Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход. Новые регистрации запрещены.

Уведомление

Icon
Error

Опции
К последнему сообщению К первому непрочитанному
Offline Semen_Se  
#1 Оставлено : 8 марта 2022 г. 15:28:51(UTC)
Semen_Se

Статус: Новичок

Группы: Участники
Зарегистрирован: 19.01.2022(UTC)
Сообщений: 2

Доброго времени суток!

Настраиваю интеграцию с ГИИС ДМДК, сделал все как в инструкции.

Служба запускается, но связи нет и в логах следующее:



Пробовал и х64, и win32 - результата нет

В один момент решил скачать и запустить stunnel_msspi.exe - первый раз вышло окно с логом [server down],
второй раз - запустился и в трее иконка с зеленым цветом. Запускаю 1с и вижу, что связь с ГИИС ДМДК появилась.
Но это не всегда, после перезагрузки не запускается.

Сейчас я уже совсем в растерянности и не могу понять при каких условиях вообще связь появляется.

(пока писал пост, решил проверить и запустил stunnel_msspi.exe двойным кликом - запустился зеленым в трее,
глянул на службу stunnel - она остановлена)

Как сделать, чтобы stunnel стабильно работал автоматически, без танцев и костылей?
Offline two_oceans  
#2 Оставлено : 10 марта 2022 г. 1:47:45(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 396 раз в 366 постах
Добрый день.
Не первая тема по ДМДК. Ну, во-первых, все ссылаются на "инструкцию", как будто написана тут на форуме, выглядит странно.
Цитата:
E_NO_CREDENTIALS: 0x8009030e
Цитата:
Как сделать, чтобы stunnel стабильно работал автоматически, без танцев и костылей?
Полагаю, проблема в отсутствии прав пользователя, под которым запускается служба, на контейнер или в отсутствии сертификата в хранилище компьютера. Вкратце, если служба запускается под локальной системой, то хранить контейнер в реестре не выйдет. Как самый простой вариант, можно изменить пользователя, под которым запускается служба, на текущего (из-под которого работает запуск двойным кликом). Однако использование текущего пользователя для служб не рекомендовано из-за риска повредить реестр при внезапной остановке службы. Еще может быть не установлен криптопровайдер уровня ядра, он нужен для доступа к ключам гост из служб. Попробуйте "изменить" установку Криптопро CSP и проверить, что этот компонент установлен.

Рекомендовано такое: скопировать контейнер вместо Реестра на другой считыватель (флешка/токен/несистемный раздел диска/Директория); установить сертификат в хранилище компьютера со ссылкой на контейнер компьютера (это можно сделать, перезапустив панель управления КриптоПро в режиме администратора и выбрав переключатель "компьютера"). Далее дать права на него через остнастку сертификаты (локальный компьютер - хранилище Личное - правой кнопкой мыши по нужному сертификату - все задачи - управление закрытыми ключами - дать нужному пользователю (системе, например) полные права). После этого служба сможет найти ключ и использовать его.

Двойным же кликом Вы запускаете от текущего пользователя для которого сертификат и контейнер установлены и доступны - значок зеленый. Если на компьютере не требуется работа тоннеля когда никто не залогинен, то можно убрать службу, а ярлык на stunnel_msspi.exe закинуть в автозагрузку.

По поводу "не всегда запускается" дело возможно в том, что служба и приложение используют один конфиг и слушают один порт (ну 1С же настроен на конкретный порт). С этим есть ограничение сокетов в Windows - 2 процесса не смогут слушать один и тот же адрес:порт, один из них завершается с ошибкой, что порт уже занят. Следовательно, хороший шанс что порт займет служба (не имеющая доступа к ключу), а завершится приложение (если stunnel_msspi вообще автозапускается) (который имеет доступ к ключу) и ничего работать не будет. Нужно из разнести на разные порты или оставить что-то одно.

Отредактировано пользователем 10 марта 2022 г. 1:54:58(UTC)  | Причина: Не указана

RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Guest
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.