Device error missing answer for notification 0x431

cat > /etc/rc3.d/S99cdbd
/usr/sbin/cdbd start

ъБРХУЛ ДЕНПОБ РТПЙЪЧПДЙФУС БЧФПНБФЙЮЕУЛЙ РТЙ РЕТЕЪБЗТХЪЛЕ ЛПНРШАФЕТБ ЙМЙ ЧТХЮОХА, УФБОДБТФОЩНЙ УТЕДУФЧБНЙ ПРЕТБГЙПООПК УТЕДЩ.

дМС ХДБМЕОЙС УМХЦВЩ ОЕПВИПДЙНП:

1. ъБТЕЗЕУФТЙТПЧБФШУС Ч УЙУФЕНЕ ЛБЛ РПМШЪПЧБФЕМШ root.
2. чЩРПМОЙФШ ЛПНБОДХ:

pkgrm CDBDagent

йОЖПТНБГЙС ПФ БЗЕОФПЧ

дМС РПМХЮЕОЙС ЙОЖПТНБГЙЙ П ТБВПФЕ УМЩЦВЩ ЕЕ ОБДП ЪБРХУФЙФШ У РБТБНЕФТПН «status», ОБРТЙНЕТ:

AgentCheckDB -status
cdbd status

рПУМЕ ЧЩРПМОЕОЙС ЛПНБОДЩ, ОБ ЛПОУПМШ ДПМЦОБ ВЩФШ ЧЩДБОБ ЙОЖПТНБГЙС П ЧТЕНЕОЙ УФБТФБ БЗЕООФБ ЙМЙ ДЕНПОБ, ЛФП Й УЛПМШЛП ТБЪ Л ОЕНХ ПВТБЭБМУС ЪБ ЙОЖПТНБГЙЕК Й ЛПЗДБ ЬФП ВЩМП РПУМЕДОЙК ТБЪ.

дМС БЗЕОФБ Windows NT ЧПЪНПЦОП ЕЭЕ РТПУНПФТЕФШ УЙУФЕНОЩК ЦХТОБМ (Event) Ч ТБЪДЕМЕ РТЙМПЦЕОЙК (Application).

Источник

Stunnel на сервере и клиенте

Задача

Обеспечить доступ из «везде где есть интернет» к некоему ПО. Шифровать траффик между клиентской и серверной частью приложения, которое не умеет работать через SSL. Так же нужно иметь возможность ограничивать доступ некоторым пользователям при необходимости. По различным причинам основные реализации VPN отпали. В процессе поиска решения наткнулся на Stunnel, который идеально подошел. В данной статье постараюсь детально описать процесс настройки.

Статья по большей части составлена из рабочих заметок в довесок с претензиями на туториал, поэтому прошу спокойно относится к капитанству вида — «Первое, что мы сделаем — обновим систему».

Общее представление схемы работы:

ПО клиент (windows) > Stunnel > Интернет > Stunnel > ПО Сервер (linux)

Система: свежеустановленная ubuntu server 14.04 x64.

Приложение трафик которого нужно шифровать я называть не буду. Вместо него буду указывать ssh. Для теста подходит идеально, на мой взгляд.

Приступим

Первое, что мы сделаем — обновим систему:

Настроим и включим ufw:

При установке создаются:
— пользователь и группа stunnel4;
— интересные нам каталоги:

• /var/lib/stunnel4 здесь будет chroot окружение
• /etc/stunnel любой файл в этом каталоге оканчивающийся на .conf будет считаться конфигом
• /usr/share/doc/stunnel4/examples с примером конфига внутри

Проведем некоторые подготовительные мероприятия.

Разрешим автозапуск. В файле /etc/default/stunnel4 заменим ENABLED=0 на ENABLED=1:

Создадим папки для клиентских сертификатов. certs — разрешенные, crls — запрещенные (отозванные). О самих сертификатах чуть позже.

Создадим лог-файл и сменим владельца.

Я не считаю размещение логов в месте отличном от /var/log хорошей идеей, но заставить stunnel писать логи за пределы окружения мне не удалось.

Я буду использовать свой конфиг, но если он вам не подходит можно взять пример в /usr/share/doc/stunnel4/examples

Создадим конфигурационный файл:

Со следующим содержимым:

Ключи и сертификаты

Не большое отступление. В нашем случае stunnel проверяет только корректность пары сертификат/ключ и наличие сертификата в разрешенных или запрещенных. Самоподписанного сертификата более чем достаточно, и с технической стороны (stunnel) и со стороны поставленной задачи. Нет никакого смысла заморачиваться с собственным CA или с присутствием корневого сертификата в списке доверенных на клиенте или сервере.

