Checkpoint internal error

Endpoint Security Client fails to connect with the VPN Gateway and shows the following message: "Internal error; connection failed. More details may be available in the logs". trac log debugs shows the following error: 
[ 15252 23472][28 Apr 7:46:17][] fwCNGPubKey_imp::Sign_imp: about to CryptAcquireCertificatePrivateKey...




[ 15252 23472][28 Apr 7:46:17][] fwCNGPubKey_imp::Sign_imp: Failed to acquire key handle with error code (0x80090016).




[ 15252 23472][28 Apr 7:46:17][Rais_CAPICERT] Rais_CAPICERT::capi_cert_sign: Failed to sign Buffer

Endpoint Security Client with machine certificate fails to connect to VPN Gateway with «Internal error» message

 Technical Level
Solution ID sk166972
Technical Level

Product Endpoint Security VPN
Version All
Date Created

2020-06-02 00:00:00.0
Last Modified 2022-09-08 02:38:02.0

Symptoms

  • Endpoint Security Client fails to connect with the VPN Gateway and shows the following message: «Internal error; connection failed. More details may be available in the logs«.
  • trac log debugs shows the following error: 
    [ 15252 23472][28 Apr 7:46:17][] fwCNGPubKey_imp::Sign_imp: about to CryptAcquireCertificatePrivateKey...




[ 15252 23472][28 Apr 7:46:17][] fwCNGPubKey_imp::Sign_imp: Failed to acquire key handle with error code (0x80090016).




[ 15252 23472][28 Apr 7:46:17][Rais_CAPICERT] Rais_CAPICERT::capi_cert_sign: Failed to sign Buffer

Cause

The error code is one of the CryptAcquireContext errors NTE_BAD_KEYSET (0x80090016). This could happen if: 

  • Key container does not exist.
  • There is no access to the key container.
  • The Protected Storage Service is not running.
  • The certificate has expired.

For more information, click here.

Solution


Note: To view this solution you need to

Sign In
.

Источник

On occasion some of our users get this error when connecting to the MAB VPN (Check Point SSL Network Extender Service):

Check Point Deployment Shell internal error

I have seen this article and it says the ics.jar file is corrupt on the Security Gateway.

https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solut…

As this only affects a few users, I am reluctant at the moment to follow the solution on the Gateway in case it causes any further issues.

An update or replacement of the Endpoint Security on Demand (ESOD) files on the gateway is necessary.

In the past, if we delete the users profiles off the laptop, get them to logon to the domain again it creates a new user profile and then they can logon to the VPN without this issue.

To me, there seems to be some file(s) that are located on the users profile that could also be causing an issue here.

Has anyone else seen this or know of any files that get placed on the user profile for the MAB VPN (Check Point SSL Network Extender Service)?

Mgmt = R80.40 Latest JFA Take 48 (19 May 2020)

Security GW = R80.30 JFA Take 50 (3 October 2019)

Thanks

Источник

Подробнейшая инструкция для тех, кому предстоит обновиться до версии 80.20.

Осенью 2019 года Check Point прекратил поддержку версий R77.XX, и нужно было обновляться. О разнице между версиями, плюсах и минусах перехода на R80 сказано уже немало. Давайте лучше поговорим о том, как, собственно, обновить виртуальные appliance Check Point (CloudGuard for VMware ESXi, Hyper-V, KVM Gateway NGTP) и что может пойти не так.

Итак, у нас было 2 инженера CCSE, более десятка виртуальных кластеров Check Point R77.30, несколько облаков, немножечко хотфиксов и целое море разнообразных багов, глюков и всего такого, всех цветов и размеров, а еще очень сжатые сроки. Погнали!

Содержание:
Подготовка
Обновляем сервер управления
Обновляем кластер

Так выглядит типичная облачная инфраструктура клиента с виртуальным Check Point

Так выглядит типичная облачная инфраструктура клиента с виртуальным Check Point

Подготовка

Первым делом нужно проверить достаточность ресурсов для обновления. Рекомендованные минимальные требования для R80.20 сейчас выглядят так:

Device CPU RAM HDD
Security Gateway 2 core 4 Gb От 15 GB
SMS 2 core 6 Gb —
Рекомендации описаны в документе CP_R80.20_GA_Release_Notes.

Но мы будем реалистами. Если в самой минимальной конфигурации этого достаточно, то, как показывает практика, обычно у нас включена https-инспекция, на SMS работает SmartEvent и т.д., что, разумеется, требует совершенно других мощностей. Но в целом не больших, чем для R77.30.

Но есть нюансы. И касаются они, в первую очередь, размеров физической памяти. Многие операции непосредственно в процессе обновления потребуют места на жестком диске.

Для сервера управления размер свободного пространства на диске будет очень сильно зависеть от объема текущих логов (если мы желаем их сохранить) и от количества сохраненных Database Revisions, хотя они-то нам в большом количестве уже не понадобятся. Разумеется, для нод кластера (если только вы не храните логи еще и локально) это все не имеет значения. Вот как можно проверить наличие необходимого места:

  1. Подключаемся к Smart Management Server по ssh, заходим в expert mode и вводим команду:

    [Expert@cp-sms:0]# df -h

  2. На выходе мы увидим примерно такую конфигурацию:

    Filesystem        Size  Used Avail Use% Mounted on
    /dev/mapper/vg_splat-lv_current       30G  7.4G   21G 27% /
    /dev/sda1             289M 24M 251M 9% /boot
    tmpfs             2.0G 0  2.0G   0% /dev/shm
    /dev/mapper/vg_splat-lv_log           243G  177G 53G  78% /var/log

  3. Нас в данный момент интересует раздел /var/log

Учитывайте, что в зависимости от политики хранения и удаления старых лог-файлов, а также размера экспортируемой базы может понадобиться больше места. Если при создании архива свободного места станет меньше, чем указано в политике хранения лог-файлов, система начнет стирать старые логи и НЕ включит их в архив.

Также для самого процесса обновления системе понадобится минимум 13 GB нераспределенного места на жестком диске. Проверить его наличие можно командой:

[Expert@cp-sms:0]# pvs

Увидим приблизительно вот такой вывод:

PV     VG   Fmt  Attr PSize   PFree
/dev/sda3  vg_splat lvm2 a-   141.69G 43.69G

В данном случае у нас есть 43 GB. Ресурсов хватает. Можно приступать к обновлению.

Обновляем сервер управления Check Point SMS

Перед началом работ нужно сделать следующее:

  1. Устанавливаем пакет Migration Tools на сервер управления. Для этого необходимо выгрузить образ с портала Check Point.
  2. Загружаем архив на сервер управления через WinSCP в папку /var/log/UpgradeR77.30_R80.20 (если нужно, то предварительно создать папку).
  3. Подключаемся к серверу управления через SSH и пройти в папку с архивом:cd /var/log/UpgradeR77.30_R80.20/
  4. Разархивируем файл:tar -zxvf ./<название файла>.tgz
  5. Запускаем утилиту pre_upgrade_verifier командой: ./pre_upgrade_verifier -p $FWDIR -c R77 -t R80.20
  6. По выполнению команды будет сформирован отчет о несовместимых настройках. Он доступен по адресу: /opt/CPsuite-R77/fw1/log/pre_upgrade_verification_report.(xls, html, txt). Удобнее выгрузить его через SCP и смотреть через браузер.
    Для устранения всех несовместимых настроек используйте SK117237.
  7. После повторно запустить утилиту pre_upgrade_verifier, чтобы убедиться, что все причины несовместимости устранены.

  8. Далее собираем информацию о сетевых интерфейсах, таблице маршрутизации и выгружаем конфигурацию GAIA:

    ip a > /var/log/UpgradeR77.30_R80.20/cp-sms-config.txt
    ip r > /var/log/UpgradeR77.30_R80.20/cp-sms-config.txt
    clish -c «show configuration » > /var/log/UpgradeR77.30_R80.20/cp-sms-config.txt

  9. Выгружаем полученный файл через SCP.
  10. Делаем snapshot на уровне виртуализации.

