клавишу ВВОД.
Закройте и снова откройте консоль управления удаленным доступом и убедитесь, что все настройки OTP верны.
Завершение TCP-соединения — GeeksforGeeks
В процессе трехстороннего установления связи TCP мы изучили, как устанавливается соединение между клиентом и сервером в протоколе управления передачей (TCP) с использованием SYN -битных сегментов.В этой статье мы изучим, как TCP закрывает соединение между клиентом и сервером. Здесь нам также нужно будет отправить битовые сегменты на сервер, для которого FIN бит установлен на 1.
TCP поддерживает два типа освобождения соединения, как и большинство транспортных протоколов, ориентированных на соединение:
- Graceful connection release —
In Graceful разъединение соединения, соединение остается открытым до тех пор, пока обе стороны не закроют свои стороны соединения. - Внезапное освобождение соединения —
При внезапном освобождении соединения либо один объект TCP принудительно закрывает соединение, либо один пользователь закрывает оба направления передачи данных.
Внезапное разъединение соединения:
Внезапное разъединение соединения выполняется при отправке сегмента RST. Сегмент RST может быть отправлен по следующим причинам:
- Когда был получен сегмент, не являющийся SYN, для несуществующего TCP-соединения.
- В открытом соединении некоторые реализации TCP отправляют сегмент RST, когда получен сегмент с недопустимым заголовком. Это предотвратит атаки, закрыв соответствующее соединение.
- Когда некоторым реализациям необходимо закрыть существующее TCP-соединение, они отправляют сегмент RST.Они закроют существующее TCP-соединение по следующим причинам:
- Отсутствие ресурсов для поддержки соединения
- Удаленный хост теперь недоступен и перестал отвечать.
Когда объект TCP отправляет сегмент RST, он должен содержать 00, если он не принадлежит какому-либо существующему соединению, в противном случае он должен содержать текущее значение порядкового номера для соединения, а номер подтверждения должен быть установлен на следующий ожидаемый порядковый номер в этом соединении.
Graceful Connection Release:
Обычным способом завершения TCP-соединения является использование флага FIN в заголовке TCP. Этот механизм позволяет каждому хосту по отдельности освобождать свою сторону соединения.
Как работает механизм в TCP:
- Шаг 1 (FIN от клиента) —
Предположим, что клиентское приложение решает закрыть соединение. (Обратите внимание, что сервер также может закрыть соединение).Это приводит к тому, что клиент отправляет на сервер сегмент TCP с битом FIN , установленным на 1 , и входит в состояние FIN_WAIT_1 . Находясь в состоянии FIN_WAIT_1 , клиент ждет сегмента TCP от сервера с подтверждением (ACK). - Шаг 2 (ACK от сервера) —
Когда сервер получил битовый сегмент FIN от отправителя (клиента), сервер немедленно отправит сегмент подтверждения (ACK) отправителю (клиенту). - Шаг 3 (ожидание клиента) —
Находясь в состоянии FIN_WAIT_1 , клиент ждет сегмента TCP от сервера с подтверждением.Когда он получает этот сегмент, клиент переходит в состояние FIN_WAIT_2 . Находясь в состоянии FIN_WAIT_2 , клиент ожидает другого сегмента от сервера с битом FIN, установленным на 1. - Шаг 4 (FIN от сервера) —
Сервер отправляет битовый сегмент FIN отправителю (клиенту) после некоторое время, когда Сервер отправляет сегмент ACK (из-за некоторого процесса закрытия на сервере). - Шаг 5 (ACK от клиента) —
Когда Клиент получает битовый сегмент FIN от сервера, клиент подтверждает сегмент сервера и переходит в состояние TIME_WAIT .Состояние TIME_WAIT позволяет клиенту повторно отправить окончательное подтверждение в случае потери ACK . Время, проведенное клиентом в состоянии TIME_WAIT , зависит от их реализации, но их типичные значения составляют 30 секунд, 1 минуту и 2 минуты. После ожидания соединение формально закрывается, и все ресурсы на стороне клиента (включая номера портов и данные буфера) освобождаются.
На рисунках ниже показаны серии состояний, которые посещает серверная и клиентская стороны, при условии, что клиент начинает разрыв соединения.На этих двух рисунках перехода между состояниями мы только показали, как обычно устанавливается и завершается TCP-соединение.
состояний TCP, посещенных ClientSide —
состояний TCP, посещаемых ServerSide —
Здесь мы не описали, что происходит в определенных сценариях, например, когда обе стороны соединения хотят инициировать или отключать одновременно. Если вы хотите узнать больше об этой и других сложных проблемах, связанных с TCP, мы рекомендуем вам прочитать всеобъемлющую книгу Стивенса.
GATE Вопрос —
Рассмотрим TCP-клиент и TCP-сервер, работающие на двух разных машинах. После завершения передачи данных TCP-клиент вызывает close , чтобы разорвать соединение, и сегмент FIN отправляется на TCP-сервер. Серверный TCP отвечает, отправляя ACK, который получает клиентский TCP. Согласно диаграмме состояний TCP-соединения (RFC 793), в каком состоянии TCP-соединение на стороне клиента ожидает FIN от TCP на стороне сервера?
(A) LAST-ACK
(B) TIME-WAIT
(C) FIN-WAIT-1
(D) FIN-WAIT-2
Пояснение: (D)
GATE CS 2017 (Set 1), Вопрос 12
Ссылки —
Завершение TCP-соединения — Википедия
http: // www.bau.edu.jo/UserPortal/UserProfile/PostsAttach/10617_1870_1.pdf
Автор статьи Kadam Patel . Если вам нравится GeeksforGeeks, и вы хотели бы внести свой вклад, вы также можете написать статью на сайте deposit.geeksforgeeks.org или отправить свою статью по электронной почте: [email protected]. Посмотрите, как ваша статья появляется на главной странице GeeksforGeeks, и помогите другим гикам.
Пожалуйста, напишите комментарии, если вы обнаружите что-то неправильное, или если вы хотите поделиться дополнительной информацией по теме, обсуждаемой выше.
Практическое руководство: установка и настройка OpenVPN клиент / сервер VPN
OpenVPN — это полнофункциональный SSL VPN, который реализует расширение защищенной сети уровня 2 или 3 OSI с использованием стандартного протокола SSL / TLS, поддерживает гибкие методы аутентификации клиента на основе на сертификатах, смарт-картах и / или учетных данных имени пользователя и пароля, а также позволяет использовать политики управления доступом для конкретных пользователей или групп с использованием правил брандмауэра, применяемых к виртуальному интерфейсу VPN. OpenVPN не является прокси-сервером веб-приложения и не работает через веб-браузер.
OpenVPN 2.0 расширяет возможности OpenVPN 1.x, предлагая масштабируемый режим клиент / сервер, позволяя нескольким клиентам подключаться к одному процессу сервера OpenVPN через один порт TCP или UDP. OpenVPN 2.3 включает в себя большое количество улучшений, включая полную поддержку IPv6 и поддержку PolarSSL.
Этот документ предоставляет пошаговые инструкции по настройке OpenVPN 2.x клиент / сервер VPN, в том числе:
Этот HOWTO предполагает, что читатели обладают предварительным пониманием основных сетевых концепций, таких как IP-адреса, имена DNS, маски сети подсети, IP-маршрутизация, маршрутизаторы, сетевые интерфейсы, локальные сети, шлюзы и правила брандмауэра.
Оригинальный OpenVPN 1.x HOWTO по-прежнему доступен и остается актуальным для конфигураций точка-точка или статических ключей.
Хотя этот HOWTO поможет вам настроить масштабируемую клиент-серверную VPN с использованием X509 PKI (инфраструктура открытого ключа с использованием сертификатов и закрытых ключей), это может оказаться излишним, если вы ищете только простую настройку VPN с сервером, который может справиться с одним клиентом.
Если вы хотите быстро запустить VPN с минимальной конфигурацией, вы можете прочитать мини-HOWTO по статическому ключу.
Исходный код OpenVPN и установщики Windows можно скачать здесь. Последние выпуски (2.2 и новее) также доступны в виде пакетов Debian и RPM; подробности см. в вики OpenVPN.
В целях безопасности рекомендуется проверять подпись выпуска файла после загрузки.
Исполняемый файл OpenVPN должен быть установлен как на сервере, так и на клиентском компьютере, поскольку один исполняемый файл обеспечивает как клиентские, так и серверные функции.
Если вы используете дистрибутив Linux, который поддерживает пакеты RPM (SuSE, Fedora, Redhat и т. Д.)), лучше всего использовать этот механизм. Самый простой способ — найти существующий двоичный файл RPM для вашего дистрибутива. Вы также можете создать свой собственный двоичный файл RPM:
Кроме того, если вы создаете свой собственный двоичный пакет RPM, существует несколько дополнительных зависимостей:
Дополнительные примечания по созданию пакета RPM для Red Hat Linux см. В файле openvpn.spec. 9 или здание с уменьшенными зависимостями.
Если вы используете Debian, Gentoo или дистрибутив Linux, не основанный на RPM, используйте специфичный для вашего дистрибутива механизм упаковки, такой как apt-get в Debian или emerge в Gentoo.
Также можно установить OpenVPN в Linux, используя универсальный метод ./configure . Сначала разверните файл .tar.gz:
OpenVPN для Windows можно установить из самоустанавливающегося exe-файла на странице загрузки OpenVPN. Помните, что OpenVPN будет работать только в Windows XP или более поздней версии. Также обратите внимание, что OpenVPN должен быть установлен и запущен пользователем с правами администратора (это ограничение налагается Windows, а не OpenVPN). Ограничение можно обойти, запустив OpenVPN в фоновом режиме в качестве службы, и в этом случае даже пользователи без прав администратора смогут получить доступ к VPN после ее установки.Дополнительное обсуждение проблем с привилегиями OpenVPN + Windows.
Официальные установщики OpenVPN для Windows включают OpenVPN-GUI, который позволяет управлять подключениями OpenVPN из апплета на панели задач. Также доступны другие приложения с графическим интерфейсом.
После запуска установщика Windows OpenVPN готов к использованию и будет ассоциироваться с файлами с расширением .ovpn . Чтобы запустить OpenVPN, вы можете:
Некоторые примечания доступны в файле INSTALL для определенных ОС. В общем, можно использовать метод
, или вы можете искать порт или пакет OpenVPN, специфичный для вашей ОС / дистрибутива.
Обзор маршрутизации по сравнению с мостом Ethernet см. В разделе часто задаваемых вопросов. См. Также страницу OpenVPN Ethernet Bridging для получения дополнительных примечаний и деталей по мосту.
В целом, маршрутизация, вероятно, является лучшим выбором для большинства людей, поскольку она более эффективна и проще в настройке (в том, что касается самой конфигурации OpenVPN), чем мост. Маршрутизация также обеспечивает большую возможность выборочного управления правами доступа в зависимости от клиента.