Нам нужны пары сертификат/ключ для сервера и каждого клиента.

C помощью openssl создадим пару для сервера:

Отвечаем на вопросы:

И переместим их по назначению:

Как и где хранить клиентские сертификаты с ключами (за исключением каталогов certs и crls созданных ранее) решать вам. Я просто создам каталог clients в домашней директории своего пользователя и буду хранить их там на первых порах.

Создадим каталог и перейдем в него:

Создадим пару для клиента:

Как и при создании сертификата для сервера отвечаем на вопросы. Common Name будет другим например client.

Создадим еще одну пару:

Предположим, что clientcert.pem сертификат клиента которому доступ разрешен, а dnclientcert.pem сертификат клиента которому доступ запрещен. Скопируем сертификаты по нужным директориям.

Для каждого сертификата нужно создать хэш-ссылки (Возможно «хэш-ссылка» не корректное название, но оно очень точно передает суть). Это можно сделать с помощью утилиты c_rehash из пакета openssl. Мы же создадим небольшой скрипт для этих целей.

Со следующим содержимым:

Возможно будет более целесообразным разместить certlink.sh где нибудь в /usr/bin. Я пока не стал этого делать. Но выбор за вами.
Дадим права:

В результате в каталогах у нас должны появится ссылки вида 7469493f.0.

Stunnel на клиенте

На клиенте будем использовать версию stunnel аналогичную серверной. На сервере у нас 4.53. Забираем с одного из зеркал.

Если прямая ссылка перестанет работать, найти нужную версию можно так:

• Идем на stunnel.org в Downloads;
• В разделе Code Repositories выбираем зеркало и переходим. Например usenix.org.uk;
• Переходим в archive;
• Затем в 4.x;
• Забираем нужную версию.

Скачанный файл stunnel-4.53-installer.exe устанавливать не будем, просто распакуем содержимое в каталог stunnel4. В этот же каталог скопируем сертификат и ключ клиента, и сертификат сервера.

Редактируем файл stunnel.conf. У меня он имеет следующий вид:

Здесь debug = 7 только на момент отладки, потом можно понизить до 3 или 4. Также есть опции для «тихого режима» и сокрытия значка в трее все есть в man’e.

Запускаем stunnel.exe, и пробуем с помощью putty подключится к 127.0.0.1. Тестируем. Можно попробовать подключится с запрещенным сертификатом.

Полезные материалы

• stunnel(8) manual. Без комментариев;
• Защита сетевых сервисов с помощью stunnel на opennet.ru. Большая, полезная статья. Автор подробно разбирает несколько сценариев применения stunnel. Must read;
• OpenSSL xgu.ru. Много полезной информации об openssl. Скрипт certlink.sh взят из этого источника.

Приведенные здесь инструкции полностью работоспособны. Проверено 26.12.2014 ubuntu 14.04.01, stunnel 4.53.

В данный момент работаю над парсингом логов stunnel с выводом отчетов и автоматизацией создания/управления сертификатами. Так как в последнее время мне интересен golang, реализовано будет с помощью него. Если материал на эту тему интересен — дайте знать.

Источник

Createservice failed 0x431 stunnel

config of stunnel4, webmin.conf:

; A copy of some devices and system files is needed within the chroot jail

; Chroot conflicts with configuration file reload and many other features

; Remember also to update the logrotate configuration.

; Chroot jail can be escaped if setuid option is not used

; PID is created inside the chroot jail

; Debugging stuff (may useful for troubleshooting)

; * Service defaults may also be specified in individual service sections *

; Certificate/key is needed in server mode and optional in client mode

; Authentication stuff needs to be configured to prevent MITM attacks

; It is not enabled by default!

; Don’t forget to c_rehash CApath

; CApath is located inside chroot jail

; It’s often easier to use CAfile

; Don’t forget to c_rehash CRLpath

; CRLpath is located inside chroot jail

; Alternatively CRLfile can be used

; Disable support for insecure SSLv2 protocol

; Workaround for Eudora bug

; These options provide additional security at some performance degradation

; secure ciphens added by conf script

What version? Where are you running? Privileged/unprivileged?

Which version of TurnKey is this? If you’re unsure:

Also, where is it running? Which version of LXC is the LXC host running?

Is it a privileged or unprivileged container?

It’d also be good to know what ports are being listened on:

As well as the service status of the relevant services:

Thanks for you reply.