  11. Увеличиваем timeout SSH сессии до 8 часов. Тут как повезет: в зависимости от размеров экспортируемой базы может продолжаться от нескольких минут до нескольких часов. Для этого:

    [Expert@HostName]# clish -c «show inactivity-timeout» смотрим текущий timeout clish,

    [Expert@HostName]# clish -c «set inactivity-timeout 720» указываем новый timeout clish (в минутах),

    [Expert@HostName]# echo $TMOUT смотрим текущий timeout expert mode,

    [Expert@HostName]# export TMOUT=3600 указываем новый timeout expert mode (в секундах), если поставить значение 0, то timeout будет выключен.

  12. Подгружаем и монтируем установочный образ SMS.iso к виртуальной машине.

    Перед следующим шагом  ОБЯЗАТЕЛЬНО еще раз проверьте, что у вас достаточно нераспределенного места на жестком диске (напоминаю, нужно 13 GB).

  13. Перед началом экспорта конфигурации меняем лог файл командой: fw logswitch

Экспорт конфигурации и логов

  1. Запускаем утилиту migrate_export для выгрузки конфигурации. Для этого проходим в ранее созданную папку: cd /var/log/UpgradeR77.30_R80.20/ и используем команду: ./migrate export -l /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz

    либо

    проходим в папку: cd $FWDIR/bin/upgrade_tools/ и
    запускаем оттуда команду: ./migrate export -l /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz

  2. Снимаем checksum с архива: md5sum /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz
  3. Сохраняем в блокнот полученное значение.
  4. Подключаемся к SMS через SCP и выгружаем архив с конфигурацией на рабочую станцию. Обязательно использовать передачу файлов в формате Binary.

Экспорт базы SmartEvent

Здесь нам понадобится заранее установленный SMS версии R80. Любой тестовый подойдет.

  1. От SMS нам нужен скрипт, расположенный здесь:$RTDIR/bin/eva_db_backup.csh
  2. Через SCP загружаем скрипт eva_db_backup.csh в папку: /var/log/UpgradeR77.30_R80.20/
  3. Подключаемся по SSH к SMS. Скопировать файл в папку: cp /var/log/UpgradeR77.30_R80.20/eva_db_backup.csh
    $RTDIR/bin/eva_db_backup.csh
  4. Изменяем кодировку: dos2unix $RTDIR/bin/eva_db_backup.csh
  5. Добавляем владельца: chown -v admin:root $RTDIR/bin/eva_db_backup.csh
  6. Добавляем права: chmod -v 0755 $RTDIR/bin/eva_db_backup.csh
  7. Запускаем экcпорт базы SmartEvent: $RTDIR/bin/eva_db_backup.csh
  8. Выгружаем полученные файлы через SCP: $RTDIR/bin/<дата>-db-backup.backup и $RTDIR/bin/eventiaUpgrade.tar на рабочую станцию.

Обновление

  1. Переходим в WebUI GAIA SMS → CPUSE → Show all packages.
  2. В случае, когда CPUSE выдает ошибку подключения к облаку Check Point, проверяем DGW, DNS и настройки Proxy.
  3. Если все верно, а ошибка не исчезает, то нужно обновить CPUSE вручную, руководствуясь sk92449.

  4. Скачиваем образ и проходим Verifier. В случае необходимости устраняем несоответствия.

    В результате должны увидеть вот такое сообщение:

  5. Выбираем R80.20 Fresh Install and Upgrade for Security Management.
  6. При установке обновления выбираем Clean Install. После инсталляции система перезагрузится.
  7. Проходим First Time Wizard.
  8. После получения доступа проверяем учетные записи.

  9. Подключаемся к SMS по SSH и меняем shell нашего пользователя на /bin/bash/:

    set user <имя пользователя> shell /bin/bash/

    save config (в случае, если мы хотим оставить bin/bash/ как shell по умолчанию и после перезагрузки).

  10. Далее подключаемся к SMS через SCP и в режиме Binary передаем архив с конфигурацией SMS_w_logs_export_r77_r80.tgz в папку /var/log/UpgradeR77.30_R80.20/
  11. Снимаем checksum с архива: md5sum /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz и сравниваем с предыдущим значением. Checksum должны совпадать.

  12. Увеличиваем timeout SSH сессии до 8 часов. Для этого:

    [Expert@HostName]# clish -c «show inactivity-timeout» смотрим текущий timeout clish,

    [Expert@HostName]# clish -c «set inactivity-timeout 720» указываем новый timeout clish (в минутах),

    [Expert@HostName]# echo $TMOUT смотрим текущий timeout expert mode,

    [Expert@HostName]# export TMOUT=3600 указываем новый timeout expert mode (в секундах). Если поставить значение 0, то timeout будет выключен.

  13. Для импорта настроек запускаем утилиту migrate import. Для этого переходим в папку: cd $FWDIR/bin/upgrade_tools/и запускаем импорт: ./migrate imp
    ort -l /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz

Наслаждаемся жизнью ближайшие пару часов. НЕ ОТКЛЮЧАЙТЕ SSH-СЕССИЮ во время процедуры. В конце процесс migrate выдаст либо сообщение об успешном завершении операции, либо ошибку.

Чек-лист проверок после обновления

  1. Доступность ресурсов.
  2. SIC с GW.
  3. Лицензии. Если лицензии отображаются неверно либо не отображаются на SMS, запускаем команду vsec_central_licence для распределения лицензий.
  4. Установка политики.

Импорт базы SmartEvent

  1. Активируйте блейд SmartEvent.
  2. Подключаемся через WinSCP к SMS и в режиме binary передаем выгруженные ранее файлы <дата>-db-backup.backup и eventiaUpgrade.tar в папку /var/log/UpgradeR77.30_R80.20/
  3. Запускаем скрипт командой: $RTDIR/bin/eventiaUpgrade.sh -upgrade /var/log/UpgradeR77.30_R80.20/eventiaUpgrade.tar
  4. Проверяем статус: watch -n 10 eventiaUpgrade.sh
  5. Проверяем логи в SmartEvent. СОН!

Обновляем кластер Check Point GW (Active/Backup)

Перед началом работ

  1. Сохраняем конфигурацию GAIA с каждой ноды кластера в файл, для этого воспользоваться командой: clish -c «show configuration» > ./<Название файла>.txt
  2. Выгружаем файлы при помощи WinSCP.
  3. Подключаемся к WebUI обеих нод и переходим на вкладку CPUSE → Show all packages.
  4. Находим пакет обновлений для версии R80.20 Fresh Install, нажимаем Download.
  5. Проверяем, что CCP-протокол работает в режиме Вroadcast, для этого вводим команду: cphaprob -a if
    Если выбран режим Multicast, смените его командой: cphaconf set_ccp broadcast (команда выполняется на каждой ноде).
  6. Устанавливаем Downtime для задействованных нод в вашей системе мониторинга.
  7. Проверяем, что на уровне виртуализации включены параметры MAC Address Change и Forged Transmits для sync-сети.