Я бы рекомендовал использовать маршрутизацию, если вам не нужна особая функция, которая требует мостового соединения, например:
Настройка VPN часто влечет за собой соединение частных подсетей из разных мест.
Internet Assigned Numbers Authority (IANA) зарезервировал следующие три блока пространства IP-адресов для частных сетей (кодифицировано в RFC 1918):
Хотя адреса из этих сетевых блоков обычно должны использоваться в конфигурациях VPN, важно выбрать адреса, которые минимизируют вероятность конфликтов IP-адресов или подсетей. Типы конфликтов, которых следует избегать:
Например, предположим, что вы используете популярную подсеть 192.168.0.0/24 в качестве частной подсети LAN.Теперь вы пытаетесь подключиться к VPN из интернет-кафе, которое использует ту же подсеть для своей локальной сети Wi-Fi. У вас возникнет конфликт маршрутизации, потому что ваш компьютер не будет знать, относится ли 192.168.0.1 к локальному шлюзу WiFi или к тому же адресу в VPN.
В качестве другого примера предположим, что вы хотите связать вместе несколько сайтов с помощью VPN, но каждый сайт использует 192.168.0.0/24 в качестве своей подсети LAN. Это не будет работать без добавления сложного уровня преобразования NAT, потому что VPN не знает, как маршрутизировать пакеты между несколькими сайтами, если эти сайты не используют подсеть, которая их однозначно идентифицирует.
Лучшее решение — избегать использования 10.0.0.0/24 или 192.168.0.0/24 в качестве адресов частной сети LAN. Вместо этого используйте то, что с меньшей вероятностью будет использоваться в Wi-Fi-кафе, аэропорту или отеле, откуда вы можете рассчитывать на удаленное подключение. Лучшими кандидатами являются подсети в центре огромного сетевого блока 10.0.0.0/8 (например, 10.66.77.0/24).
И чтобы избежать межсайтовых конфликтов IP-нумерации, всегда используйте уникальную нумерацию для ваших подсетей LAN.
Первый шаг в создании OpenVPN 2.x заключается в создании PKI (инфраструктуры открытого ключа). PKI состоит из:
OpenVPN поддерживает двунаправленную аутентификацию на основе сертификатов, что означает, что клиент должен аутентифицировать сертификат сервера, а сервер должен аутентифицировать сертификат клиента до установления взаимного доверия.
И сервер, и клиент будут аутентифицировать друг друга, сначала проверив, что представленный сертификат был подписан главным центром сертификации (ЦС), а затем проверив информацию в заголовке теперь аутентифицированного сертификата, такую как общее имя сертификата или тип сертификата. (клиент или сервер).
Обратите внимание, что часы сервера и клиента должны быть примерно синхронизированы, иначе сертификаты могут работать некорректно.
В этом разделе мы сгенерируем главный сертификат / ключ CA, сертификат / ключ сервера и сертификаты / ключи для 3 отдельных клиентов.
Для управления PKI мы будем использовать easy-rsa 2 , набор скриптов, который идет в комплекте с OpenVPN 2.2.x и более ранними версиями. Если вы используете OpenVPN 2.3.x, вам необходимо загрузить easy-rsa 2 отдельно отсюда.
Для управления PKI мы будем использовать easy-rsa 2, набор скриптов, который входит в состав OpenVPN 2.2.x и ранее. Если вы используете OpenVPN 2.3.x, вам может потребоваться загрузить easy-rsa 2 отдельно от страницы проекта easy-rsa-old. На платформах * NIX вам следует рассмотреть возможность использования easy-rsa 3; обратитесь к его собственной документации для получения подробной информации.
Если вы используете Linux, BSD или unix-подобную ОС, откройте оболочку и cd в подкаталог easy-rsa . Если вы установили OpenVPN из файла RPM или DEB, каталог easy-rsa обычно можно найти в / usr / share / doc / packages / openvpn или / usr / share / doc / openvpn (лучше всего скопировать это каталог в другое место, например, / etc / openvpn , перед любыми изменениями, чтобы будущие обновления пакета OpenVPN не перезаписали ваши изменения).Если вы установили из файла .tar.gz, каталог easy-rsa будет находиться в каталоге верхнего уровня расширенного дерева исходных текстов.
Если вы используете Windows, откройте окно командной строки и перейдите по адресу \ Program Files \ OpenVPN \ easy-rsa . Запустите следующий командный файл, чтобы скопировать файлы конфигурации на место (это перезапишет все существующие файлы vars.bat и openssl.cnf):
Теперь отредактируйте файл vars (в Windows он называется vars.bat ) и установите KEY_COUNTRY , Параметры KEY_PROVINCE, KEY_CITY, KEY_ORG и KEY_EMAIL.Не оставляйте ни один из этих параметров пустым.
Затем инициализируйте PKI. В Linux / BSD / Unix:
Последняя команда ( build-ca ) создаст сертификат и ключ центра сертификации (CA) путем вызова интерактивной команды openssl :
Обратите внимание, что в приведенной выше последовательности наиболее запрашиваемые параметры по умолчанию были установлены на значения, установленные в файлах vars или vars.bat . Единственный параметр, который необходимо ввести явно, — это общее имя .В приведенном выше примере я использовал «OpenVPN-CA».
Далее мы сгенерируем сертификат и закрытый ключ для сервера. В Linux / BSD / Unix:
Как и в предыдущем шаге, для большинства параметров можно установить значения по умолчанию. При запросе общего имени введите «сервер». Два других запроса требуют положительного ответа: «Подписать сертификат? [y / n] »и« 1 из 1 запросов на сертификат сертифицирован, совершить? [да / нет] ».
Создание клиентских сертификатов очень похоже на предыдущий шаг.В Linux / BSD / Unix:
Если вы хотите защитить паролем ключи клиента, замените сценарий build-key-pass .
Помните, что для каждого клиента убедитесь, что при появлении запроса вводите соответствующее общее имя , то есть «client1», «client2» или «client3». Всегда используйте уникальное общее имя для каждого клиента.
Параметры Диффи Хеллмана должны быть сгенерированы для сервера OpenVPN. В Linux / BSD / Unix:
Теперь мы найдем наши вновь сгенерированные ключи и сертификаты в подкаталоге keys .Вот объяснение соответствующих файлов:
Последним шагом в процессе генерации ключа является копирование всех файлов на машины, которые в них нуждаются, заботясь о копировании секретных файлов по защищенному каналу.
Подождите, скажете вы. Разве нельзя установить PKI без уже существующего безопасного канала?
Якобы да. В приведенном выше примере для краткости мы сгенерировали все закрытые ключи в одном месте. Приложив немного больше усилий, мы могли бы сделать это иначе.Например, вместо генерации клиентского сертификата и ключей на сервере мы могли бы заставить клиент генерировать свой собственный закрытый ключ локально, а затем отправить запрос на подпись сертификата (CSR) на машину для подписи ключей. В свою очередь, машина для подписания ключей могла обработать CSR и вернуть подписанный сертификат клиенту. Это можно было сделать, даже не требуя, чтобы секретный файл .key покинул жесткий диск машины, на которой он был создан.
Лучше всего использовать образцы файлов конфигурации OpenVPN в качестве отправной точки для вашей собственной конфигурации.Эти файлы также можно найти в
. Обратите внимание, что в Linux, BSD или unix-подобных операционных системах образцы файлов конфигурации называются server.conf и client.conf . В Windows они называются server.ovpn и client.ovpn .
Пример файла конфигурации сервера — идеальная отправная точка для конфигурации сервера OpenVPN. Он создаст VPN с использованием виртуального сетевого интерфейса TUN (для маршрутизации), будет прослушивать клиентские подключения на UDP-порту 1194 (официальный номер порта OpenVPN) и распределять виртуальные адреса для подключенных клиентов с 10.8.0.0 / 24 подсеть.
Перед тем, как использовать образец файла конфигурации, вы должны сначала отредактировать параметры ca , cert , key и dh , чтобы они указывали на файлы, созданные в разделе PKI выше.
На этом этапе файл конфигурации сервера можно использовать, однако вы все равно можете настроить его дополнительно:
Если вы хотите запустить несколько экземпляров OpenVPN на одном компьютере, каждый из которых использует другой файл конфигурации, это возможно, если вы :
Пример файла конфигурации клиента ( client.conf в Linux / BSD / Unix или client.ovpn в Windows) отражает директивы по умолчанию, установленные в примере файла конфигурации сервера.
Сначала убедитесь, что сервер OpenVPN доступен из Интернета. Это означает:
Чтобы упростить поиск и устранение неисправностей, лучше сначала запустить сервер OpenVPN из командной строки (или щелкнуть правой кнопкой мыши файл .ovpn в Windows), а не запускать его как демон или службу:
A нормальный запуск сервера должен выглядеть так (вывод будет зависеть от платформы):
Запуск клиента
Как и в конфигурации сервера, лучше всего изначально запустить сервер OpenVPN из командной строки (или в Windows, щелкнув правой кнопкой мыши на клиенте .ovpn ), а не запускать его как демон или службу:
openvpn [файл конфигурации клиента]
Обычный запуск клиента в Windows будет похож на вывод сервера выше и должен заканчиваться сообщением Initialization Sequence Completed .
Теперь попробуйте выполнить эхо-запрос через VPN от клиента. Если вы используете маршрутизацию (например, dev tun в файле конфигурации сервера), попробуйте:
пинг 10.8.0,1
Если вы используете мост (т. Е. dev, нажмите в файле конфигурации сервера), попробуйте проверить связь с IP-адресом машины в подсети Ethernet сервера.
Если пинг прошел успешно, поздравляем! Теперь у вас есть работающая VPN.
Устранение неисправностей
Если проверка связи не удалась или инициализация клиента OpenVPN не была завершена, вот контрольный список общих симптомов и их решений:
- Вы получаете сообщение об ошибке: Ошибка TLS: не удалось выполнить согласование ключа TLS в течение 60 секунд (проверьте подключение к сети) .Эта ошибка указывает на то, что клиенту не удалось установить сетевое соединение с сервером. Решения :
- Убедитесь, что клиент использует правильное имя хоста / IP-адрес и номер порта, которые позволят ему подключиться к серверу OpenVPN.
- Если сервер OpenVPN представляет собой блок с одним сетевым адаптером внутри защищенной локальной сети, убедитесь, что вы используете правильное правило переадресации портов на межсетевом экране шлюза сервера. Например, предположим, что ваш OpenVPN-сервер находится по адресу 192.168.4.4 внутри брандмауэра и прослушивает клиентские подключения на UDP-порту 1194.Шлюз NAT, обслуживающий подсеть 192.168.4.x, должен иметь правило переадресации портов, согласно которому перенаправляет порт UDP 1194 с моего общедоступного IP-адреса на 192.168.4.4 .
