Ошибка подключения Континент АП
С помощью Континента АП в Linux был сгенерирован запрос на сертификат (криптопровайдер: Security Code), отправлен в казначейство.
В следствие чего был получен набор сертификатов:
root.p7b
server.cer
user.cer
В Континент АП в «Сертификаты» — «Серверные» был добавлен server.cer
В «Сертификаты» — «Корневые» добавлен root.p7b
А в настройке профиля подключения был указан пользовательский сертификат user.cer и соответствующий ему контейнер.
Адрес сервера доступа был скопирован с виндового Континента АП (где пользовательский сертификат генерился с помощью CryptoPro CSP)
При подключении Континента АП появляется окно, где нужно выбрать профиль, указать пароль от контейнера (внизу выводится наш пользовательский сертификат)
Нажимаю «Соединиться», начинает устанавливаться соединение с сервером доступа, проходит аутентификация и появляется окно с ошибкой подключения «Обнаружена потеря соединения: Сертификат сервера не прошёл проверку»
и окно с информацией о сервере доступа, где сказано «Сертификат сервера доступа недействителен или его подлинность не подтверждена. Подключение невозможно». (см. вложение)
При этом выводятся сведения о сервере доступа, так же можно просмотреть сам сертификат.
Этот сертификат не совпадает с имеющимся у нас серверным сертификатом ( наш сертификат server.cer — имя CA38_2012_2, период действия с 2 марта 2020 по 2 марта 2022, а получаемый при соединении сертификат казначейства имеет имя CA38_2012 и период действия с 13 февраля 2019 по 14 марта 2023 (у сертификатов root.p7b и server.cer эти данные совпадают).
В казначейство звонили — там сказали, что адрес сервера доступа верный. А сертификаты CA38_2012 и CA38_2012_2 по их словам «идентичны».
Тем не менее, подключение не происходит.
Что то не верно в настройках и наших действиях? Или версии Астры и Континента не совместимы?
Так же имеются еще странность в поведении Континента АП — при запуске «настройка» — «импортировать ключ» — в появившемся окне нужно выбрать ключевой контейнер, но его в списке нет, есть только ключевой носитель (при этом во время создания профиля в настройках и указания сертификата пользователя для подключения, контейнер виден и сертификат добавляется без проблем). Но при подключении Континент запрашивает пароль от контейнера нашего пользователя, на это ругани никакой нет.
Ошибки Континент АП
В этой статье будут описаны встречающиеся ошибки при работе с Континент АП и пути их решения. Если вы встретились с ошибкой Континент АП, и вы не знаете как ее решить напишите в комментарии, попробуем помочь вам. Статья с ошибками Континент АП постоянно будет обновляться.
Не настроено подключение к СД
Ошибка Не настроено подключение к СД встречается из-за того, что не настроено соеденинение т.е. не добавлен адрес подключения СД.
Как исправить: Правой кнопкой мыши на Континенте АП, выбрать в меню Настройка соединения -> Континент АП.
Мы видим, что поле Адрес СД указано: 0.0.0.0, что не правильно.
Необходимо указать правильный адрес, например для Москвы используется адрес: 7300-sd-01.roskazna.ru
Для своего региона узнать адрес подключения можно на сайте местного регионального казначейства в розделе СУФД.
После этого ошибка Не настроено подключение к СД исчезнет.
Не совпадает подпись открытого эфемерного ключа
Решение: Ошибка «Не совпадает подпись открытого эфемерного ключа» возникает из-за того, что при установке сертификата пользователя в Континет АП был выбран не правильный закрытый ключ. Необхоимо при установке сертификата пользователя выбрать правильный закрытый ключ в Континент АП.
4 Комментария Ошибки Континент АП ” —>
Екатерина says:
При установке сертификата пользователя в Континет АП выдает ошибку работы с криптопровайдером 0х80090017. Тип поставщика не определен. Что делать?
Андрей says:
Мы подаем запросы на обновление сертификатов через программу для подачи исходной информации. В этом году стало выдавать 2 окна об ошибке:
1)Ошибка формирования запроса на Континент
2)Ошибка копирования файла запроса! Возможно у Вас нет полномочий для записи! Настройте систему и повторите попытку!
Ничего не менялось, в том году подавалось без проблем. Подскажите, из-за чего может возникнуть такая ошибка и как исправить?
Оксана says:
ошибка при создании запроса при выборе носителя контейнера 0х80070002, не найден файл.
Иван Скорик says:
Ещё ошибка «Не совпадает подпись открытого эфемерного ключа» может наблюдаться, если сертификат, ключ и настройки соединения Континента-АП правильные, но пользователь забыл подключить носитель (флешку, рутокен, соболь) с самим ключом.