Обновление

  1. Подключаемся по ssh к Active-ноде и запускаем команду для мониторинга состояния кластера: watch -n 2 cphaprob stat
  2. Возвращаемся в WebUI Stanby ноды на вкладку CPUSE и для выбранного пакета R80.20 Fresh Install запускаем Verifier.
  3. Анализируем отчет Verifier. Если установка разрешена, идем дальше.
  4. Выбираем пакет R80.20 Fresh Install и запускаем Upgrade. В процессе Upgrade система будет перезагружена. Настройки GAIA сохраняются. В момент перезагрузки отслеживаем состояние кластера. После загрузки статус обновленной ноды должен смениться на READY. В ряде случаев у нас возникал момент, когда еще не обновленная нода переходила в статус Active Attention и переставала отображать статус обновленной ноды. Не пугайтесь – такой вариант также допустим.
  5. По завершению обновления открываем SmartDashboard.
  6. Открываем кластерный объект и меняем версию кластера с R77.30 на R80.20. Жмем Ок. Если при сохранении изменений появляется ошибка:
    An internal error has occurred. (Code: 0x8003001D, Could not access file for write operation),
    следуйте SK119973. После этого сохраняем изменения и жмем Install Policy.
  7. В настройках убираем галочку с параметра For gateway clusters, if installation on a cluster member fails, do not install on that cluster.
  8. Устанавливаем политику. Система выдаст ошибку для Active-ноды, которая еще не обновлена.
  9. Подключаемся к обновленной ноде по ssh и запускаем команду для мониторинга состояния кластера: watch -n 2 cphaprob stat
  10. Подключаемся к WebUI Active-ноды и переходим во вкладку CPUSE → Show all packages.Находим пакет обновлений для версии R80.20 Fresh Install, жмем Download.
  11. Устанавливаем Downtime для задействованных нод в вашей системе мониторинга.
  12. Возвращаемся в WebUI Active-ноды на вкладку CPUSE и для выбранного пакета R80.20 Fresh Install запускаем Verifier.
  13. Анализируем отчет Verifier. Если установка разрешена, идем дальше.
  14. Выбираем пакет R80.20 Fresh Install и запускаем Upgrade. В процессе Upgrade система будет перезагружена. Настройки GAIA сохраняются. В момент перезагрузки отслеживаем состояние кластера на уже обновленной ноде. После перезагрузки состояние кластера на обновленной ноде изменится с READY на ACTIVE.
  15. Когда завершится процесс Upgrade, запускаем SmartDashboard и устанавливаем политику.

Чек-лист проверок после обновления

  • Журналы событий в SmartLog, состояние VPN-туннелей.
  • Настройки GAIA.
  • Восстановление кластера после тестового Failover.
  • Лицензии и контракты. В случае если лицензии отображаются неверно либо не отображаются на SMS, запускаем команду. vsec_central_licence для распределения лицензий.
  • CoreXL.
  • SecureXL.
  • Hotfix и CPinfo на двух нодах.

Заключение

В общем-то на этом моменте все – вы обновились.

У нас весь процесс занимал в среднем от 6 до 12 часов, в зависимости от размеров экспортируемых баз. Работы проводили две ночи: одна – для обновления SMS, вторая – для кластера.

Простоя трафика не было, несмотря на то, что все вышеупомянутые ошибки мы проверяли на себе.

Конечно, иногда могут возникнуть и совершенно новые трудности в процессе обновления, но это Check Point, и, как мы все знаем, всегда есть hotfix!

Удачных вам черно-розовых ночей и обновлений!

Источник

Keine Verbindung zum Zielhost

Wird eine bestehende Verbindung angezeigt, liegt der Fehler nicht mehr im Verbindungsaufbau. Sollte nun eine Verbindung durch den Tunnel nicht zustande kommen (z.B. PING auf einen Host im Netzwerk hinter dem Gateway), ist die Ursache auf der virtuellen Ebene zu suchen. Auch hier ist es eine gute Idee, zunächst das Portfilter-Regelwerk zu aktualisieren und einen Blick ins Livelog zu werfen.

Bei der Fehlersuche ergeben sich drei Möglichkeiten:

    Das gesuchte Paket taucht nicht auf
    → Ist kein Paket im Livelog sichtbar, dann kommt vermutlich auch keines an der Firewall an. Der Fehler ist hier also auf dem Client zu suchen.

Das gesuchte Paket taucht auf und es wird verworfen (DROP)
→ Wenn ein Paket verworfen wird, fehlt die passende FW-Regel, sie ist inkorrekt formuliert oder noch nicht wirksam (Regelwerk noch nicht aktualisiert). Der Fehler liegt also auf dem Gateway

Das gesuchte Paket taucht auf und es wird akzeptiert (ACCEPT)
→ Wenn ein Paket angenommen wird, dann liegt der Fehler in Richtung Zielhost.

Источник

Как исправить ошибки безопасности SSL в браузере

При открытии сайтов в браузере иногда возникают ошибки – домен в адресной строке выделяется красным с зачеркиванием или ресурс вообще не открывается. Типовая причина скрывается в сбоях работы сертификата SSL. Исправить их может только администратор сайта, но перед обращением к нему стоит проверить собственный компьютер.

Что такое SSL

Текущие тенденции сайтостроения предполагают высокую безопасность соединения пользователя с веб-ресурсом. Это необходимо для защиты персональных данных, секретных номеров банковских карт и информации о проводимых сделках. Организуется безопасность подключением протокола шифрования Secure Sockets Layer (сокращенно SSL).

  1. Сертификат выпускается доверенным центром Certification Authority (CA).
  2. После выдачи он подключается к домену средствами провайдера хостинга.
  3. Срок его действия ограничен 1 годом, после чего требуется продление.

Работа сайта возможна и без SSL, но поисковые системы «не доверяют» таким ресурсам и помечают их в браузере как неблагонадежные. Поэтому лучше разобраться, как решить проблему с защитой и полноценно пользоваться протоколом HTTPS. Сертификат актуален на сайтах, где присутствует регистрация, предлагается покупка товаров или онлайн-оплата различных сервисов.

При появлении любых сомнений в исправности защиты регистрироваться на сайте или вводить ранее выданные логин и пароль не рекомендуется. Тем более не стоит осуществлять онлайн-оплату с банковских карт или электронных кошельков, ведь не исключено, что проблема возникла из-за взлома ресурса злоумышленниками.

Причины появления ошибок SSL

Существует всего две причины, почему браузер отображает ошибку сертификата SSL со стороны сервера. Первая заключается в окончании срока активации, вторая – это покупка сертификата у поставщика без достаточных полномочий для выдачи «полноценной защиты». Например, виной может быть выбор самоподписанного сертификата, лишь эмулирующего работу реального протокола.

Остальные проблемы обычно скрываются на локальном компьютере:

  1. Произошел сброс системного времени.
  2. Неправильно настроена антивирусная программа.
  3. Сбоит браузер или установленное расширение.
  4. Срабатывает вредоносный скрипт.

Чтобы выяснить настоящую причину, пользователю браузера рекомендуется проверить все перечисленные факторы. При том же заражении компьютерными вирусами возможно проявление сразу нескольких симптомов – от изменения текущего времени и блокировки антивирусом до подключения перенаправления страниц в браузере и других неприятностей.

Изредка встречаются ситуации, когда проблема возникла со стороны администратора, если он ошибся при подключении нового сертификата или забыл продлить его действие. Обычно такие неполадки устраняются быстро, потому что после активации сайт проверяется и, в случае неработоспособности сертификата, проводится повторное подключение вплоть до получения положительного результата.

Время и дата

Сертификат SSL имеет четко обозначенный срок действия с датой активации и деактивации. Такой подход отчасти дает дополнительную защиту, потому что в случае технического сбоя в системных часах компьютера сайты перестают открываться. Сброс времени обычно происходит «назад», на дату изготовления материнской платы, на что и реагирует система.

Варианты исправления ситуации:

  1. Вручную внести корректную дату и время, после чего обновить страницу в браузере.
  2. Воспользоваться функцией синхронизации через интернет, встроенной в Windows.
  3. Заменить батарейку на памяти BIOS. При первом запуске ПК нужно внести корректные данные.

Каждый раз после изменения времени рекомендуется ручное обновление страницы или перезапуск браузера. Такой шаг активирует повторное соединение с сервером и позволяет зайти на сайт «с нуля», но уже с правильным временем, соответствующим сроку действия сертификата SSL (после активации и до ее завершения).