- Откройте брандмауэр сервера, чтобы разрешить входящие подключения к порту UDP 1194 (или к любому другому порту TCP / UDP, который вы настроили в файле конфигурации сервера).
- Вы получаете сообщение об ошибке: Последовательность инициализации завершена с ошибками — Эта ошибка может возникнуть в Windows, если (а) у вас не запущена служба клиента DHCP или (б) вы используете определенные сторонние персональные брандмауэры на XP SP2. Решение : Запустите клиентский сервер DHCP и убедитесь, что вы используете персональный брандмауэр, который, как известно, правильно работает в XP SP2.
- Вы получаете сообщение Initialization Sequence Completed , но тест ping не проходит. Обычно это означает, что брандмауэр на сервере или клиенте блокирует сетевой трафик VPN путем фильтрации на интерфейсе TUN / TAP. Решение : Отключите брандмауэр клиента (если он существует) от фильтрации интерфейса TUN / TAP на клиенте.Например, в Windows XP SP2 это можно сделать, перейдя в Центр безопасности Windows -> Брандмауэр Windows -> Расширенный и сняв флажок, соответствующий адаптеру TAP-Windows (отключение брандмауэра клиента от фильтрации адаптера TUN / TAP обычно разумно с точки зрения безопасности, поскольку вы, по сути, говорите брандмауэру не блокировать аутентифицированный трафик VPN). Также убедитесь, что интерфейс TUN / TAP на сервере не фильтруется брандмауэром (при этом обратите внимание, что выборочный брандмауэр интерфейса TUN / TAP на стороне сервера может дать определенные преимущества безопасности.См. Раздел политики доступа ниже).
- Подключение останавливается при запуске при использовании конфигурации proto udp , файл журнала сервера показывает эту строку:
TLS: начальный пакет от x.x.x.x: x, sid = xxxxxxxx xxxxxxxx
, однако в журнале клиента нет эквивалентной строки.
Решение . У вас одностороннее соединение от клиента к серверу. Направление от сервера к клиенту блокируется брандмауэром, обычно на стороне клиента.Брандмауэр может быть (а) персональным программным брандмауэром, работающим на клиенте, или (б) шлюзом маршрутизатора NAT для клиента. Измените брандмауэр, чтобы разрешить возвращающим UDP-пакетам с сервера достичь клиента.
См. Дополнительную информацию по поиску и устранению неисправностей в FAQ.
Настройка OpenVPN для автоматического запуска при запуске системы
Отсутствие стандартов в этой области означает, что большинство операционных систем имеют другой способ настройки демонов / служб для автозапуска при загрузке.Лучший способ настроить эту функцию по умолчанию — установить OpenVPN в виде пакета, например, через RPM в Linux или с помощью установщика Windows.
Linux
Если вы устанавливаете OpenVPN через пакет RPM или DEB в Linux, установщик установит исходный сценарий . При выполнении сценарий инициализации будет сканировать файлы конфигурации .conf в / etc / openvpn и, если он будет найден, запустит отдельный демон OpenVPN для каждого файла.
Окна
Установщик Windows настроит Service Wrapper, но оставит его выключенным по умолчанию.Чтобы активировать его, перейдите в Панель управления / Администрирование / Службы, выберите службу OpenVPN, щелкните правой кнопкой мыши свойства и установите для параметра Тип запуска значение Автоматический. Это настроит службу для автоматического запуска при следующей перезагрузке.
При запуске служебная оболочка OpenVPN просканирует папку \ Program Files \ OpenVPN \ config на наличие файлов конфигурации .ovpn , запустив отдельный процесс OpenVPN для каждого файла.
Управление запущенным процессом OpenVPN
Работает в Linux / BSD / Unix
OpenVPN принимает несколько сигналов:
- SIGUSR1 — условный перезапуск, предназначенный для перезапуска без прав root
- SIGHUP — Жесткий перезапуск
- SIGUSR2 — Вывод статистики подключений в файл журнала или системный журнал
- SIGTERM , SIGINT — Выход
Используйте директиву writepid для записи PID демона OpenVPN в файл, чтобы вы знали, куда отправить сигнал (если вы запускаете openvpn с исходным скриптом , сценарий может уже передавать –writepid в командной строке openvpn ).
Работает в Windows как графический интерфейс
См. Страницу с графическим интерфейсом OpenVPN.
Запуск в окне командной строки Windows
В Windows вы можете запустить OpenVPN, щелкнув правой кнопкой мыши файл конфигурации OpenVPN (файл .ovpn, ) и выбрав «Запустить OpenVPN в этом файле конфигурации».
После запуска в этом режиме доступны несколько клавиатурных команд:
- F1 — условный перезапуск (не закрывает / не открывает повторно адаптер TAP)
- F2 — Показать статистику подключений
- F3 — Жесткий перезапуск
- F4 — Выход
Запуск в качестве службы Windows
Когда OpenVPN запускается как служба в Windows, единственный способ управлять им — это:
- Через диспетчер управления службами (Панель управления / Администрирование / Службы), который обеспечивает управление запуском / остановкой.
- Через интерфейс управления (см. Ниже).
Изменение конфигурации реального сервера
Хотя большинство изменений конфигурации требуют перезапуска сервера, есть две директивы, в частности, которые относятся к файлам, которые могут динамически обновляться на лету, и которые немедленно вступят в силу на сервере без необходимости перезапуска серверного процесса.
client-config-dir — Эта директива устанавливает каталог конфигурации клиента, который сервер OpenVPN будет сканировать при каждом входящем соединении в поисках файла конфигурации для конкретного клиента (дополнительную информацию см. На странице руководства).Файлы в этом каталоге можно обновлять «на лету» без перезапуска сервера. Обратите внимание, что изменения в этом каталоге вступят в силу только для новых подключений, но не для существующих. Если вы хотите, чтобы изменение файла конфигурации для конкретного клиента немедленно вступило в силу для подключенного в данный момент клиента (или того, который отключился, но у которого сервер не истек тайм-аут для своего объекта экземпляра), уничтожьте объект экземпляра клиента, используя команду управления интерфейс (описан ниже). Это заставит клиента повторно подключиться и использовать новый файл client-config-dir .
crl-verify — Эта директива называет файл списка отзыва сертификатов , описанный ниже в разделе Отзыв сертификатов. Файл CRL можно изменять на лету, и изменения вступят в силу немедленно для новых подключений или существующих подключений, которые повторно согласовывают свой канал SSL / TLS (по умолчанию происходит один раз в час). Если вы хотите убить подключенного в данный момент клиента, чей сертификат только что был добавлен в CRL, используйте интерфейс управления (описанный ниже).
Файл состояния
В файле server.conf по умолчанию есть строка
.статус openvpn-status.log
, который будет выводить список текущих клиентских подключений в файл openvpn-status.log один раз в минуту.
Использование интерфейса управления
Интерфейс управления OpenVPN позволяет в значительной степени контролировать запущенный процесс OpenVPN. Вы можете использовать интерфейс управления напрямую, подключившись через Telnet к порту интерфейса управления, или косвенно, используя графический интерфейс OpenVPN, который сам подключается к интерфейсу управления.
Чтобы включить интерфейс управления на сервере или клиенте OpenVPN, добавьте это в файл конфигурации:
управление localhost 7505
Это указывает OpenVPN прослушивать TCP-порт 7505 для клиентов интерфейса управления (порт 7505 — произвольный выбор — вы можете использовать любой свободный порт).
После запуска OpenVPN вы можете подключиться к интерфейсу управления с помощью клиента telnet . Например:
ai: ~ # telnet localhost 7505 Пробуем 127.] '. > ИНФОРМАЦИЯ: Версия 1 интерфейса управления OpenVPN - введите help для получения дополнительной информации помощь Интерфейс управления для OpenVPN 2.0_rc14 i686-suse-linux [SSL] [LZO] [EPOLL] построен 15 февраля 2005 г. Команды: echo [on | off] [N | all]: Аналогично журналу, но отображаются только сообщения в буфере эха. exit | quit: закрыть сеанс управления. help: распечатать это сообщение. hold [on | off | release]: установить / показать флаг удержания в состояние включения / выключения, или отпустить текущую задержку и начать туннель.kill cn: убить клиентские экземпляры с общим именем cn. kill IP: port: убить экземпляр клиента, подключающийся с IP: port. log [on | off] [N | all]: включить / выключить отображение журнала в реальном времени. + показать последние N строк или «все» для всей истории. mute [n]: установить уровень отключения звука журнала на n или показать уровень, если n отсутствует. net: (только для Windows) Показать информацию о сети и таблицу маршрутизации. тип пароля p: введите пароль p для запрашиваемого пароля OpenVPN.signal s: отправить сигнал s демону, s = SIGHUP | SIGTERM | SIGUSR1 | SIGUSR2. state [on | off] [N | all]: как журнал, но показывает историю состояний. status [n]: показать информацию о текущем статусе демона в формате #n. test n: вывести n строк вывода для тестирования / отладки. username type u: введите имя пользователя u для запрашиваемого имени пользователя OpenVPN. verb [n]: установить уровень детализации журнала на n или показать, если n отсутствует.версия: показать номер текущей версии. КОНЕЦ выход Соединение прервано внешним хостом. ai: ~ #
Для получения дополнительной информации см. Документацию по интерфейсу управления OpenVPN.
Расширение области VPN за счет включения дополнительных машин в подсети клиента или сервера.
Включение нескольких машин на стороне сервера при использовании маршрутизируемой VPN (dev tun)
После того, как VPN будет работать в режиме «точка-точка» между клиентом и сервером, может быть желательно расширить область действия VPN, чтобы клиенты могли подключаться к нескольким машинам в серверной сети, а не только к самому серверу.
Для целей этого примера мы предположим, что локальная сеть на стороне сервера использует подсеть 10.66.0.0/24 , а пул IP-адресов VPN использует 10.8.0.0/24 , как указано в директиве server . в файле конфигурации сервера OpenVPN.
Во-первых, вы должны объявить подсеть 10.66.0.0/24 клиентам VPN как доступную через VPN. Это легко сделать с помощью следующей директивы файла конфигурации на стороне сервера:
push "маршрут 10.66.0.0 255.255.255.0 "
Затем вы должны настроить маршрут на серверном шлюзе LAN для маршрутизации подсети VPN-клиента ( 10.8.0.0/24 ) на сервер OpenVPN (это необходимо только в том случае, если сервер OpenVPN и шлюз LAN отличаются машины).
Убедитесь, что вы включили пересылку IP и TUN / TAP на сервере OpenVPN.
Включение нескольких машин на стороне сервера при использовании мостовой VPN (dev tap)
Одним из преимуществ использования моста Ethernet является то, что вы получаете его бесплатно без какой-либо дополнительной настройки.