Инструкция по работе с Континент-АП 3.7
Перед установкой СКЗИ «Континент-АП» администратору безопасности необходимо ознакомиться с Руководством пользователя абонентского пункта «Континент-АП версия 3.7».
Подготовить носитель ключевой информации (рекомендуется использовать USB — Flash носитель). Произвести маркировку USB-Flash носителя согласно внутреннему учету носителей предоставившей организации. Ключевые документы учитываются и хранятся в соответствии с требованиями «Инструкции об организации и обеспечения безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащих сведений, составляющих государственную тайну», утвержденной приказом Федерального агентства правительственной связи и информации (ФАПСИ) при Президенте Российской Федерации от 13.06.2001 № 152.
Получение сертификата
Установка сертификата
Установка СКЗИ Континент-АП версии 3.7
Для доступа к ресурсам Управления Федерального казначейства по Краснодарскому краю (далее – УФК), необходимо убедиться, что рабочее место подключено к сети Интернет и имеется в наличии дистрибутив СКЗИ «Континент-АП» версии 3.7. Дистрибутив выдается участникам системы удаленного финансового документооборота (далее – СУФД) по письменному обращению.
Перед установкой убедитесь, что на компьютере установлено СКЗИ КриптоПро-CSP версии 4.0.
Установка СКЗИ «Континент-АП» выполняется от имени администратора.
Скачать подробную инструкцию по настройке КОНТИНЕНТ-АП
Запустить установку «Континент–АП» с помощью ts_setup.exe.
ts_sn_setup.exe устанавливает Континент-АП с Secret Net. Это нам не надо.
Будет предложено ознакомиться с лицензионным соглашением по использованию программного обеспечения. В случае согласия выбрать я принимаю условия соглашения, и нажать Далее.
В следующем окне необходимо отказаться от установки компонента Брандмауэр, и продолжить установку.
Будет предоставлена возможность изменить папку установки СКЗИ, делать этого не рекомендуется. Ознакомьтесь с путём установки программы и продолжайте установку.
В поле «Адрес сервера доступа» указать значение 1800-SD-01.roskazna.ru. Это основной адрес подключения. Резервный — 1800-SD-02.roskazna.ru, используется только при неработоспособности основного (изменить адрес подключения можно будет в настройках абонентского пункта после установки). Для подключения через модемный пул УФК по Краснодарскому краю (с использованием dial-up –модема)
— 10.18.250.9
Ниже, в разделе Уровень безопасности, выбрать пункт Низкий.
7
После завершения установки нажимаем Далее.
Для завершения установки необходимо перезагрузить компьютер.
После чего Континент-АП автоматически запустится
Получение сертификата
Формирование и отправка запроса на сертификат ключа аутентификации клиента Континент-АП
Если вы уже формировали запрос ранее и знаете как это делать, можете сразу перейти к последнему пункту.
1 Если еще не запущен, запустить Континент-АП. Ярлык находится в Пуск > Все программы > Код безопасности > Континент-АП 3.7 > VPN клиент. В панели задач появится значок Континент-АП.
В первую очередь необходимо изменить криптопровайдер по умолчанию. Для этого правой кнопкой мыши (ПКМ) нажать на значок Континент АП, и в пункте Выбор криптопровайдера по умолчанию выбрать «Код Безопасности CSP».
3 Установить в компьютер съемный носитель информации (флешку), на которую будет записана закрытая ключевая информация.
4 ПКМ по значку Континент-АП > Сертификаты > Создать запрос на пользовательский сертификат…
В представленной форме заполнить поля образом, представленным на картинке слева.
Обратите внимание, что бумажную форму сохранять не нужно, т.к. прилагается бланк заявления. Обратите также внимание на путь сохранения электронной формы. Это файл запроса (.req). Запомните этот путь, либо измените его для сохранения файла запроса на флешку. Для генерации ключа нажать кнопку «ОК».
Если рабочая станция не оборудована ПАК «Соболь» или аналогичным средством защиты информации от несанкционированного доступа, имеющим физический датчик случайных чисел появится окно биологического датчика случайных чисел и перемещающаяся по экрану мишень, по которой необходимо быстро попадать нажатием левой кнопкой мыши до достижения 100%.
В появившемся окне необходимо ввести пароль, состоящий из не менее 6 символов на создаваемый ключевой контейнер. Внимание: утерянный пароль на ключевой контейнер не восстанавливается.
В появившемся окне необходимо выбрать внешний носитель для создаваемого ключевого контейнера и нажать кнопку «ОК» (в качестве носителя поддерживаются дискета “3,5”, Touch Memory DS1993 – DS1996, электронный ключ с интерфейсом USB (token), cменный носитель с интерфейсом USB (usb-flash)). В настоящей инструкции приведен пример сохранения ключей на съемный usb-flash носитель.