Настройки антивируса и брандмауэра

Программы для защиты компьютера от вирусов и хакерских атак иногда блокируют и «полезные» соединения, например, определенные домены или сразу весь протокол HTTPS, используемый при подключении сертификата SSL. Большинство антивирусов и брандмауэров проверяют его работу, и это становится причиной блокировки сайта как «злоумышленника, пытающего украсть данные».

Варианты исправления ситуации:

  1. Отключить режим «проверка протокола HTTPS». После этого зайти на сайт заново.
  2. Полностью выключить антивирусную программу. Перезагрузить ПК, открыть страницу.
  3. Сбросить настройки брандмауэра. Опять проводится перезапуск компьютера и веб-ресурса.

Функция временного отключения имеется в любой защитной программе, даже интегрированной в операционную систему Windows. Но это не гарантирует полную деактивацию приложения. В этом случае разобраться в ситуации поможет открытие сайта на другом компьютере или запуск безопасного режима (актуально для проводного подключения к интернету).

Браузер и операционная система

Наличие проблемы с браузером проще всего определить открытием сайта на другом устройстве или в другой программе. Иногда решение заключается в банальном обновлении версии приложения до актуальной. То же относится к операционной системе, если используется интегрированный браузер вроде Edge. Пакеты обновлений для того и выпускаются, чтобы устранять неполадки в ПО.

Варианты исправления ситуации:

  1. Полностью очистить историю браузера вместе с кэшем и другими данными.
  2. Временно отключить все ранее установленные и активные расширения.
  3. Переустановить программу после ее полной деинсталляции.

Остается еще один вариант – сбросить настройки браузера до состояния «по умолчанию». Способ аналогичен переустановке, но экономит время. Правда, он неэффективен, если проблема возникла из-за сбоя в одном из служебных файлов программы. Отдельное внимание стоит уделить расширению, выполняющему функции антивирусной защиты, ведь оно часто блокирует даже безопасное соединение.

Заражение компьютерными вирусами

Выдачей ошибки SSL браузер, вероятно, предупреждает о попытке его подмены, переадресации на сайт-клон или иной угрозе. В это случае рекомендуется провести полную проверку компьютера на наличие вирусов. Если присутствуют другие признаки заражения, стоит скачать парочку программ со свежими антивирусными базами (например, CureIt).

Варианты исправления ситуации:

  1. Временно отключить все программы из автозагрузки.
  2. Провести очистку диска от временных файлов.
  3. Перезагрузить компьютер после предыдущих шагов.

Выполняются перечисленные действия программами типа CCleaner. Они дают прямой доступ как к автозагрузке операционной системе, так и к списку расширений установленных браузеров. Также в таких программах обычно есть функция удаления ненужных системных файлов, в которых запросто может быть тело компьютерного вируса.

Если предложенные способы устранения ошибки SSL не помогли, остается ждать, пока проблему устранит администратор, или воспользоваться любым другим тематическим сайтом с аналогичным контентом.

Источник

Adblock
detector

Источник

  • #1

Добрый день! Есть несколько пользователей которые подключаются к NGFW 6700. Подключаются с помощью толстого клиента Check Point Endpoint Security VPN.
Один из пользователей постоянно жалуется что vpn клиент не соединяется, а программа пишет VPN service is down. Пробовал переустанавливать приложение Check Point Endpoint Security, но бестолку. Подскажите в чем может быть дело? Остальные юзеры не жалуются.
ps Не стал писать в раздел по чекпойнтам т.к думаю что дело именно в windows:unsure:. У всех пользователей честная windows 10 LTSC.

Последнее редактирование: 10.09.2021

  • #2

Думаю стоит проверить системный журнал на предмет ошибок. Что там ?

  • #3

Ошибки такого плана

1. Служба «Check Point Endpoint Security VPN» является зависимой от службы «Check Point Virtual Network Adapter — Apollo», которую не удалось запустить из-за ошибки
Драйвер не был загружен, так как произошел сбой при его инициализации.
2. Служба «События получения неподвижных изображений» завершена из-за следующей внутренней ошибки: Сервер RPC недоступен.
3. Сбой загрузки драйвера Drivervna_ap для устройства ROOTNET001.
4. Сбой при запуске службы «vna_ap» из-за ошибки
Драйвер не был загружен, так как произошел сбой при его инициализации.

  • #4

3. Сбой загрузки драйвера Drivervna_ap для устройства ROOTNET001.

Скорее всего что то с драйвером. Посмотрите что в диспетчере устройств. Переустановите драйвер

  • #5

Там вот такое

3333333.png

Как понять что это за устройство?? Не может же быть что драйвер сетевой карты не инициализировался. Инет вроде бы есть на компе..

Serg

Serg

Случайный прохожий


  • #6

Попробуй по не известному устройству правой кнопкой мыши и обновить драйвер. Или попробуй отключить устройство затем включить. Все таки windows 10 это не windows 98 или xp по части поиска драйверов.

  • #7

Попробуй по не известному устройству правой кнопкой мыши и обновить драйвер. Или попробуй отключить устройство затем включить. Все таки windows 10 это не windows 98 или xp по части поиска драйверов.

Это попробовал. Драйвер сам определился. Перезапустил так же службы checkpoint vpn. Заработало. Ура.:cool:
Вопрос на засыпку. Как теперь понять почему драйвер сбоит. Я к тому что через день или 2 юзер позвонит опять с этой же проблемой…

  • #8

Это попробовал. Драйвер сам определился. Перезапустил так же службы checkpoint vpn. Заработало. Ура.:cool:
Вопрос на засыпку. Как теперь понять почему драйвер сбоит. Я к тому что через день или 2 юзер позвонит опять с этой же проблемой…

Так вы лог дальше и смотрите с компа.

  • #9

Смотрю..
Вот еще че нашел

Сбой загрузки драйвера DriverWudfRd для устройства HIDVID_0951&PID_16A4&MI_03&Col027&1c94fa2&0&0001.

Сбой загрузки драйвера Drivervna_ap для устройства ROOTNET001.

Не удалось инициализировать аварийный дамп.

Не удается найти описание для идентификатора события 3 из источника VNA. Вызывающий данное событие компонент не установлен на этом локальном компьютере или поврежден. Установите или восстановите компонент на локальном компьютере.

Приложение System с ИД процесса 4 остановило удаление или извлечение для устройства PCIVEN_8086&DEV_A352&SUBSYS_B0051458&REV_103&11583659&0&B8.

Служба «NVIDIA LocalSystem Container» завершена из-за ошибки
Исполняемая групповая команда вернула результат, который указывает на ошибку.

Процесс Explorer.EXE инициировал действие «Выключение питания» для компьютера DESKTOP-OCB45C1 от имени пользователя DESKTOP-OCB45C1ThePsiX по причине: Другое (Незапланированное)
Код причины: 0x0
Тип выключения: Выключение питания

Последнее редактирование: 10.09.2021

  • #10

непонятно короче, то ли отключение питания было, то ли комп BSOD словил после обновлений. Буду наблюдать. Спасибо еще раз!

  • #11

Кто нибудь решил проблему ? У меня тоже самое, но все предложенное не работает. Checkpoint VPN клиент пишет — Client is compliant.
Пробовал переустанавливать — не помогает, драйверы на материнку gigabyte все стоят.
Еще из симптомов — не стартует служба checkpoint VPN с ошибкой 1068.

Что еще.. Пробовал вот это (помогло)

A. Manually Refresh the Virtual Network Adapter status:

  1. Click «Start», «Run», type regedit, then click «OK».
  2. Navigate to the following location:

    HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesvna_ap

  3. Edit the registry key Start.
  4. Change the value:

    From:

    Dword:00000003

    To

    Dword:00000000

  5. Exit the registry.
  6. Restart the system.

так же пробовал вот это

Important: Backup the registry before running the suggested procedure.