Включение нескольких машин на стороне клиента при использовании маршрутизируемой VPN (dev tun)
В типичном сценарии «дорожный воин» или удаленного доступа клиентский компьютер подключается к VPN как единый компьютер. Но предположим, что клиентская машина является шлюзом для локальной LAN (например, домашнего офиса), и вы хотите, чтобы каждая машина в клиентской LAN могла маршрутизировать через VPN.
В этом примере мы предположим, что клиентская LAN использует подсеть 192.168.4.0/24 , а VPN-клиент использует сертификат с общим именем client2 .Наша цель — настроить VPN таким образом, чтобы любой компьютер в клиентской локальной сети мог связываться с любым компьютером в серверной локальной сети через VPN.
Перед настройкой необходимо выполнить несколько основных условий:
- Клиентская подсеть LAN (192.168.4.0/24 в нашем примере) не должна экспортироваться в VPN сервером или любыми другими клиентскими сайтами, которые используют ту же подсеть. Каждая подсеть, подключенная к VPN через маршрутизацию, должна быть уникальной.
- Клиент должен иметь уникальное общее имя в своем сертификате («client2» в нашем примере), и флаг duplicate-cn не должен использоваться в файле конфигурации сервера OpenVPN.
Сначала убедитесь, что на клиентском компьютере включена пересылка IP и TUN / TAP.
Далее мы займемся необходимыми изменениями конфигурации на стороне сервера. Если файл конфигурации сервера в настоящее время не ссылается на каталог конфигурации клиента, добавьте его сейчас:
каталог конфигурации клиента ccd
В приведенной выше директиве ccd должно быть именем каталога, который был предварительно создан в каталоге по умолчанию, в котором работает демон сервера OpenVPN.В Linux это обычно / etc / openvpn , а в Windows обычно \ Program Files \ OpenVPN \ config . Когда новый клиент подключается к серверу OpenVPN, демон проверяет этот каталог на наличие файла, который соответствует общему имени подключающегося клиента. Если соответствующий файл найден, он будет прочитан и обработан для применения дополнительных директив файла конфигурации к указанному клиенту.
Следующим шагом является создание файла с именем client2 в каталоге ccd .Этот файл должен содержать строку:
iroute 192.168.4.0 255.255.255.0
Это сообщит серверу OpenVPN, что подсеть 192.168.4.0/24 должна быть маршрутизирована на client2 .
Затем добавьте следующую строку в файл конфигурации основного сервера (не файл ccd / client2 ):
маршрут 192.168.4.0 255.255.255.0
Почему используются избыточные инструкции route и iroute , спросите вы? Причина в том, что маршрут управляет маршрутизацией от ядра к серверу OpenVPN (через интерфейс TUN), а iroute управляет маршрутизацией от сервера OpenVPN к удаленным клиентам.Оба необходимы.
Затем спросите себя, хотите ли вы разрешить сетевой трафик между подсетью client2 (192.168.4.0/24) и другими клиентами сервера OpenVPN. Если да, добавьте в файл конфигурации сервера следующее.
клиент-клиент нажмите "маршрут 192.168.4.0 255.255.255.0"
Это приведет к тому, что сервер OpenVPN объявит подсеть client2 другим подключающимся клиентам.
Последний шаг, о котором часто забывают, — это добавить маршрут к шлюзу локальной сети сервера, который направляет 192.168.4.0 / 24 в ящик сервера OpenVPN (он вам не понадобится, если ящик сервера OpenVPN является шлюзом для локальной сети сервера). Предположим, вы пропустили этот шаг и пытались пропинговать машину (а не сам сервер OpenVPN) в локальной сети сервера с адреса 192.168.4.8? Исходящий пинг, вероятно, достигнет машины, но тогда он не будет знать, как маршрутизировать ответ, потому что не будет знать, как достичь 192.168.4.0/24. Эмпирическое правило, которое следует использовать, заключается в том, что при маршрутизации всей локальной сети через VPN (когда VPN-сервер не совпадает с компьютером со шлюзом локальной сети), убедитесь, что шлюз для локальной сети направляет все подсети VPN на машину VPN-сервера.
Аналогично, если клиентский компьютер, на котором запущен OpenVPN, не является также шлюзом для клиентской локальной сети, то шлюз для клиентской локальной сети должен иметь маршрут, который направляет все подсети, которые должны быть доступны через VPN, на клиентский компьютер OpenVPN.
Включение нескольких машин на стороне клиента при использовании мостовой VPN (dev tap)
Это требует более сложной настройки (возможно, не более сложной на практике, но более сложной для подробного объяснения):
- Вы должны соединить клиентский TAP-интерфейс с сетевым адаптером, подключенным к локальной сети, на клиенте.
- Необходимо вручную установить IP / маску сети TAP-интерфейса на клиенте.
- Вы должны настроить клиентские машины для использования IP / сетевой маски, которая находится внутри мостовой подсети, возможно, путем запроса DHCP-сервера на стороне сервера OpenVPN в VPN.
Передача параметров DHCP клиентам
Сервер OpenVPN может передавать клиентам такие параметры DHCP, как адреса серверов DNS и WINS (о некоторых предостережениях следует помнить). Клиенты Windows могут принимать проталкиваемые параметры DHCP изначально, в то время как клиенты, отличные от Windows, могут принимать их с помощью клиентского сценария — , который анализирует список переменных среды foreign_option_ n .См. Справочную страницу для документации и примеров сценариев, отличных от Windows foreign_option_ n .
Например, предположим, что вы хотите подключать клиентов для использования внутреннего DNS-сервера 10.66.0.4 или 10.66.0.5 и WINS-сервера 10.66.0.8. Добавьте это в конфигурацию сервера OpenVPN:
нажмите "dhcp-option DNS 10.66.0.4" нажмите "dhcp-option DNS 10.66.0.5" нажмите "dhcp-option WINS 10.66.0.8"
Чтобы протестировать эту функцию в Windows, запустите следующее из окна командной строки после того, как машина подключится к серверу OpenVPN:
ipconfig / все
Запись для адаптера TAP-Windows должна отображать параметры DHCP, которые были переданы сервером.
Настройка клиентских правил и политик доступа
Предположим, мы настраиваем корпоративную VPN и хотим установить отдельные политики доступа для 3 разных классов пользователей:
- Системные администраторы — полный доступ ко всем машинам в сети
- Сотрудники — доступ только к Samba / почтовому серверу
- Контрагенты — доступ только к специальному серверу
Основной подход, который мы выберем, будет (а) выделить каждый класс пользователей в свой собственный диапазон виртуальных IP-адресов и (б) контролировать доступ к машинам, настроив правила брандмауэра, которые отключают виртуальный IP-адрес клиента.
В нашем примере предположим, что у нас есть переменное количество сотрудников, но только один системный администратор и два подрядчика. Наш подход к распределению IP-адресов будет заключаться в том, чтобы поместить всех сотрудников в пул IP-адресов, а затем выделить фиксированные IP-адреса для системного администратора и подрядчиков.
Обратите внимание, что одним из предварительных условий этого примера является наличие программного брандмауэра, работающего на сервере OpenVPN, который дает вам возможность определять определенные правила брандмауэра.В нашем примере мы предположим, что это брандмауэр Linux iptables .
Во-первых, давайте создадим карту виртуальных IP-адресов в соответствии с классом пользователя:
Класс | Диапазон виртуальных IP-адресов | Разрешенный доступ к локальной сети | Общие имена |
Сотрудники | 10.8.0.0/24 | Samba / почтовый сервер в 10.66.4.4 | [переменная] |
Системные администраторы | 10.8.1.0 / 24 | Вся подсеть 10.66.4.0/24 | системный администратор |
Подрядчики | 10.8.2.0/24 | Сервер подрядчика по адресу 10.66.4.12 | подрядчик1, подрядчик2 |
Затем давайте переведем эту карту в конфигурацию сервера OpenVPN. Прежде всего, убедитесь, что вы выполнили описанные выше действия, чтобы сделать подсеть 10.66.4.0/24 доступной для всех клиентов (пока мы настроим маршрутизацию, чтобы разрешить клиентский доступ ко всем 10.66.4.0 / 24, мы наложим ограничения доступа с помощью правил брандмауэра для реализации приведенной выше таблицы политик).
Сначала определите статический номер устройства для нашего интерфейса tun , чтобы мы могли ссылаться на него позже в наших правилах брандмауэра:
dev tun0
В файле конфигурации сервера определите пул IP-адресов сотрудников:
сервер 10.8.0.0 255.255.255.0
Добавить маршруты для диапазонов IP-адресов системного администратора и подрядчика:
маршрут 10.8.1.0 255.255.255.0 маршрут 10.8.2.0 255.255.255.0
Поскольку мы будем назначать фиксированные IP-адреса для конкретных системных администраторов и подрядчиков, мы будем использовать каталог конфигурации клиента:
каталог конфигурации клиента ccd
Теперь поместите специальные файлы конфигурации в подкаталог ccd , чтобы определить фиксированный IP-адрес для каждого VPN-клиента, не являющегося сотрудником.
компакт-диск / sysadmin1
ifconfig-push 10.8.1.1 10.8.1.2
ccd / подрядчик1
ifconfig-push 10.8.2.1 10.8.2.2
ccd / подрядчик2
ifconfig-push 10.8.2.5 10.8.2.6
Каждая пара адресов ifconfig-push представляет собой виртуальные конечные IP-точки клиента и сервера. Они должны быть взяты из последовательных подсетей / 30 для совместимости с клиентами Windows и драйвером TAP-Windows. В частности, последний октет IP-адреса каждой пары конечных точек должен быть взят из этого набора:
[1, 2] [5, 6] [9, 10] [13, 14] [17, 18] [21, 22] [25, 26] [29, 30] [33, 34] [37, 38] [41, 42] [45, 46] [49, 50] [53, 54] [57, 58] [61, 62] [65, 66] [69, 70] [73, 74] [77, 78] [81, 82] [85, 86] [89, 90] [93, 94] [97, 98] [101,102] [105,106] [109,110] [113,114] [117,118] [121,122] [125,126] [129,130] [133,134] [137,138] [141 142] [145 146] [149 150] [153 154] [157 158] [161 162] [165 166] [169 170] [173 174] [177 178] [181 182] [185 186] [189 190] [193 194] [197 198] [201 202] [205 206] [209 210] [213 214] [217 218] [221 222] [225 226] [229 230] [233 234] [237 238] [241 242] [245 246] [249 250] [253 254]
На этом настройка OpenVPN завершена.Последний шаг — добавить правила брандмауэра для завершения политики доступа. В этом примере мы будем использовать правила брандмауэра в синтаксисе Linux iptables :
# Правило сотрудников iptables -A ВПЕРЕД -i tun0 -s 10.8.0.0/24 -d 10.66.4.4 -j ПРИНЯТЬ # Правило системного администратора iptables -A ВПЕРЕД -i tun0 -s 10.8.1.0/24 -d 10.66.4.0/24 -j ПРИНЯТЬ # Правило подрядчика iptables -A ВПЕРЕД -i tun0 -s 10.8.2.0/24 -d 10.66.4.12 -j ПРИНЯТЬ
Использование альтернативных методов аутентификации
OpenVPN 2.0 и более поздних версий включают функцию, которая позволяет серверу OpenVPN безопасно получать имя пользователя и пароль от подключающегося клиента и использовать эту информацию в качестве основы для аутентификации клиента.