Thanks for you reply.

The version of turnkey linux is:

and it’s running on Proxmox as a LXC. the LXC is an UNPRIVILEGED Container and the template is:

The ‘netstat -tlnp’ cmad shows:

The status of Webmin is:

The status of stunnel4 is:

Like I said, it’s masked. I don’t know why. But when I unmasked it, the Webmin service cannot start.

On face value; looks like it’s working fine.

I’m not sure where your Stunnel config came from, but it looks like v15.x or earlier config. [apologies on that — re looking at your post, I can see that you posted /etc/stunnel/webmin.conf from v16.0]

In v16.x a separate instance of stunnel runs for each service (each instance is created from a template, with the vanilla default purposely masked). The v16.x+ default instances of Stunnel are named stunnel4@webmin & stunnel4@shellinabox respectively. You can check for them via systemctl as per usual:

However, having said that, your netstat output suggests that everything is working as it should be?! Note these lines:

Despite the fact that your Webmin status looks good, I note that it doesn’t appear to be running in your netstat output (by default, and as per your config posted earlier, it should be on port 10000).

So my suspicion is that you’ve hit a known issue with the Webmin service stability. Please try installing the new Webmin package as per the blog post and see if that fixes the issue. Fingers crossed it will.

Источник

Настройка интеграции stunnel ГИИС ДМДК

Настройка рабочего места

Для настройки интеграции 1с с сервисом ГИИС ДМДК, потребуется:

1. Скачать программу с официального сайта КриптоПро для создания TLS-туннеля stunnel.x86/64. Символы 86/64 обозначают разрядность вашей операционной системы, т.е. она или 32 битная или 64 битная.Как узнать разрядность читайте в этой статье.

Обратите внимание, stunnel.x86 — будет работать и на 32 битной и на 64 битной ОС. stunnel.x64 — только на 64 битных системах.

2. Создайте папку на диске C: под названием stunnel и скопируйте туда скачанный файл stunnel.x86.exe или stunnel.x64.exe.

3. Запустите командную строку от имени администратора и перейдите в каталог stunnel, выполнив команду cd c:stunnel.

4. Введите команду установки службы туннеля: c:stunnelstunnel.x64 -install для 64 биных ОС, или c:stunnelstunnel.x86 -install для 32 битных систем.

5. В каталоге c:windowssystem32 создайте или скачайте и скопируйте файл конфигурации stunnel.conf с содержимым:

output=c:stunnelstunnel.log
socket=l:TCP_NODELAY=1
socket=r:TCP_NODELAY=1
debug=7
[https]
client=yes
accept=127.0.0.1:1500
connect=195.209.130.9:443
cert=c:stunnelclicer.cer
verify=0

Вместо порта 1500, можно использовать любой другой свободный порт. В параметре connect — указывается IP адрес интеграционного сервиса, где:

• 195.209.130.9 — для промышленного контура;
• 195.209.130.19 — для тестового контура.

Скачать: http://testca2012.cryptopro.ru/cert/rootca.cer и установить корневой сертификат тестового Удостоверяющего центра в хранилище «Доверенные корневые центры сертификации»;

7. Создайте нового пользователя Windows.

8. В сеансе нового пользователя установите (пользовательский) сертификат, выпущенный на информационную систему Участника, в хранилище «Личное».

9. Откройте КриптоПро CSP, выберите вкладку «Сервис», нажмите кнопку «Протестировать», далее кнопку «По сертификату» и выберите личный сертификат. В открывшемся окне введите текущий пароль, обязательно поставив галочку «Сохранить пароль в системе» и нажмите «OK».

10. Откройте диспетчер сертификатов, выполнив команду certmgr.msc. Найдите и откройте личный сертификат, выберите вкладку «Состав», и нажмите кнопку «Копировать в файл». В открывшемся Мастере экспорта, необходимо экспортировать сертификат без закрытого ключа в формате Х.509 (.CER) в кодировке DER и сохранить его с именем clicer.cer в каталоге c:stunnel.

11. Откройте Службы, выполнив команду services.msc. Выберите службу Stunnel Service и установите для неё тип запуска «Автоматически», на вкладке вход в систему с учетной записью созданного пользователя и запустите службу.

На этом настройка завершена, что бы проверить настройку интеграционного сервиса, перейдите в браузере по адресу: 127.0.0.1:1500 и если все настроено правильно, появится логотип ГИИС ДМДК.