  1. Open regedit on the Windows machine.
  2. Go to:
    ComputerHKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesDeviceInstallParameters
  3. Change the value of the «DeviceInstallDisabled» to «0» (if the registry key doesn’t exist, create a new DWORD key).
  4. Reboot the client machine.
  5. Open the Windows Command Prompt.
  6. Go to:
    cd "C:Program Files (x86)CheckPointEndpoint SecurityEndpoint Connect"
  7. Uninstall the VNA driver:
    vna_utils.exe -ap vna dev remove_ex netvna.inf cp_apvna[/I]
    [*]Re-install the VNA adapter:
    vna_utils.exe -ap vna dev install netvna.inf cp_apvna
    [*]Stop and start the Endpoint processes:
    trac stop
    trac start
    [*]Connect to VPN.

Последнее редактирование: 09.08.2022

  • #12

Получается служба не стартует из-за сбойного драйвера.
Все обновления для винды установлены. Подскажите кто что знает ??🧐

  • #13

непонятно короче, то ли отключение питания было, то ли комп BSOD словил после обновлений. Буду наблюдать. Спасибо еще раз!

Вообще-то вся головная боль с VPN-клиентами (не только Check Point) происходит как раз из-за установки обновлений Windows. Если обновление содержит изменение сетевой части стека TCP/IP, то ждите подобных сюрпризов. На других компах без проблем с VPN-клиентом — также обновления устанавливаются для Windows?

  • #14

Кто нибудь решил проблему ? У меня тоже самое, но все предложенное не работает. Checkpoint VPN клиент пишет — Client is compliant.
Пробовал переустанавливать — не помогает, драйверы на материнку gigabyte все стоят.
Еще из симптомов — не стартует служба checkpoint VPN с ошибкой 1068.

Что еще.. Пробовал вот это (не помогло)

так же пробовал вот это

1. https://supportcenter.checkpoint.co…_doGoviewsolutiondetails=&solutionid=sk101081
2. cmd (admin): sfc /scannow

  • #15

Получается служба не стартует из-за сбойного драйвера.
Все обновления для винды установлены. Подскажите кто что знает ??🧐

Ох уж эти любители поустанавливать обновления на Windows!

  • #16

эт все проходит на ура. Сейчас уже сам разобрался.
Я сначала обновления проставил а потом на эту статейку нарвался.
Дело было все-таки в этом ключе реестра.
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesvna_ap

  • Edit the registry key Start.
    Change the value:

    From:
    Dword:00000003 — криво
    Dword:00000000 — надо так, работает

Жаль полдня убил блин

  • #17

Ох уж эти любители поустанавливать обновления на Windows!

Они видимо юзеру сами прилетели:)

UEF


Источник

Table of contents

  • Why Hyper-V checkpoint operation failed?
  • How to fix the issue Hyper-V checkpoint operation failed?

«An error occurred while attempting to checkpoint the selected virtual machine.

I was creating checkpoint for Hyper-V VM but received checkpoint operation failed error. How could I fix it?“

Snapshots, also called checkpoints in Hyper-V, are the insurance of VM data and status. Regularly taking snapshots is good for disaster recovery.

If it reports an error during the process, the error messages might include:

● General access denied error

● Checkpoints have been disabled

● Failed to create VM recovery snapshot

● Could not initiate a checkpoint operation

● Production checkpoints cannot be created

● Failed to switch using the new differencing disks

● The operation failed because the file was not found

● Cannot take checkpoint for *** because one or more shareable vhds are attached

Hyper-V Checkpoint Operation Failed

See the causes of the issue and get effective fixes for it in this post.

Why Hyper-V checkpoint operation failed?

Users have found many causes for this issue. If you could not create backup checkpoint for virtual machine, the most common causes are wrong configurations, like Intrgration Services, and sometimes they could be VM system glitches. You cuold find the fixes in the next section.

Before that, make sure you have enough storage for checkponits and run command vssadmin list writers. to get more specific error messages.

P.S. Checkpointing VM is necessary but it is still not good enough for recovering VM. At least you should know how to export entire Hyper-V VM.

How to fix the issue Hyper-V checkpoint operation failed?

Since you have generally known the causes of this issue, you have the 12 detailed solutions to fix it.

Solution 1. Restart the VM

Hope you haven’t tried this solution, because it might be the easiest and fastest way to fix the issue. After all, rebooting solves most computer problems.

Solution 2. Change Hyper-V integration services

Open Hyper-V Manager > right-click the problematic VM > select Settings > in Management tab, click Integration Services > uncheck Backup (volume shadow copy) > click Apply

See whether you could create checkpoints in Hyper-V now. If it works, you could check Backup (volume shadow copy) again in Integration Services.

Integration Service

Solution 3. Shutdown the VM

Some users report in community that they create checkpoint successfully when the VM is powered off. It seems like the relationship between hot migration and cold migration. You could also try this method.

Solution 4. Switch checkpoint type

There are two kinds of checkpoints in Hyper-V virtual environment, Standard Checkpoint and Production Checkpoint. Another checkpoint type might help you create checkpoint.

Standard Checkpoint, formerly called snapshot, is the only checkpoint before Windows 10. It is used to take snapshot to retain the state of the VM but sometimes might lead to data consistency issues.

Production Checkpoint is added later in Windows 10, which uses Volume Shadow Copy Service or File System Freeze on a Linux virtual machine to create a data-consistent backup of the virtual machine without taking snapshot of the virtual machine memory state. It is the default checkpoint type and would use the internal backup technology of the guesting operating system.

You could switch the checkpoint type in Hyper-V manager with the following steps:

Open Hyper-V Manager > right-click the problematic VM > select Settings > in Management tab, select Checkpoints > select another checkpoint type

Solution 5. Check shared resources

If the VM is sharing certain devices like physical DVD drive, virtual disk, etc., with another VM this error might occur so you could check VM configuration to see whether there is a shared device.

Open Hyper-V Manager > right-click the problematic VM > select Settings > check the hardware resources

Solution 6. Re-enable checkpoints in Hyper-V Manager

Some users report that they have fixed the issue by re-enabling checkpoints in Hyper-V manager. You could also check whether checkpoint is disabled in this way.

Open Hyper-V Manager > right-click the problematic VM > select Settings > in Management tab, select Checkpoints > uncheck Enable checkpoints > click Apply > re-enable checkpoints > click Apply

Solution 7. Move the VM

Some users report that they have fixed the issue by moving VM to another folder and then moving it back.

Open Hyper-V Manager > right-click the problematic VM > select Move > follow the wizard to move the VM > delete the old folders > move VM back in the same way > try creating checkpoints

Solution 8. Restart VSS service

Some users report that restarting VSS  service (Volume Shadow Copy Service) could turn the writer to a normal state.

Search «Service» on Windows or type services.msc. In command line to get the list of services > locate Volume Shadow Copy > right click it > select Restart

Solution 9. Merge Hyper-V snapshots and enable Guest Services

The existing snapshots might affect checkpoint creation. Merging them and enabling Guest Services in Hyper-V Manager might be the cure.

Hyper-V snapshots are stored as .avhdx files and merging Hyper-V snapshots might be tedious because you need to get the right order of the snapshot chain before any operation. If you want to do that, refer to this post How to merge Hyper-V snapshots in Hyper-V Manager.

To enable Guest Services:

Open Hyper-V Manager > right-click the problematic VM > select Settings > in Management tab, click Integration Services > check Guest Services

Solution 10. Create checkpoint with PowerShell

If checkpointing in Hyper-V keeps failing, you could try another Microsoft application PowerShell.