Чтобы использовать этот метод аутентификации, сначала добавьте в конфигурацию клиента директиву auth-user-pass . Он направит клиент OpenVPN запросить у пользователя имя пользователя / пароль, передав его на сервер по безопасному каналу TLS.
Затем настройте сервер на использование подключаемого модуля проверки подлинности, который может быть сценарием, общим объектом или DLL.Сервер OpenVPN будет вызывать плагин каждый раз, когда VPN-клиент пытается подключиться, передавая ему имя пользователя / пароль, введенные на клиенте. Плагин аутентификации может контролировать, разрешает ли сервер OpenVPN клиенту соединение, возвращая значение ошибки (1) или успеха (0).
Использование подключаемых модулей сценариев
ПлагиныScript можно использовать, добавив директиву auth-user-pass-verify в файл конфигурации на стороне сервера. Например:
auth-user-pass-verify auth-pam.pl через-файл
будет использовать Perl-скрипт auth-pam.pl для аутентификации имени пользователя и пароля подключающихся клиентов. См. Описание auth-user-pass-verify на странице руководства для получения дополнительной информации.
Сценарий auth-pam.pl включен в дистрибутив исходного файла OpenVPN в подкаталог sample-scripts . Он будет аутентифицировать пользователей на сервере Linux с помощью модуля аутентификации PAM, который, в свою очередь, может реализовать теневой пароль, аутентификацию RADIUS или LDAP. auth-pam.pl в первую очередь предназначен для демонстрационных целей. Для реальной аутентификации PAM используйте плагин общего объекта openvpn-auth-pam , описанный ниже.
Использование общих объектов или подключаемых модулей DLL
Плагины общих объектов или DLL обычно представляют собой скомпилированные модули C, которые загружаются сервером OpenVPN во время выполнения. Например, если вы используете пакет OpenVPN на основе RPM в Linux, подключаемый модуль openvpn-auth-pam должен быть уже собран. Чтобы использовать его, добавьте это в файл конфигурации на стороне сервера:
плагин / usr / share / openvpn / plugin / lib / openvpn-auth-pam.так что авторизуйтесь
Это укажет серверу OpenVPN проверить имя пользователя / пароль, введенные клиентами с использованием модуля для входа в систему PAM.
Для реального производственного использования лучше использовать плагин openvpn-auth-pam , потому что он имеет несколько преимуществ перед скриптом auth-pam.pl :
- Плагин openvpn-auth-pam для общего объекта использует модель выполнения с разделенными привилегиями для повышения безопасности. Это означает, что сервер OpenVPN может работать с ограниченными привилегиями, используя директивы user nobody , group nobody и chroot , и по-прежнему сможет аутентифицироваться по файлу теневых паролей, доступному только для чтения root.
- OpenVPN может передавать имя пользователя / пароль плагину через виртуальную память, а не через файл или среду, что лучше для локальной безопасности на сервере. Скомпилированные на C модули подключаемых модулей
- обычно работают быстрее, чем сценарии.
Если вам нужна дополнительная информация о разработке собственных подключаемых модулей для использования с OpenVPN, см. Файлы README в подкаталоге подключаемого модуля исходного дистрибутива OpenVPN.
Чтобы собрать подключаемый модуль openvpn-auth-pam в Linux, перейдите в каталог plugin / auth-pam в исходном дистрибутиве OpenVPN и запустите make .
Использование аутентификации по имени пользователя и паролю как единственная форма аутентификации клиента
По умолчанию, использование auth-user-pass-verify или подключаемого модуля для проверки имени пользователя / пароля на сервере включит двойную аутентификацию, требуя, чтобы аутентификация как по сертификату клиента, так и по имени пользователя / паролю прошла успешно, чтобы клиент мог быть аутентифицированным.
Хотя это не рекомендуется с точки зрения безопасности, также можно отключить использование клиентских сертификатов и принудительно выполнить только аутентификацию по имени пользователя и паролю.На сервере:
клиент-сертификат-не требуется
Таких конфигураций обычно следует также установить:
имя пользователя как общее имя
, который сообщает серверу использовать имя пользователя для целей индексации, поскольку он будет использовать общее имя клиента, который аутентифицировался через сертификат клиента.
Обратите внимание, что client-cert-not-required не устранит необходимость в сертификате сервера, поэтому клиент, подключающийся к серверу, который использует client-cert-not-required , может удалить cert и ключ директивы из файла конфигурации клиента, но не директива ca , потому что клиенту необходимо проверить сертификат сервера.
Как добавить двухфакторную аутентификацию в конфигурацию OpenVPN с использованием клиентских смарт-карт
О двухфакторной аутентификации
Двухфакторная аутентификация — это метод аутентификации, который сочетает в себе два элемента: то, что у вас есть, и то, что вы знаете.
Что-то у вас должно быть устройством, которое нельзя дублировать; таким устройством может быть криптографический токен, содержащий закрытый секретный ключ. Этот закрытый ключ создается внутри устройства и никогда не покидает его.Если пользователь, владеющий этим токеном, пытается получить доступ к защищенным службам в удаленной сети, процесс авторизации, который предоставляет или запрещает доступ к сети, может с высокой степенью уверенности установить, что пользователь, ищущий доступ, физически владеет известным сертифицированным токеном. .
Что-то, что вы знаете, может быть паролем, представленным криптографическому устройству. Без правильного пароля вы не сможете получить доступ к закрытому секретному ключу. Еще одна особенность криптографических устройств — запретить использование закрытого секретного ключа, если неправильный пароль был представлен более разрешенного количества раз.Такое поведение гарантирует, что если пользователь потеряет свое устройство, то его использование другим человеком будет невозможным.
Криптографические устройства обычно называются «смарт-картами» или «токенами» и используются вместе с PKI (инфраструктурой открытых ключей). Сервер VPN может проверить сертификат X.509 и убедиться, что пользователь владеет соответствующим секретным секретным ключом. Поскольку устройство не может быть дублировано и требует действующего пароля, сервер может аутентифицировать пользователя с высокой степенью уверенности.
Двухфакторная аутентификация намного надежнее аутентификации на основе пароля, потому что в худшем случае только один человек может одновременно использовать криптографический токен. Пароли можно угадывать и открывать другим пользователям, поэтому в худшем случае бесконечное количество людей может попытаться получить несанкционированный доступ, когда ресурсы защищены с использованием аутентификации только по паролю.
Если вы храните секретный закрытый ключ в файле, ключ обычно зашифровывается паролем.Проблема с этим подходом заключается в том, что зашифрованный ключ подвергается атакам дешифрования или шпионскому / вредоносному ПО, запущенному на клиентском компьютере. В отличие от использования криптографического устройства, файл не может стереть себя автоматически после нескольких неудачных попыток дешифрования.
Что такое PKCS # 11?
Этот стандарт определяет API, называемый Cryptoki, для устройств, которые хранят криптографическую информацию и выполняют криптографические функции. Cryptoki, произносится как «криптографический ключ» и сокращенно от интерфейса криптографического токена, следует простому объектно-ориентированному подходу, решая задачи технологической независимости (любого типа устройства) и совместного использования ресурсов (несколько приложений, обращающихся к нескольким устройствам), предоставляя приложениям общее логическое представление устройства, называемое криптографическим токеном.
Источник: RSA Security Inc. https://www.emc.com/emc-plus/rsa-labs/standards-initiatives/pkcs-11-cryptographic-token-interface-standard.htm.
Подводя итог, PKCS # 11 — это стандарт, который может использоваться прикладным программным обеспечением для доступа к криптографическим токенам, таким как смарт-карты и другие устройства. Большинство поставщиков устройств предоставляют библиотеку, реализующую интерфейс поставщика PKCS # 11 — эта библиотека может использоваться приложениями для доступа к этим устройствам. PKCS # 11 — это кроссплатформенный бесплатный стандарт, не зависящий от производителя.
Поиск библиотеки поставщика PKCS # 11
Первое, что вам нужно сделать, это найти библиотеку провайдера, она должна быть установлена вместе с драйверами устройств. У каждого поставщика есть своя библиотека. Например, поставщик OpenSC PKCS # 11 находится в /usr/lib/pkcs11/opensc-pkcs11.so в Unix или в opensc-pkcs11.dll в Windows.
Как настроить криптографический токен
Вы должны следовать процедуре регистрации:
- Инициализировать токен PKCS # 11.
- Сгенерировать пару ключей RSA на токене PKCS # 11.
- Создайте запрос сертификата на основе пары ключей, для этого вы можете использовать OpenSC и OpenSSL.
- Отправьте запрос сертификата в центр сертификации и получите сертификат.
- Загрузите сертификат в маркер, отмечая при этом, что атрибуты id и label сертификата должны совпадать с атрибутами закрытого ключа.
Настроенный маркер — это маркер, который имеет объект закрытого ключа и объект сертификата, причем оба имеют одинаковые атрибуты id и label.
Простая утилита регистрации — Easy-RSA 2.0, которая является частью серии OpenVPN 2.1. Следуйте инструкциям, указанным в файле README, а затем используйте pkitool для регистрации.
Инициализируйте токен с помощью следующей команды:
$ ./pkitool --pkcs11-слоты / usr / lib / pkcs11 / $ ./pkitool --pkcs11-init / usr / lib / pkcs11 /
Зарегистрируйте сертификат, используя следующую команду:
$ ./pkitool --pkcs11 / usr / lib / pkcs11 / client1
Как изменить конфигурацию OpenVPN для использования криптографических токенов
У вас должен быть OpenVPN 2.1 или выше, чтобы использовать функции PKCS # 11.