Источник

Цена вопроса: 10 000 ₽

Показать сообщения за:
Поле сортировки

• Список форумов ‹ Автомобильные темы ‹ РЕМЗОНА ‹ Audi A6 (C6) 2004 — 2011 ‹ 12 вольт

Вернуться в 12 вольт

Перейти:

Кто сейчас на конференции

Сейчас этот форум просматривают: нет зарегистрированных пользователей и гости: 1

Semen_Se	#1 Оставлено : 8 марта 2022 г. 15:28:51(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 19.01.2022(UTC) Сообщений: 2	Доброго времени суток! Настраиваю интеграцию с ГИИС ДМДК, сделал все как в инструкции. Служба запускается, но связи нет и в логах следующее: Пробовал и х64, и win32 — результата нет В один момент решил скачать и запустить stunnel_msspi.exe — первый раз вышло окно с логом [server down], второй раз — запустился и в трее иконка с зеленым цветом. Запускаю 1с и вижу, что связь с ГИИС ДМДК появилась. Но это не всегда, после перезагрузки не запускается. Сейчас я уже совсем в растерянности и не могу понять при каких условиях вообще связь появляется. (пока писал пост, решил проверить и запустил stunnel_msspi.exe двойным кликом — запустился зеленым в трее, глянул на службу stunnel — она остановлена) Как сделать, чтобы stunnel стабильно работал автоматически, без танцев и костылей?

two_oceans	#2 Оставлено : 10 марта 2022 г. 1:47:45(UTC)
Статус: Эксперт Группы: Участники Зарегистрирован: 05.03.2015(UTC) Сообщений: 1,598 Откуда: Иркутская область Сказал(а) «Спасибо»: 110 раз Поблагодарили: 388 раз в 363 постах	Добрый день. Не первая тема по ДМДК. Ну, во-первых, все ссылаются на «инструкцию», как будто написана тут на форуме, выглядит странно. Цитата: E_NO_CREDENTIALS: 0x8009030e Цитата: Как сделать, чтобы stunnel стабильно работал автоматически, без танцев и костылей? Полагаю, проблема в отсутствии прав пользователя, под которым запускается служба, на контейнер или в отсутствии сертификата в хранилище компьютера. Вкратце, если служба запускается под локальной системой, то хранить контейнер в реестре не выйдет. Как самый простой вариант, можно изменить пользователя, под которым запускается служба, на текущего (из-под которого работает запуск двойным кликом). Однако использование текущего пользователя для служб не рекомендовано из-за риска повредить реестр при внезапной остановке службы. Еще может быть не установлен криптопровайдер уровня ядра, он нужен для доступа к ключам гост из служб. Попробуйте «изменить» установку Криптопро CSP и проверить, что этот компонент установлен. Рекомендовано такое: скопировать контейнер вместо Реестра на другой считыватель (флешка/токен/несистемный раздел диска/Директория); установить сертификат в хранилище компьютера со ссылкой на контейнер компьютера (это можно сделать, перезапустив панель управления КриптоПро в режиме администратора и выбрав переключатель «компьютера»). Далее дать права на него через остнастку сертификаты (локальный компьютер — хранилище Личное — правой кнопкой мыши по нужному сертификату — все задачи — управление закрытыми ключами — дать нужному пользователю (системе, например) полные права). После этого служба сможет найти ключ и использовать его. Двойным же кликом Вы запускаете от текущего пользователя для которого сертификат и контейнер установлены и доступны — значок зеленый. Если на компьютере не требуется работа тоннеля когда никто не залогинен, то можно убрать службу, а ярлык на stunnel_msspi.exe закинуть в автозагрузку. По поводу «не всегда запускается» дело возможно в том, что служба и приложение используют один конфиг и слушают один порт (ну 1С же настроен на конкретный порт). С этим есть ограничение сокетов в Windows — 2 процесса не смогут слушать один и тот же адрес:порт, один из них завершается с ошибкой, что порт уже занят. Следовательно, хороший шанс что порт займет служба (не имеющая доступа к ключу), а завершится приложение (если stunnel_msspi вообще автозапускается) (который имеет доступ к ключу) и ничего работать не будет. Нужно из разнести на разные порты или оставить что-то одно. Отредактировано пользователем 10 марта 2022 г. 1:54:58(UTC)  | Причина: Не указана

Быстрый переход
 

Вы не можете создавать новые темы в этом форуме.

Вы не можете отвечать в этом форуме.

Вы не можете удалять Ваши сообщения в этом форуме.

Вы не можете редактировать Ваши сообщения в этом форуме.

Вы не можете создавать опросы в этом форуме.

Вы не можете голосовать в этом форуме.