Type the command below to create checkpoint in PowerShell:

Checkpoint-VM -Name <VMName>

Solution 11. Remove backup server

Some users report that group policy could affect creating Hyper-V checkpoints. You could remove backup server from group policy for a while to test whether Hyper-V checkpoints could be created.

Solution 12. Deleting dynamic disks

Some users reporte that dynamic disks on guest OS might cause checkpoint operation failed. Deleting them to test whether it is the cause.

After you create Hyper-V checkpoint, it be used create new VM after exported.

Conclusion

Taking VM snapshots is necessary for data security but receiving error messages like Hyper-V checkpoint failed could be disappointing. This post has explained why this happens and gives 12 useful fixes for this issue.

Snapshot is useful but it is not good enough for long-term disaster recovery plan, while backup is. Vinchin Backup & Recovery is an excellent VM backup solution which has helped thousands of companies protect their business systems. 

Don’t miss the 60-day full-featured trial for your system.

Vinchin Backup Hyper-V

Источник

Современные приложения не могут подключаться при использовании VPN-подключения Check Point

В этой статье данная статья позволяет решить проблему, из-за которой современные приложения не могут подключаться к Интернету после подключения к корпоративной сети с помощью VPN-программного обеспечения Check Point.

Применяется к: Windows 8
Исходный номер КБ: 2855849

Симптомы

Рассмотрим следующий сценарий.

  • Вы используете версию VPN удаленного доступа к конечным точкам Check Point, которая является более ранней, чем E80.50.
  • Успешно запущены Windows 8 (Store Apps) и классические настольные приложения.
  • Подключение к корпоративной сети с помощью клиентского программного обеспечения Check Point VPN в «концентраторном режиме» (то есть весь трафик проходит через виртуальный сетевой адаптер).
  • После подключения индикатор состояния сети показывает, что подключение к Интернету полностью доступно.

В этом сценарии классические приложения могут успешно подключаться к Интернету. Однако современные приложения не могут подключаться. Кроме того, компьютерная версия Windows Internet Explorer 10 не может подключиться, если включен режим расширенной безопасности.

Причина

Эта проблема возникает из-за того, что установленный брандмауэр не может устанавливать правила, позволяющие современным приложениям общаться через виртуальную частную сеть.

Решение

Чтобы устранить эту проблему, установите check Point VPN E80.50 (ожидается, что она будет доступна осенью 2013 г.) на следующем веб-сайте Центра поддержки контрольных точек:

Обходной путь

Точно следуйте всем указаниям из этого раздела. Внесение неправильных изменений в реестр может привести к возникновению серьезных проблем. Прежде чем приступить к изменениям, создайте резервную копию реестра для восстановления на случай возникновения проблем.

Чтобы решить эту проблему, запустите следующий Windows PowerShell, чтобы изменить скрытое свойство для виртуального сетевого интерфейса в реестре:

Этот сценарий также задокументирован на следующем веб-сайте Check Point: Microsoft Store (Windows 8) приложение не удается связаться с помощью VPN-туннеля.

В этой статье упомянуты программные продукты независимых производителей. Корпорация Майкрософт не дает никаких гарантий, подразумеваемых и прочих, относительно производительности и надежности этих продуктов.

Контактные данные сторонних организаций предоставлены в этой статье с целью помочь пользователям получить необходимую техническую поддержку. Эти данные могут быть изменены без предварительного уведомления. Корпорация Майкрософт не гарантирует точность этих сторонних контактных данных.

Источник

Современные приложения не могут подключаться при использовании VPN-подключения Check Point

В этой статье данная статья позволяет решить проблему, из-за которой современные приложения не могут подключаться к Интернету после подключения к корпоративной сети с помощью VPN-программного обеспечения Check Point.

Применяется к: Windows 8
Исходный номер КБ: 2855849

Симптомы

Рассмотрим следующий сценарий.

  • Вы используете версию VPN удаленного доступа к конечным точкам Check Point, которая является более ранней, чем E80.50.
  • Успешно запущены Windows 8 (Store Apps) и классические настольные приложения.
  • Подключение к корпоративной сети с помощью клиентского программного обеспечения Check Point VPN в «концентраторном режиме» (то есть весь трафик проходит через виртуальный сетевой адаптер).
  • После подключения индикатор состояния сети показывает, что подключение к Интернету полностью доступно.

В этом сценарии классические приложения могут успешно подключаться к Интернету. Однако современные приложения не могут подключаться. Кроме того, компьютерная версия Windows Internet Explorer 10 не может подключиться, если включен режим расширенной безопасности.

Причина

Эта проблема возникает из-за того, что установленный брандмауэр не может устанавливать правила, позволяющие современным приложениям общаться через виртуальную частную сеть.

Решение

Чтобы устранить эту проблему, установите check Point VPN E80.50 (ожидается, что она будет доступна осенью 2013 г.) на следующем веб-сайте Центра поддержки контрольных точек:

Обходной путь

Точно следуйте всем указаниям из этого раздела. Внесение неправильных изменений в реестр может привести к возникновению серьезных проблем. Прежде чем приступить к изменениям, создайте резервную копию реестра для восстановления на случай возникновения проблем.

Чтобы решить эту проблему, запустите следующий Windows PowerShell, чтобы изменить скрытое свойство для виртуального сетевого интерфейса в реестре:

Этот сценарий также задокументирован на следующем веб-сайте Check Point: Microsoft Store (Windows 8) приложение не удается связаться с помощью VPN-туннеля.

В этой статье упомянуты программные продукты независимых производителей. Корпорация Майкрософт не дает никаких гарантий, подразумеваемых и прочих, относительно производительности и надежности этих продуктов.

Контактные данные сторонних организаций предоставлены в этой статье с целью помочь пользователям получить необходимую техническую поддержку. Эти данные могут быть изменены без предварительного уведомления. Корпорация Майкрософт не гарантирует точность этих сторонних контактных данных.

Источник

Решение проблемы «Connectivity with the Check Point Endpoint Security Service is lost» в Check Point Endpoint Security VPN

Уже не первый раз сталкиваюсь с проблемой «Connectivity with the Check Point Endpoint Security Service is lost» после установки Check Point Endpoint Security VPN.

Выглядит ошибка «Connectivity with the Check Point Endpoint Security Service is lost» следующим образом:

В попытках решить данную проблему можно наткнуться на несколько советов:

В данном примере советуют открыть список установленных приложений и попытаться запустить «Repair». Но очень вероятно мы получим ошибку «The installer has insufficient privileges to modify this file: C:WINDOWSSysWOW64vsdata.dll» (vsdata.dll, vsutil.dll и vsinit.dll):

В данном случае нам рекомендуют переименовать библиотеку vsdata.dll. Но и переименовать мы ее не сможем, поскольку получим: «Запросите разрешение от СИСТЕМА на изменение этой папки или файла». И как на зло, даже инструкция по смене владельца файла не помогает.

Теоретически, можно загрузиться с какого-нибудь Live CD и сменить имя библиотекам «vsdata.dll, vsinit.dll, vsutil.dll».

4. И, наконец, способ, который помог мне.

Чудом наткнулся на патч, который решает проблему «Connectivity with the Check Point Endpoint Security Service is lost» — https://supportcenter.checkpoint.com/supportcenter/portal?action=portlets.DCFileAction&eventSubmit_doGetdcdetails=&fileid=111732.

Если помогло и вам, благодарности принимаю в комментариях :).

Источник

Пользователи VPN-сервиса Check Point столкнулись с проблемами из-за просроченного сертификата

Компания предупреждала о наличии патча, исправляющего проблему, еще в августе 2019 года.

Примечательно, что компания предупреждала о наличии патча, исправляющего проблему, еще в августе 2019 года, но, судя по всему, некоторые клиенты Check Point пропустили сообщение или не смогли применить исправление из-за политик организаций.