Определите правильный объект
Каждый провайдер PKCS # 11 может поддерживать несколько устройств. Для просмотра списка доступных объектов вы можете использовать следующую команду:
$ openvpn --show-pkcs11-ids / usr / lib / pkcs11 / Следующие объекты доступны для использования. Каждый объект, показанный ниже, может использоваться как параметр для --pkcs11-id, пожалуйста, не забудьте использовать одинарные кавычки. Сертификат DN: / CN = Пользователь1 Серийный номер: 490B82C4000000000075 Серийный идентификатор: aaaa / bbb / 41545F5349474E415455524581D2A1A1B23C4AA4CB17FAF7A4600
Каждая пара сертификат / закрытый ключ имеет уникальную строку «Сериализованный идентификатор».Строка сериализованного идентификатора запрошенного сертификата должна быть указана для параметра pkcs11-id с использованием одинарных кавычек.
pkcs11-id 'aaaa / bbb / 41545F5349474E415455524581D2A1A1B23C4AA4CB17FAF7A4600'
Использование OpenVPN с PKCS # 11
Типичный набор опций OpenVPN для PKCS # 11
pkcs11-провайдеры / usr / lib / pkcs11 / pkcs11-id 'aaaa / bbb / 41545F5349474E415455524581D2A1A1B23C4AA4CB17FAF7A4600'
Будет выбран объект, соответствующий строке pkcs11-id.
Расширенные параметры OpenVPN для PKCS # 11
pkcs11-провайдеры /usr/lib/pkcs11/provider1.so /usr/lib/pkcs11/provider2.so pkcs11-id 'aaaa / bbb / 41545F5349474E415455524581D2A1A1B23C4AA4CB17FAF7A4600' pkcs11-контактный кэш 300 демон auth-retry nointeract удержание управления сигнал управления управление 127.0.0.1 8888 управление-запрос-пароли
Это загрузит двух провайдеров в OpenVPN, будет использовать сертификат, указанный в опции pkcs11-id , и использовать интерфейс управления для запроса паролей.Демон вернется в состояние удержания при наступлении события, когда к токену будет невозможно получить доступ. Токен будет использоваться в течение 300 секунд, после чего пароль будет повторно запрошен, сеанс будет отключен, если сеанс управления отключится.
Рекомендации по реализации PKCS # 11
Многие провайдеры PKCS # 11 используют потоки, чтобы избежать проблем, вызванных реализацией LinuxThreads (setuid, chroot), настоятельно рекомендуется обновить glibc до Native POSIX Thread Library (NPTL), если вы собираетесь использовать PKCS #. 11.
OpenSC PKCS # 11 провайдер
Поставщик OpenSC PKCS # 11 находится в /usr/lib/pkcs11/opensc-pkcs11.so в Unix или в opensc-pkcs11.dll в Windows.
Разница между PKCS # 11 и Microsoft Cryptographic API (CryptoAPI)
PKCS # 11 — это бесплатный кроссплатформенный стандарт, независимый от поставщиков. CryptoAPI — это специальный API Microsoft. Большинство поставщиков смарт-карт поддерживают оба интерфейса. В среде Windows пользователь должен выбрать, какой интерфейс использовать.
Текущая реализация OpenVPN, использующая MS CryptoAPI (опция cryptoapicert ), работает хорошо, пока вы не используете OpenVPN как службу. Если вы хотите запустить OpenVPN в административной среде с помощью службы, реализация не будет работать с большинством смарт-карт по следующим причинам:
- Большинство поставщиков смарт-карт не загружают сертификаты в хранилище локального компьютера, поэтому реализация не сможет получить доступ к сертификату пользователя.
- Если клиент OpenVPN работает как служба без прямого взаимодействия с конечным пользователем, служба не может запросить у пользователя пароль для смарт-карты, что приведет к сбою процесса проверки пароля на смарт-карте.
Используя интерфейс PKCS # 11, вы можете использовать смарт-карты с OpenVPN в любой реализации, поскольку PKCS # 11 не имеет доступа к магазинам Microsoft и не обязательно требует прямого взаимодействия с конечным пользователем.
Маршрутизация всего клиентского трафика (включая веб-трафик) через VPN
Обзор
По умолчанию, когда клиент OpenVPN активен, только сетевой трафик к и от сайта сервера OpenVPN будет проходить через VPN.Например, общий просмотр веб-страниц будет осуществляться с помощью прямых подключений в обход VPN.
В некоторых случаях такое поведение может быть нежелательным — вы можете захотеть, чтобы VPN-клиент туннелировал весь сетевой трафик через VPN, включая общий просмотр веб-страниц в Интернете. Хотя этот тип конфигурации VPN снижает производительность клиента, он дает администратору VPN больший контроль над политиками безопасности, когда клиент одновременно подключен как к общедоступному Интернету, так и к VPN.
Реализация
Добавьте в файл конфигурации сервера следующую директиву:
push "redirect-gateway def1"
Если ваша настройка VPN осуществляется через беспроводную сеть, где все клиенты и сервер находятся в одной беспроводной подсети, добавьте локальный флаг :
push "локальный def1 шлюз перенаправления"
Передача клиентам опции redirect-gateway приведет к тому, что весь сетевой трафик IP, исходящий на клиентских машинах, будет проходить через сервер OpenVPN.Сервер необходимо настроить так, чтобы он каким-то образом обрабатывал этот трафик, например, путем преобразования его в Интернет с помощью NAT или маршрутизации через прокси-сервер HTTP.
В Linux вы можете использовать такую команду для NAT трафика клиента VPN в Интернет:
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
Эта команда предполагает, что подсеть VPN — это 10.8.0.0/24 (взято из директивы server в конфигурации сервера OpenVPN) и что локальный интерфейс Ethernet — eth0 .
Когда используется шлюз перенаправления , клиенты OpenVPN будут маршрутизировать DNS-запросы через VPN, и VPN-серверу потребуется их обрабатывать. Это может быть выполнено путем передачи адреса DNS-сервера подключающимся клиентам, который заменит их обычные настройки DNS-сервера во время активности VPN. Например:
push "dhcp-option DNS 10.8.0.1"
настроит клиентов Windows (или клиентов, отличных от Windows с некоторыми дополнительными сценариями на стороне сервера) для использования 10.8.0.1 в качестве их DNS-сервера. Любой адрес, доступный для клиентов, может использоваться в качестве адреса DNS-сервера.
Предостережения
Перенаправление всего сетевого трафика через VPN не совсем без проблем. Вот несколько типичных ошибок, о которых следует знать:
- Многие клиентские машины OpenVPN, подключенные к Интернету, будут периодически взаимодействовать с DHCP-сервером, чтобы продлить аренду своих IP-адресов. Параметр redirect-gateway может помешать клиенту достичь локального DHCP-сервера (поскольку сообщения DHCP будут маршрутизироваться через VPN), что приведет к потере аренды IP-адреса.
- Существуют проблемы с отправкой DNS-адресов клиентам Windows.
- Скорость просмотра веб-страниц на клиенте будет заметно ниже.
Дополнительные сведения о механизме директивы redirect-gateway см. На странице руководства.
Запуск сервера OpenVPN на динамическом IP-адресе
Хотя клиенты OpenVPN могут легко получить доступ к серверу через динамический IP-адрес без какой-либо специальной настройки, все становится более интересным, когда сам сервер находится на динамическом адресе.Хотя у OpenVPN нет проблем с обработкой ситуации с динамическим сервером, требуется некоторая дополнительная настройка.
Первый шаг — получить динамический DNS-адрес, который можно настроить так, чтобы он «следил» за сервером при каждом изменении IP-адреса сервера. Доступно несколько поставщиков услуг динамического DNS, например dyndns.org.
Следующим шагом является настройка механизма, при котором каждый раз при изменении IP-адреса сервера динамическое DNS-имя будет быстро обновляться с использованием нового IP-адреса, позволяя клиентам находить сервер по его новому IP-адресу.Для этого есть два основных способа:
- Используйте устройство NAT-маршрутизатора с поддержкой динамического DNS (например, Linksys BEFSR41 ). Большинство недорогих устройств NAT-маршрутизатора, которые широко доступны, имеют возможность обновлять динамическое DNS-имя каждый раз, когда от ISP получена новая аренда DHCP. Эта установка идеальна, когда сервер OpenVPN представляет собой машину с одним сетевым адаптером внутри брандмауэра.
- Используйте клиентское приложение динамического DNS, такое как ddclient, для обновления динамического адреса DNS при изменении IP-адреса сервера.Эта установка идеальна, когда машина, на которой запущен OpenVPN, имеет несколько сетевых адаптеров и действует как межсетевой экран / шлюз на уровне всего сайта. Чтобы реализовать эту настройку, вам необходимо настроить сценарий, который будет запускаться вашим программным обеспечением DHCP-клиента каждый раз, когда происходит изменение IP-адреса. Этот сценарий должен (а) запустить ddclient , чтобы уведомить вашего поставщика динамических DNS о вашем новом IP-адресе, и (б) перезапустить демон сервера OpenVPN.
Клиент OpenVPN по умолчанию распознает изменение IP-адреса сервера, если в конфигурации клиента используется удаленная директива , которая ссылается на динамическое DNS-имя.Обычная цепочка событий состоит в том, что (а) клиент OpenVPN не может своевременно получать сообщения поддержки активности со старого IP-адреса сервера, вызывая перезапуск, и (б) перезапуск вызывает повторное изменение имени DNS в директиве remote . разрешено, что позволяет клиенту повторно подключиться к серверу по его новому IP-адресу.
Более подробную информацию можно найти в FAQ.
Подключение к серверу OpenVPN через HTTP-прокси.
OpenVPN поддерживает соединения через HTTP-прокси со следующими режимами аутентификации:
- Нет аутентификации прокси
- Базовая проверка подлинности прокси
- Проверка подлинности прокси NTLM
Прежде всего, использование прокси-сервера HTTP требует, чтобы вы использовали TCP в качестве протокола передачи туннеля.Поэтому добавьте следующее как в клиентскую, так и в серверную конфигурации:
протокол протокола TCP
Убедитесь, что все строки proto udp в файлах конфигурации удалены.
Затем добавьте директиву http-proxy в файл конфигурации клиента (полное описание этой директивы см. На странице руководства).
Например, предположим, что у вас есть прокси-сервер HTTP в клиентской локальной сети по адресу 192.168.4.1 , который прослушивает соединения на порту 1080 .Добавьте это в конфигурацию клиента:
http-прокси 192.168.4.1 1080
Предположим, прокси-сервер HTTP требует базовой проверки подлинности:
http-прокси 192.168.4.1 1080 stdin базовый
Предположим, прокси-сервер HTTP требует проверки подлинности NTLM:
http-прокси 192.168.4.1 1080 stdin ntlm
Два приведенных выше примера аутентификации заставят OpenVPN запрашивать имя пользователя / пароль из стандартного ввода.Если вместо этого вы хотите поместить эти учетные данные в файл, замените stdin именем файла и поместите имя пользователя в строку 1 этого файла и пароль в строку 2.
Подключение к общему ресурсу Samba через OpenVPN
Этот пример предназначен для демонстрации того, как клиенты OpenVPN могут подключаться к общему ресурсу Samba через маршрутизируемый туннель dev tun . Если вы используете мост Ethernet ( dev tap ), вам, вероятно, не нужно следовать этим инструкциям, поскольку клиенты OpenVPN должны видеть серверные машины в своем сетевом окружении.