9 В результате генерации на флешке сохранится закрытая часть сертификата (папка с зашифрованным названием) и, возможно (если в пункте 5 вы указали этот путь), файл запроса.
10 Для подачи запроса, необходимо отправить электронное письмо следующего содержания:
| Адресат: | ufkkk@rambler.ru |
| Тема: | Сертификат Континент-АП |
| Тело: | — обоснование запроса (например, «Предоставление доступа») — имя файла запроса — объем файла запроса в байтах — версия Континент-АП (можно узнать, нажав ПКМ по значку Континент-АП и выбрав пункт «О программе…») |
| Вложения: | файл запроса (.req), скан заполненной заявки на подключение к информационным ресурсам АС УФК |
На заявке необходимо поставить угловой штамп!
Установка сертификата
Установка полученных сертификатов
1 После получения архива с сертификатами по электронной почте, рекомендуется распаковать их на тот же съемный носитель, на котором хранятся закрытые части, полученные при формировании запроса. Архив содержит 2 файла: root.p7b и user.cer.
2 ПКМ по значку Континент-АП > Сертификаты > Установить сертификат пользователя.
3 Выбрать файл user.cer с флешки и продолжить.
4 Из предложенного списка выбрать соответствующий ключевой контейнер. Понять, соответствующий он или нет, можно, посмотрев на название контейнера в списке и сверив его с названием файла запроса, который вы отправляли по электронной почте.
5 Будет предложено автоматически внести корневой сертификат в доверенные корневые центры сертификации. Соглашайтесь.
6 Будет высказано предупреждение о безопасности. Ознакомьтесь и согласитесь.
7 Если всё выполнено верно, можно попробовать подключиться.
— Убедитесь, что адрес подключения указан верно: ПКМ по значку Континент-АП > Настройка соединения. В поле «Адрес СД» должно быть указано 1800-SD-01.roskazna.ru.
— Убедитесь, что пункт 5 был выполнен успешно: ПКМ по значку Континент-АП > Настройка аутентификации. В поле «Доверенные центры сертификации» должна быть запись «ЦС СД УФК по Краснодарскому краю». Если по какой-либо причине там пусто, не переживайте. Нажмите кнопку «Добавить» под этим полем и выберите root.p7b с флешки.
Почему не подключается континент ап
Целый час я убил на настройку Континент-АП, при том, что на основном ПК с такими же настройками все работало просто отлично. Но на этом товарище после настройки всех соединений и при попытке авторизации валилась ошибка
“Сервер отказал в доступе пользователю: client cert not found”.
Что только я не перепробовал, но как всегда гугл оказался умнее…
Итак, данная ошибка на сайте Код Безопасности описана как:
“4702 – Континент АП. Ошибка Client cert not found”
Проблема
Периодически у кого-то из пользователей (закономерность не ясна) «Континент-АП» начинает выдавать ошибку “Client-cert not found” Сертификат переиздавали – не помогает. Переустанавливали «Континент-АП» – не помогает. Помогает только – либо откат до точки восстановления, либо переустановка системы.
Как откат системы и что там в ней меняется, для многих думаю не особо понятно, да и искать причину совершенного обычно нет времени и желания…
Симптомы
Периодически происходит на windows 7, 8.1,10
Версия Континент-АП 3.7.5.474, версия СД 3.7.5.493
Подключение корректно выполняется при выборе режима аутентификации “Расширенный”
У меня на Windows 10 с последним обновлением , Континент-АП стоял 3.7.7.625 и 3.7.7.651. Собственно на этих релизах проблема также сохраняется (но мне попалась впервые за последние 2 года). Кстати 3.7.7.651 ооочень редко корректно работает на Windows 10. Самый адекватный под 10-ку релиз это 3.7.7.625.
Решение
Необходимо переключить режим аутентификации подключения в “Расширенном режиме”, потому что в этом режиме сертификат пользователя перемещается в хранилище сертификатов компьютера, откуда данный сертификат доступен для eap161.dll. В обычном режиме аутентификации eap161.dll работает под системой и данной dll нужен доступ к сертификатам пользователя, а eapsigner161.exe не запущен, в связи с чем и возникает ошибка. В будущем при наличии подобной ошибки просьба пользоваться одним из вариантов решения:
1) Проверять, запущен ли процесс eapsigner161.exe или
2) Включить “Расширенный режим” аутентификации.
Действительно – вся эпопея с подключением закончилась в настройке соединения и указанием пункта расширенного режима аутентификации. После этого все стало подключаться и работать без проблем. СУФД настроено и работает.
Надеюсь я смог помочь вам 🙂