На прошлой неделе компания выпустила еще одно уведомление, в котором предупредила, что решения Endpoint/VPN E80.81 — E81.10 (только версия для Windows ) и агент SandBlast E80.61 — E81.10 (только версия для Windows) перестанут нормально работать с 1 января 2021 года.

«Эти более не поддерживаемые решения прекратят функционировать 1 января 2021 года. Начиная с этой даты, после перезагрузки компьютера, версии клиента Remote Access VPN and Endpoint Security Client E81.10 и ниже могут перестать работать, а обновиться не получится», — предупредила компания.

Как рассказал изданию The Register один из читателей, работающий в правительственной организации, из-за истекшего срока действия сертификата примерно 1 600 ноутбуков, выделенных сотрудникам, не смогли подключиться к сети. Предлагаемый Check Point патч заменяет .SYS файл без задействования администратора, что запрещено правилами организации, пояснил источник.

В свою очередь, представители Check Point сообщили изданию, что начали информировать пользователей устаревших версий о проблеме еще до нового года. Сколько клиентов уже применили патч, в компании не сообщили.

Источник

Checkpoint проблемы с подключением

Full Member Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору Народ. Есть проблема. Есть CheckPoint и. как его настраивать никто не знает. В сети нигде описалова конкретного нет. Может кто помогёт личным опытом. или может кто кинет линку на доки (желательно по русски) по этому зверю.
Заранее спасибо.

Добавляете, плиз, полезную информацию в шапку.

Цитата:

CheckPoitn встает под Linux нормально. Я даже по Solaris ставил

Есть кое-какие доки на Ftp из варезной темы.. Всего записей: 525 | Зарегистр. 02-07-2002 | Отправлено: 18:55 09-07-2002 | Исправлено: Out, 18:06 15-08-2006

Artempv

Junior Member

 Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору medet

Посмотрите этот пост на CPUG (The Check Point User Group) — hxxp://www.cpug.org/forums/installing-upgrading/5267-new-r60-installation-securemote-issues-need-create-ica-reset-sic.html

Описана аналогичная ситуация.
Всего записей: 119 | Зарегистр. 07-02-2005 | Отправлено: 14:40 13-08-2010
Aluf

Junior Member

 Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору доброго дня всем,
примите к сведению что ночью со вчера на сегодня все UTM Edge appliances Checkpoint решили организованно сделать reboot по неясной пока причине (просто день такой тяжелый у них

http://www.cpug.org/forums/check-point-utm-1-edge-appliances/14606-all-edge-firewalls-rebooted-10-30-2010-8-58-p-m.html#post64014

Всего записей: 167 | Зарегистр. 28-12-2003 | Отправлено: 21:54 31-10-2010
Garryncha

Newbie

 Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору Добрый день!
Прошу помощи в следующей ситуации.
Есть шлюз CheckPoint R70 на Windows 2003.
У шлюза два интерфейса: внутренний и внешний (интернет).
Сделано одно правило типа: any any accept.
Сделана трансляция Automatic Hide NAT.
Все остальные настройки после установки не изменялись.
Проблема заключается в том, что при обращении из внутренней сети к сайтам через браузер какие-то сайты нормально открываются, какие-то открываются, но медленно, какие-то совсем не открываются.
Те сайты, которые открывались быстро, через какое-то время перестают открываться совсем.
Проблем в сайтах и в интернет-канале нет, т.к. если подключаться в интернет с рабочей станции напрямую, таких проблем нет.
При этом, после перезагрузки шлюза с CheckPoint все сайты 1-2 минуты открываются нормально, после этого получается описанная выше картина.
При этом все сайты пингуются за 30-40 ms, даже если долго открываются или не открываются браузером.
Если запустить Wireshark на внутреннем интерфейсе шлюза, то он показывается SYN-пакеты, которые идут из внутренней сети, но к ним нет SYN-ACK и т.д.
Мне кажется, проблема с работой TCP-сессий через CheckPoint, но в чём конкретно не понятно.
Подскажите, пожалуйста, в чём может быть причина проблемы и как её устранить?
Если нужна дополнительная информация, то какая?
Всего записей: 17 | Зарегистр. 16-03-2006 | Отправлено: 16:50 01-11-2010
dshf21391

Advanced Member

 Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору ipconfig /all и route print для полноты картины не помешали бы.
А так же инофрмация о том, как настроен объект чекпоинт, включен ли IPS, настроена ли правильно топология. пока всё.
Всего записей: 954 | Зарегистр. 29-06-2005 | Отправлено: 19:31 01-11-2010
dshf21391

Advanced Member

 Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Aluf
Статья на чекпоинте сегодня появилась
The cause of this problem is related to a specific counter that elapses every 13.6 years and is not expected to happen again in the life time of the device.
Всего записей: 954 | Зарегистр. 29-06-2005 | Отправлено: 11:28 02-11-2010
Garryncha

Newbie

 Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору Вот дополнительная информация.
На шлюзе ChekPoint.

ipconfig -all
Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : go-to-internet
Основной DNS-суффикс . . . . . . :
Тип узла. . . . . . . . . . . . . : широковещательный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : да

WAN — Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : D-Link DFE-520TX PCI Fast Ethernet Adapte
r
Физический адрес. . . . . . . . . : 01-51-B1-B2-79-37
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 92.64.5.13
Маска подсети . . . . . . . . . . : 255.255.255.128
Основной шлюз . . . . . . . . . . : 92.64.5.1
DNS-серверы . . . . . . . . . . . : 127.0.0.1

LAN — Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : NVIDIA nForce 10/100 Mbps Ethernet
Физический адрес. . . . . . . . . : 43-5C-39-C4-EB-73
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 10.5.64.1
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :

Там же на шлюзе CheckPoint.
route print

IPv4 таблица маршрута
=====================================================================
Список интерфейсов
0x1 . MS TCP Loopback interface
0x2 . 01 51 B1 B2 79 37 . D-Link DFE-520TX PCI Fast Ethernet Adapter — VPN
-1 / Firewall-1 Miniport
0x3 . 43 5C 39 C4 EB 73 . NVIDIA nForce 10/100 Mbps Ethernet — VPN-1 / Fi
rewall-1 Miniport
=====================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 92.64.5.1 92.64.5.13 20
10.5.64.0 255.255.255.0 10.5.64.1 10.5.64.1 20
10.5.64.1 255.255.255.255 127.0.0.1 127.0.0.1 20
10.255.255.255 255.255.255.255 10.5.64.1 10.5.64.1 20
92.64.5.0 255.255.255.128 92.64.5.13 92.64.5.13 20
92.64.5.13 255.255.255.255 127.0.0.1 127.0.0.1 20
92.255.255.255 255.255.255.255 92.64.5.13 92.64.5.13 20
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
224.0.0.0 240.0.0.0 10.5.64.1 10.5.64.1 20
224.0.0.0 240.0.0.0 92.64.5.13 92.64.5.13 20
255.255.255.255 255.255.255.255 10.5.64.1 10.5.64.1 1
255.255.255.255 255.255.255.255 92.64.5.13 92.64.5.13 1
Основной шлюз: 92.64.5.1
===========================================================================
Постоянные маршруты:
Отсутствует

Настройки шлюза (через CheckPoint SmartDashboard).
Имя шлюза: go-to-internet
IP-адрес: 10.5.64.1 (автоматически получен во вкладке)
Включен только Firewall (URL Filtering, IPSec, IPS и пр. выключены).

Вкладка Топология:
Внешний интерфейс: 92.64.5.13
Внутренний интерфейс: 10.5.64.1
(автоматически получены во вкладке)
На оба интерфейса назначен Antispoofing.
На внутреннем интерфейсе выбраны адреса за ним — по его сетевому адресу и маске.

Вкладка NAT: пустая.