В этом примере мы предположим, что:
- ЛВС на стороне сервера использует подсеть 10.66.0.0/24 ,
- пул IP-адресов VPN использует 10.8.0.0/24 (как указано в директиве server в файле конфигурации сервера OpenVPN),
- сервер Samba имеет IP-адрес 10.66.0.4 и
- , сервер Samba уже настроен и доступен из локальной сети.
Если серверы Samba и OpenVPN работают на разных машинах, убедитесь, что вы следовали разделу о расширении возможностей VPN за счет включения дополнительных машин.
Затем отредактируйте файл конфигурации Samba ( smb.conf ). Убедитесь, что hosts разрешают директиву , разрешающую подключение клиентов OpenVPN из подсети 10.8.0.0/24 . Например:
хостов позволяют = 10.66.0.0/24 10.8.0.0/24 127.0.0.1
Если вы используете серверы Samba и OpenVPN на одном компьютере, вы можете захотеть отредактировать директиву interfaces в файле smb.conf , чтобы также прослушивать подсеть интерфейса TUN 10.8.0.0 / 24 :
интерфейсов = 10.66.0.0/24 10.8.0.0/24
Если вы используете серверы Samba и OpenVPN на одном компьютере, подключитесь с клиента OpenVPN к общему ресурсу Samba, используя имя папки:
\ 10.8.0.1 \ sharename
Если серверы Samba и OpenVPN находятся на разных машинах, используйте имя папки:
\\ 10.66.0.4 \ sharename
Например, из окна командной строки:
чистое использование z: \ 10.66.0.4 \ sharename / ПОЛЬЗОВАТЕЛЬ: myusername
Реализация конфигурации балансировки нагрузки / аварийного переключения
Клиент
Конфигурация клиента OpenVPN может ссылаться на несколько серверов для балансировки нагрузки и переключения при отказе. Например:
удаленный server1.mydomain удаленный server2.mydomain удаленный server3.mydomain
укажет клиенту OpenVPN попытаться установить соединение с server1, server2 и server3 в указанном порядке.Если существующее соединение разорвано, клиент OpenVPN повторит попытку последнего подключенного сервера и, если это не удастся, перейдет к следующему серверу в списке. Вы также можете указать клиенту OpenVPN рандомизировать свой список серверов при запуске, чтобы клиентская нагрузка была вероятностно распределена по пулу серверов.
удаленно-случайный
Если вы также хотите, чтобы из-за сбоев разрешения DNS клиент OpenVPN перешел на следующий сервер в списке, добавьте следующее:
resolv-retry 60
Параметр 60 указывает клиенту OpenVPN попытаться разрешить каждое удаленное DNS-имя в течение 60 секунд, прежде чем перейти к следующему серверу в списке.
Список серверов также может относиться к нескольким демонам сервера OpenVPN, запущенным на одном компьютере, каждый из которых прослушивает соединения на другом порту, например:
удаленный smp-server1.mydomain 8000 удаленный smp-server1.mydomain 8001 удаленный smp-server2.mydomain 8000 удаленный smp-server2.mydomain 8001
Если ваши серверы являются многопроцессорными машинами, запуск нескольких демонов OpenVPN на каждом сервере может быть выгодным с точки зрения производительности.
OpenVPN также поддерживает удаленную директиву , относящуюся к DNS-имени, которое имеет несколько записей A в конфигурации зоны для домена. В этом случае клиент OpenVPN будет случайным образом выбирать одну из записей A при каждом разрешении домена.
Сервер
Самый простой подход к конфигурации балансировки нагрузки / переключения при отказе на сервере заключается в использовании эквивалентных файлов конфигурации на каждом сервере в кластере, за исключением использования разных пулов виртуальных IP-адресов для каждого сервера.Например:
сервер1
сервер 10.8.0.0 255.255.255.0
сервер2
сервер 10.8.1.0 255.255.255.0
сервер3
сервер 10.8.2.0 255.255.255.0
Повышение безопасности OpenVPN
Один из часто повторяемых принципов сетевой безопасности состоит в том, что нельзя доверять одному компоненту безопасности настолько, чтобы его отказ стал причиной катастрофического нарушения безопасности.OpenVPN предоставляет несколько механизмов для добавления дополнительных уровней безопасности для защиты от такого исхода.
tls-auth
Директива tls-auth добавляет дополнительную подпись HMAC ко всем пакетам подтверждения SSL / TLS для проверки целостности. Любой пакет UDP, не имеющий правильной подписи HMAC, может быть отброшен без дальнейшей обработки. Подпись tls-auth HMAC обеспечивает дополнительный уровень безопасности сверх уровня, обеспечиваемого SSL / TLS. Может защитить от:
- DoS-атаки или наводнение порта на UDP-порту OpenVPN.
- Сканирование портов для определения того, какие UDP-порты сервера находятся в состоянии прослушивания.
- Уязвимости переполнения буфера в реализации SSL / TLS.
- SSL / TLS-инициации рукопожатия с неавторизованных машин (хотя такие рукопожатия в конечном итоге не будут аутентифицированы, tls-auth может отключить их на гораздо более раннем этапе).
Использование tls-auth требует, чтобы вы сгенерировали общий секретный ключ, который используется в дополнение к стандартному сертификату / ключу RSA:
openvpn --genkey --secret ta.ключ
Эта команда сгенерирует статический ключ OpenVPN и запишет его в файл ta.key . Этот ключ следует скопировать по уже существующему защищенному каналу на сервер и все клиентские машины. Его можно разместить в том же каталоге, что и файлы RSA .key и .crt .
В конфигурации сервера добавить:
tls-auth ta.key 0
В конфигурации клиента добавить:
tls-auth ta.ключ 1
протокол протокола udp
Хотя OpenVPN позволяет использовать протокол TCP или UDP в качестве VPN-соединения, протокол UDP обеспечивает лучшую защиту от DoS-атак и сканирования портов, чем TCP:
протокол протокола UDP
пользователь / группа (не для Windows)
OpenVPN был очень тщательно разработан, чтобы позволить отбрасывать привилегии root после инициализации, и эту функцию всегда следует использовать в Linux / BSD / Solaris.Без привилегий root запущенный демон сервера OpenVPN предоставляет злоумышленнику гораздо менее заманчивую цель.
пользователь никто группа никто
непривилегированный режим (только Linux)
В Linux OpenVPN можно запускать совершенно непривилегированно. Эта конфигурация немного сложнее, но обеспечивает лучшую безопасность.
Для работы с этой конфигурацией OpenVPN должен быть настроен для использования интерфейса iproute, это делается путем указания –enable-iproute2 для скрипта настройки.Пакет sudo также должен быть доступен в вашей системе.
Эта конфигурация использует возможность Linux изменять разрешение устройства tun, чтобы непривилегированный пользователь мог получить к нему доступ. Он также использует sudo для выполнения iproute, чтобы можно было изменить свойства интерфейса и таблицу маршрутизации.
Конфигурация OpenVPN:
- Напишите следующий сценарий и поместите его в: / usr / local / sbin / unpriv-ip:
#! / Bin / sh sudo / sbin / ip $ *
- Выполните visudo и добавьте следующее, чтобы разрешить пользователю «user1» выполнить / sbin / ip:
user1 ALL = (ALL) NOPASSWD: / sbin / ip
- Вы также можете включить группу пользователей с помощью следующей команды:
% пользователей ALL = (ALL) NOPASSWD: / sbin / ip
- Добавьте в конфигурацию OpenVPN следующее:
разработчик tunX / tapX iproute / usr / местный / sbin / unpriv-ip
- Обратите внимание, что вы должны выбрать постоянный X и указать tun или tap не одновременно.
- В качестве пользователя root добавьте постоянный интерфейс и разрешите пользователю и / или группе управлять им, выполните следующие действия: создайте tunX (замените своим собственным) и разрешите пользователям user1 и group доступ к нему.
openvpn --mktun --dev tunX --type tun --user user1 --group users
- Запустите OpenVPN в контексте непривилегированного пользователя.
Можно добавить дополнительные ограничения безопасности, изучив параметры в сценарии / usr / local / sbin / unpriv-ip.
chroot (только не для Windows)
Директива chroot позволяет заблокировать демон OpenVPN в так называемой chroot jail , где демон не сможет получить доступ к какой-либо части файловой системы хост-системы, за исключением определенного каталога, указанного в качестве параметра для директива. Например,
тюрьма chroot
заставит демон OpenVPN перейти в подкаталог jail при инициализации, а затем переориентирует свою корневую файловую систему в этот каталог, чтобы после этого демон не мог получить доступ к любым файлам за пределами jail и его дерева подкаталогов .Это важно с точки зрения безопасности, потому что даже если бы злоумышленник смог скомпрометировать сервер с помощью эксплойта вставки кода, эксплойт был бы заблокирован для большей части файловой системы сервера.
Предостережения: поскольку chroot переориентирует файловую систему (только с точки зрения демона), необходимо поместить все файлы, которые могут понадобиться OpenVPN после инициализации, в каталог jail , например:
- файл crl-verify или
- каталог client-config-dir .
Большие ключи RSA
Размер ключа RSA управляется переменной KEY_SIZE в файле easy-rsa / vars , которая должна быть установлена до создания любых ключей. В настоящее время по умолчанию установлено 1024, это значение можно разумно увеличить до 2048 без отрицательного влияния на производительность VPN-туннеля, за исключением немного более медленного подтверждения повторного согласования SSL / TLS, которое происходит один раз для каждого клиента в час, и гораздо более медленного одноразового Diffie Процесс генерации параметров Хеллмана с помощью сценария easy-rsa / build-dh .
Симметричные ключи большего размера
По умолчанию OpenVPN использует Blowfish , 128-битный симметричный шифр.
OpenVPN автоматически поддерживает любой шифр, который поддерживается библиотекой OpenSSL, и, как таковой, может поддерживать шифры с ключами большого размера. Например, 256-битную версию AES (Advanced Encryption Standard) можно использовать, добавив следующее в файлы конфигурации сервера и клиента:
шифр AES-256-CBC
Сохранить корневой ключ (
ок.ключ ) на автономном компьютере без сетевого подключенияОдним из преимуществ безопасности использования PKI X509 (как это делает OpenVPN) является то, что корневой ключ CA ( ca. key ) не обязательно должен присутствовать на сервере OpenVPN. В среде с высоким уровнем безопасности вам может потребоваться специально назначить машину для целей подписания ключей, обеспечить хорошую физическую защиту машины и отключить ее от всех сетей. При необходимости можно использовать дискеты для перемещения файлов ключей вперед и назад.Такие меры чрезвычайно затрудняют кражу корневого ключа злоумышленнику, за исключением физического кражи машины для подписи ключей.
