Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error

Опции
К последнему сообщению К первому непрочитанному
Offline Dees7  
#1 Оставлено : 7 апреля 2022 г. 14:56:18(UTC)
Dees7

Статус: Участник

Группы: Участники
Зарегистрирован: 10.10.2017(UTC)
Сообщений: 14
Российская Федерация

Сказал(а) «Спасибо»: 1 раз
Добрый день.
Не пойму куда копать.

Все работает, но с 10 раза.
В дампе вижу что после открытия tcp коннета, Stunnel замирает на 60 сек, после чего ему прилетает FIN, который Stunnel подтверждает. Свой он не закрывает и висит с полузакрытым.
Ждет еще минуту и начинает SSL сессию, тут же одумывается что ему закрыли коннект, и шлет ресет.
Screenshot_2022-04-07_16-50-05.png (57kb) загружен 13 раз(а).


1 из 10 коннектов проходит нормально, без задержек.
Screenshot_2022-04-07_16-53-58.png (73kb) загружен 11 раз(а).

Чем вызваны такие зависания?

gisgkh.conf


Лог

Отредактировано пользователем 8 апреля 2022 г. 7:30:52(UTC)  | Причина: Не указана

Offline Максим Коллегин  
#2 Оставлено : 7 апреля 2022 г. 15:19:11(UTC)
Максим Коллегин

Статус: Сотрудник

Группы: Администраторы
Зарегистрирован: 12.12.2007(UTC)
Сообщений: 6,374
Мужчина
Откуда: КРИПТО-ПРО

Сказал «Спасибо»: 32 раз
Поблагодарили: 704 раз в 613 постах
Возможно проблемы связаны с ограниченной доступностью CRL ГУЦ.
Знания в базе знаний, поддержка в техподдержке
Offline Андрей Русев  
#3 Оставлено : 7 апреля 2022 г. 19:46:47(UTC)
Русев Андрей

Статус: Сотрудник

Группы: Администраторы, Участники
Зарегистрирован: 16.04.2008(UTC)
Сообщений: 1,260

Сказал(а) «Спасибо»: 21 раз
Поблагодарили: 442 раз в 322 постах
Проблема в том, что при обращении за CRL-ем ГУЦ-а по этому адресу соединение ждёт открытия (а не устанавливается или получает сразу отлуп):
Код:
root@mini-docker-23:~# time -p /opt/cprocsp/bin/amd64/curl -m 5 -o /dev/null http://rostelecom.ru/cdp/guc2022.crl
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed
  0     0    0     0    0     0      0      0 --:--:--  0:00:05 --:--:--     0
curl: (28) Connection timed out after 5000 milliseconds
real 5.00
user 0.00
sys 0.00

Такое будет при любой проверке цепочки, например, сертификат Казначейства (который был промежуточным в вашем случае):
Код:
root@mini-docker-23:~# time -p /opt/cprocsp/bin/amd64/certmgr -list -chain -store uca -thumb 0b48b8d07d142a5b45e9b0e8c52186687d75e58e -v
Certmgr 1.1 (c) "Crypto-Pro", 2007-2021.
Program for managing certificates, CRLs and stores.
=============================================================================
1-------
Issuer              : E=dit@digital.gov.ru, C=RU, S=77 Москва, L=г. Москва, STREET="Пресненская набережная, дом 10, строение 2", O=Минцифры России, ОГРН=1047702026701, ИНН ЮЛ=7710474375, CN=Минцифры России
Subject             : E=uc_fk@roskazna.ru, S=77 Москва, ИНН ЮЛ=7710568760, ОГРН=1047797019830, STREET="Большой Златоустинский переулок, д. 6, строение 1", L=г. Москва, C=RU, O=Казначейство России, CN=Казначейство России
Serial              : 0x00CFE8FF610000000005F6
SHA1 Thumbprint     : 0b48b8d07d142a5b45e9b0e8c52186687d75e58e
SubjKeyID           : 1d8026d28962e704818f1e4ae8ab7292762ddd3d
Signature Algorithm : ГОСТ Р 34.11-2012/34.10-2012 256 бит
PublicKey Algorithm : ГОСТ Р 34.10-2012 256 бит (512 bits)
Public key          : 04 40 b6 2b 57 a2 37 bd fc a2 61 41 2a 0f 5f 03
                      38 05 1d 6d ae ec 03 65 b2 75 61 f8 a2 b8 ea 94
                      a2 27 a6 29 0b 1c e9 de c4 e2 9f 26 d2 69 40 5e
                      39 f3 d5 55 fe da 5e 8e d3 5c 84 eb cb 2c 9f 6c
                      e5 7e
Not valid before    : 10/01/2022 10:54:46 UTC
Not valid after     : 10/01/2037 10:54:46 UTC
PrivateKey Link     : No
Identification Kind : Without personal presence by qualified signature
CA cert URL         : http://reestr-pki.ru/cdp/guc2022.crt
CDP                 : http://reestr-pki.ru/cdp/guc2022.crl
CDP                 : http://company.rt.ru/cdp/guc2022.crl
CDP                 : http://rostelecom.ru/cdp/guc2022.crl
Certificate chain   : Verified successfully.
#0:
  Issuer            : Минцифры России
  Subject           : Минцифры России
  Not valid before  : 08/01/2022 13:32:39 UTC
  Not valid after   : 08/01/2040 13:32:39 UTC
  SHA1 Thumbprint   : 2f0cb09be3550ef17ec4f29c90abd18bfcaad63a
#1:
  Subject           : Казначейство России
  Not valid before  : 10/01/2022 10:54:46 UTC
  Not valid after   : 10/01/2037 10:54:46 UTC
  SHA1 Thumbprint   : 0b48b8d07d142a5b45e9b0e8c52186687d75e58e
=============================================================================

[ErrorCode: 0x00000000]
real 15,01
user 0,00
sys 0,00

Коллегам из Ростелека передал, но не факт, что это поможет.

Отредактировано пользователем 7 апреля 2022 г. 19:47:59(UTC)  | Причина: Не указана

Официальная техподдержка. Официальная база знаний.
Offline Dees7  
#4 Оставлено : 8 апреля 2022 г. 6:59:50(UTC)
Dees7

Статус: Участник

Группы: Участники
Зарегистрирован: 10.10.2017(UTC)
Сообщений: 14
Российская Федерация

Сказал(а) «Спасибо»: 1 раз
Автор: Андрей Русев Перейти к цитате
Проблема в том, что при обращении за CRL-ем ГУЦ-а по этому адресу соединение ждёт открытия

Спаисбо за наводку.
ГУЦ импортировал, но не помогло.
А дело было действительно в списке отзывов. но в другом (нашел в дампе куда еще ломится).

Все работает без ошибок. Еще раз спасибо.

Отредактировано пользователем 8 апреля 2022 г. 8:27:35(UTC)  | Причина: Не указана

RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.