Сделан объект Internal — сеть 10.5.64.0.
На объекте Internal настроено NAT — Automatic Hide behind Gateway.
Всего записей: 17 | Зарегистр. 16-03-2006 | Отправлено: 12:07 02-11-2010
dshf21391

Advanced Member

 Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору По настройкам всё ок.
Симптомы очень странные и больше похожи на реакцию IPS, или антиспуфинга.
Smart Tracker смотрел? Попробуй отключить антиспуфинг.
Много хостов во внутренней сетке?
Всего записей: 954 | Зарегистр. 29-06-2005 | Отправлено: 12:27 02-11-2010
Garryncha

Newbie

 Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору Выключили Antispoofing на обоих интерфейсах, картина та же.

В Smart Tracker встречаются такие события:
Action: Drop
Rule: — (Current Rule, Rule Name, User — все прочерк)
Source: сайт (например, yandex.ru)
Destination: 92.64.5.13
Source port: 80 (http)
Information: TCP Packet out of state: first packet isn’t SYN. TCP Flags: RST-ACK (а также бывает всё то же самое, только TCP Flags FIN+ACK).

Такое подозрение, что CheckPoint сбрасывает сессию, и ответные пакеты считает новой сессией, ждёт SYN. И тогда эти пакеты не пройдут из-за NAT.
Может быть, дело в том, что какие-то таймеры сбрасывают сессию? Где можно их посмотреть?

Во внутренней сети 10 хостов, сейчас при экспериментах 1-2 хоста используем.
Всего записей: 17 | Зарегистр. 16-03-2006 | Отправлено: 13:20 02-11-2010
sensemilya2

Newbie

 Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Цитата:

DNS-серверы . . . . . . . . . . . : 127.0.0.1

В настройках объекта CP -> advanced -> configure servers -> DNS server галка стоит?
Всего записей: 12 | Зарегистр. 22-03-2007 | Отправлено: 14:45 02-11-2010
dshf21391

Advanced Member

 Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Garryncha
Это настраивается в Global Properties -> Stateful Inspections. Но проблема странная. Ты в этих настройках не лазил? При установленных по умолчанию должно всё нормально работать, по идее. И нагрузки практически то нет, чтобы не хватало памяти ему и он сессии начинал терять.
Всего записей: 954 | Зарегистр. 29-06-2005 | Отправлено: 14:51 02-11-2010
Garryncha

Newbie

 Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору Галки не было.
Галку поставили, картина осталась та же.

Сначала сайт открывается быстро, потом медленнее, потом ещё медленнее, потом просто страница не доступна.

Добавлено:
Да, посмотрели Stateful Inspection. Там стояли настройки по умолчанию (которые и в документации описаны). Попробовали другие настройки (Agressive, тоже из документации, по идее с ними ещё хуже должно работать), получилось то же самое. Вернулись к настройкам по умолчанию, всё так же.
Всего записей: 17 | Зарегистр. 16-03-2006 | Отправлено: 15:06 02-11-2010
dshf21391

Advanced Member

 Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Garryncha
Нее, попробуй наоборот там время увеличить, а если не поможет, то отключить дропы out of state пакетов на время и посмотреть, что будет.
Подозреваю дровишки могут быть кривые на сетевые карты. Либо сами сетевые глючные.
Всего записей: 954 | Зарегистр. 29-06-2005 | Отправлено: 15:38 02-11-2010
Garryncha

Newbie

 Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору Убирали drop пакетов в Stateful Inspection — не помогло.
Таймеры не пробовали увеличить.
Зато делали следующий эксперимент.
На встроенную сетевую карту, где был внутренний интерфейс, назначали внешний адрес, а на внешнюю — внутренний (т.е. наоборот по отношению к тому, что было).
Дальше запускали программку-авторизатор для подключения к провайдеру, CheckPoint был выключен — всё работало нормально.
Если запускали CheckPoint, то программка-авторизатор разрывала соединение.
Подозреваем, что дело во встроенной сетевой карте.
Драйвера на неё для Windows XP, для 2003 не нашли у производителя.
Дальше обратимся в техподдержку на компьютер, может быть, конкретно наша встроенная сетевая карта неисправна, и нам поменяют материнскую плату по гарантии.
Всего записей: 17 | Зарегистр. 16-03-2006 | Отправлено: 13:23 03-11-2010
dshf21391

Advanced Member

 Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Цитата:

Если запускали CheckPoint, то программка-авторизатор разрывала соединение.
Подозреваем, что дело во встроенной сетевой карте.

Забавно =)) Ну и доступ в интернет.

Цитата:

Драйвера на неё для Windows XP, для 2003 не нашли у производителя.

На такое железо ставить чекпоинт — это извращение.
Купите самый дешёвый сервер брэндовый. При немаленькой цене на чекпоинт экономить на железе — это жесть.
Всего записей: 954 | Зарегистр. 29-06-2005 | Отправлено: 15:03 03-11-2010
Garryncha

Newbie

 Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору dshf21391,
Цитата:

Купите самый дешёвый сервер брэндовый. При немаленькой цене на чекпоинт экономить на железе — это жесть.

Это верно.
Но я слушаюсь начальства, тем более, когда оно не право.

Всего записей: 17 | Зарегистр. 16-03-2006 | Отправлено: 12:10 06-11-2010
BiB2

Junior Member

 Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Добрый день! Прошу помочь.
Checkpoint Firewall NGX R65 on SPLAT.
Для доступа к email серверу используется следующее:

source destination service action
USERs Firewall host pop3_mapped accept
smtp_mapped

где pop3_mapped и smtp_mapped services: SRV_REDIRECT(110,адрес Email сервера,11011 (pop3 порт Email сервера)) and SRV_REDIRECT(25,адрес Email сервера,2525 (smtp порт Email сервера))

после включения антивируса (быда приобретена подписка), smtp pop3 mapping service не работает — когда я пытаюсь подключиться telnet к 110 порту Firewall host получаю ошибку» -ERR No POP3 service here»
в SmartView Tracker 2 сообщения на каждую попытку отправить почту

Number: 21715
Date: 9Nov2010
Time: 10:30:33
Interface: POP3 transparent proxy
Origin: FW
Type: Log
Action: Reject
Service: pop-3 (110)
Source Port: 4126
Source: 10.33.6.67
Destination: FW (10.6.1.50)
Protocol: tcp
Rule: 38
Rule UID:
Current Rule Number: 38-Standard
Information: email_control: Security Server
email_session_id: <4cd906a9-5-3201060a-7b6>
email_recipients_num: 0
File Direction: to/from this gateway
Product: VPN-1 Power/UTM
Reason: Failed to connect to POP3 server
Policy Info: Policy Name: Standard
Created at: Tue Nov 09 10:29:35 2010
Installed from: FW

Number: 21716
Date: 9Nov2010
Time: 10:30:33
Interface: POP3 transparent proxy
Origin: FW
Type: Log
Action:
Service: pop-3 (110)
Source Port: 4126
Source: 10.33.6.67
Destination: FW (10.6.1.50)
Protocol: tcp
Rule: 38
Rule UID:
Current Rule Number: 38-Standard
Information: email_control: Security Server
email_session_id: <4cd906a9-5-3201060a-7b6>
email_recipients_num: 0
File Direction: to/from this gateway
Product: VPN-1 Power/UTM
SmartDefense Profile: Default_Protection
Policy Info: Policy Name: Standard
Created at: Tue Nov 09 10:29:35 2010
Installed from: FW
читал Secureknowledge base articles sk34862
sk32198 но там проблема в использовании NAT, у меня NAT для Email сервера для внутренних пользователей не используется.
Заранее спасибо за помощь

Источник

Adblock
detector

Источник

Понравилась статья? Поделить с друзьями:
  • Checkpoint error code 26702
  • Checkpoint error 1406 could not write value hvm to key
  • Checkout validation error перевод
  • Checking windows credentials error rpc connection failed veeam
  • Checking whether we are cross compiling configure error in