Сертификаты отзыва
Отзыв сертификата означает аннулирование ранее подписанного сертификата, чтобы его больше нельзя было использовать для целей аутентификации.
Типичные причины отзыва сертификата:
- Закрытый ключ, связанный с сертификатом, скомпрометирован или украден.
- Пользователь зашифрованного закрытого ключа забывает пароль на ключе.
- Вы хотите прекратить доступ пользователя VPN.
Пример
В качестве примера мы отзовем сертификат client2 , который мы сгенерировали выше в разделе «генерация ключей» HOWTO.
Сначала откройте оболочку или окно командной строки и перейдите в каталог easy-rsa , как вы это делали в разделе «Генерация ключей» выше. В Linux / BSD / Unix:
../vars ./revoke-full client2
В Windows:
варов revoke-full client2
Вы должны увидеть примерно такой результат:
Используя конфигурацию из /root/openvpn/20/openvpn/tmp/easy-rsa/openssl.cnf ОТЛАДКА [load_index]: unique_subject = "да" Отзыв сертификата 04. База данных обновлена Используя конфигурацию из /root/openvpn/20/openvpn/tmp/easy-rsa/openssl.cnf ОТЛАДКА [load_index]: unique_subject = "да" клиент2.crt: /C=KG/ST=NA/O=OpenVPN-TEST/CN=client2/[email protected] ошибка 23 при поиске глубины 0: сертификат отозван
Обратите внимание на «ошибку 23» в последней строке. Это то, что вы хотите увидеть, поскольку это указывает на то, что проверка сертификата отозванного сертификата не удалась.
Сценарий revoke-full сгенерирует файл CRL (список отзыва сертификатов) с именем crl.pem в подкаталоге keys . Файл должен быть скопирован в каталог, в котором сервер OpenVPN может получить к нему доступ, затем проверка CRL должна быть включена в конфигурации сервера:
crl-verify crl.pem
Теперь все подключающиеся клиенты будут иметь свои клиентские сертификаты, проверенные по списку отзыва сертификатов, и любое положительное совпадение приведет к разрыву соединения.
CRL Примечания
- Когда в OpenVPN используется опция crl-verify , файл CRL будет перечитываться каждый раз, когда подключается новый клиент или существующий клиент повторно согласовывает соединение SSL / TLS (по умолчанию один раз в час). Это означает, что вы можете обновлять файл CRL во время работы демона сервера OpenVPN, а новый CRL немедленно вступает в силу для вновь подключающихся клиентов.Если клиент, чей сертификат вы отзываете, уже подключен, вы можете перезапустить сервер с помощью сигнала (SIGUSR1 или SIGHUP) и сбросить все клиенты, или вы можете telnet к интерфейсу управления и явно убить конкретный объект экземпляра клиента на сервере, не мешая другие клиенты.
- Хотя директива crl-verify может использоваться как на сервере OpenVPN, так и на клиентах, обычно нет необходимости распространять файл CRL клиентам, если сертификат сервера не был отозван.Клиентам не нужно знать о других клиентских сертификатах, которые были отозваны, потому что клиенты не должны принимать прямые подключения от других клиентов в первую очередь.
- Файл CRL не является секретным и должен быть доступен для чтения всем, чтобы демон OpenVPN мог прочитать его после того, как были отброшены привилегии root.
- Если вы используете директиву chroot , обязательно поместите копию файла CRL в каталог chroot, поскольку в отличие от большинства других файлов, которые читает OpenVPN, файл CRL будет прочитан после выполнения вызова chroot, а не до .
- Распространенной причиной отзыва сертификатов является то, что пользователь шифрует свой закрытый ключ паролем, а затем забывает его. Отозвав исходный сертификат, можно сгенерировать новую пару сертификат / ключ с исходным общим именем пользователя.
Важное примечание о возможной атаке «Человек посередине», если клиенты не проверяют сертификат сервера, к которому они подключаются.
Чтобы избежать возможной атаки Man-in-the-Middle, когда авторизованный клиент пытается подключиться к другому клиенту, выдавая себя за сервер, убедитесь, что клиенты используют какую-то проверку сертификата сервера.В настоящее время существует пять различных способов достижения этой цели, перечисленных в порядке предпочтения:
- [OpenVPN 2.1 и выше] Создайте сертификаты сервера с конкретным использованием ключей и расширенным использованием ключей. RFC3280 определяет, что для подключений TLS должны быть предоставлены следующие атрибуты:
Mode Использование ключа Использование расширенного ключа Клиент цифровая подпись Аутентификация веб-клиента TLS ключ Соглашение цифровая Подпись, ключ Соглашение Сервер цифровая Подпись, ключ Шифрование Аутентификация веб-сервера TLS цифровая Подпись, ключ Соглашение Сертификаты сервера можно создать с помощью сценария build-key-server (дополнительную информацию см. В документации easy-rs).Это будет обозначать сертификат как сертификат только для сервера путем установки правильных атрибутов. Теперь добавьте следующую строку в конфигурацию вашего клиента:
удаленный сервер сертификатов tls
- [OpenVPN 2.0 и ниже] Создайте сертификаты сервера с помощью сценария build-key-server (дополнительную информацию см. В документации easy-rsa). Это обозначит сертификат как сертификат только для сервера, установив nsCertType = server.Теперь добавьте следующую строку в конфигурацию вашего клиента:
сервер NS-Cert
Это заблокирует подключение клиентов к любому серверу, в сертификате которого отсутствует обозначение сервера nsCertType =, даже если сертификат был подписан файлом ca в файле конфигурации OpenVPN.
- Используйте директиву tls-remote на клиенте, чтобы принять / отклонить соединение с сервером на основе общего имени сертификата сервера.
- Используйте сценарий или подключаемый модуль tls-verify , чтобы принять / отклонить соединение с сервером на основе настраиваемой проверки сведений о субъекте X509, встроенных в сертификат сервера.
- Подписывайте сертификаты сервера с одним ЦС и сертификаты клиента с другим ЦС. Директива конфигурации клиента ca должна ссылаться на файл CA для подписи сервера, в то время как директива конфигурации сервера ca должна ссылаться на файл CA для подписи клиента.
Устранение неполадок PuTTY — База знаний DreamHost
Каталог / имена файлов, содержащие неанглийские / азиатские символы, отображаются как ?????? или повреждены
Если у вас есть проблемы с именами файлов или некорректным отображением содержимого, вам следует добавить в свой.bash_profile, чтобы включить поддержку UTF. В следующих статьях приведены инструкции по обновлению файла (в зависимости от того, используете ли вы FTP-клиент или SSH):
экспорт LC_ALL = en_US.UTF-8 экспорт LANG = en_US.UTF-8 экспорт LANGUAGE = en_US.UTF-8 экспорт G_FILENAME_ENCODING = UTF-8
UTF-8, скорее всего, уже включен. Вы можете проверить свой терминал, введя команду «locale»:
.[сервер] $ locale LANG = en_US.UTF-8 LANGUAGE =
LC_CTYPE = "en_US.UTF-8" LC_NUMERIC = "ru_US.UTF-8 "
LC_TIME =" en_US.UTF-8 " LC_COLLATE = C LC_MONETARY = "ru_US.UTF-8" LC_MESSAGES = "ru_US.UTF-8" LC_PAPER = "en_US.UTF-8"
LC_NAME = "en_US.UTF-8" LC_ADDRESS = "en_US.UTF-8"
LC_TELEPHONE = "en_US.UTF-8" LC_MEASUREMENT = "ru_US.UTF-8" LC_IDENTIFICATION = "en_US.UTF-8"
LC_ALL =
Как видите, первая строка — LANG = en_US.UTF-8. Если по какой-то причине это все еще не работает, скорее всего, вы используете терминальный клиент. В PuTTY вы можете вручную настроить вариант перевода на UTF-8.
Чтобы настроить параметр перевода, выполните следующие действия:
- Откройте общую конфигурацию PuTTY.
- В левом разделе списка категорий выберите «Окно»> «Перевод».
- В раскрывающемся списке Удаленный набор символов: выберите UTF-8.
- Вернитесь в категорию «Сеанс» и обязательно сохраните текущий сеанс со всеми настройками.
При повторном входе в систему с помощью PuTTY неанглийские символы отображаются правильно.
Неактивные соединения сбрасываются
DreamHost и другие интернет-провайдеры могут отключать ssh-соединения, которые простаивают дольше определенного количества минут. В PuTTY (для Windows) вы можете настроить этот параметр в поле «Конфигурация»:
- Откройте общую конфигурацию PuTTY.
- В разделе списка категорий слева выберите Подключение.
- В поле «Секунды между сообщениями поддержки активности (0 для выключения)» введите 15.
- Установите флажок «Включить поддержку активности TCP (опция SO_KEEPALIVE)».
Клиент SSH каждые 15 секунд запрашивает у сервера признак жизни, таким образом поддерживая соединение.
Проблемы с подключением
При подключении может появиться следующая ошибка:
Нет доступных поддерживаемых методов аутентификации (открытый ключ отправлен сервером)
Это может быть проблема с тем, как был сохранен открытый ключ. PuttyGen создаст файл открытого ключа, который выглядит следующим образом:
---- НАЧАТЬ ОТКРЫТЫЙ КЛЮЧ СШ3 ---- Комментарий: "rsa-key-20121022" AAAAB3NzaC1yc2CAAAABJQAAAIEAhGF6GIuMY8FJ1 + CNApnSY1N2YSlkYz72Yvwu a6N1nFpBklz1 + dsIMg4rcTLcF34M / tW5Yz + NUDAw2AEbxQ32FPgw7sAOIXktkYOH tr7mmimiTjkoSCrJh2kqalPSpi8rglT / Bp67Ql2SZwvUFfMzHISryR0EZC4rXP / u vObrJe8 = ---- КОНЕЦ СШ3 ОБЩЕСТВЕННЫЙ КЛЮЧ ----
Ключ необходимо сохранить в одной строке.Откройте ключ в PuttyGen, скопируйте его оттуда и вставьте в такую программу, как блокнот. Это приводит к тому, что ключ сохраняется в 1 строке:
SSH-RSA AAAAB3NzaC1yc2CAAAABJQAAAIEAhGF6GIuMY8FJ1 + CNApnSY1N2YSlkYz72Yvwua6N1nFpBklz1 + dsIMg4rcTLcF34M / tW5Yz + NUDAw2AEbxQ32FPgw7sAOIXktkYOHtr7mmimiTjkoSCrJh2kqalPSpi8rglT / Bp67Ql2SZwvUFfMzHISryR0EZC4rXP / uvObrJe8 = RSA-ключ-20121022
Вставьте это из блокнота в файл authorized_keys на своем сервере, и он должен работать.