Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error
2 Страницы12>
Stunnel под win
Опции
К последнему сообщению К первому непрочитанному
Предыдущая тема Следующая тема
Offline frolalex  
#1 Оставлено : 19 октября 2015 г. 11:01:37(UTC)
frolalex

Статус: Новичок

Группы: Участники
Зарегистрирован: 19.10.2015(UTC)
Сообщений: 4

Сказал(а) «Спасибо»: 1 раз
Установлен CSP 3.9
Через "C:\Program Files (x86)\Common Files\Crypto Pro\Shared\certs.ru.msc" в личные импортирован:
а) Сертификат Личный
б) Доверенные корневые центры


Установлен Stunnel с таким конфигом:
output=c:\stunnel\temp\stun.log
socket=l:TCP_NODELAY=1
socket=r:TCP_NODELAY=1
debug=7
[https]
client=yes
accept=10.0.3.32:1500
connect=icrs.nbki.ru:80
cert=C:\stunnel\temp\nbki.cer
verify=2


Сервис стартует от конкретного юзера.
При любом обращении на 1500 порт через IE получаем в логах:
2015.10.19 10:02:52 LOG7[4068:3792]: https accepted FD=512 from 10.0.3.32:56232
2015.10.19 10:02:52 LOG7[4068:3792]: Creating a new thread
2015.10.19 10:02:52 LOG7[4068:3792]: New thread created
2015.10.19 10:02:52 LOG7[4068:5864]: client start
2015.10.19 10:02:52 LOG7[4068:5864]: https started
2015.10.19 10:02:52 LOG7[4068:5864]: FD 512 in non-blocking mode
2015.10.19 10:02:52 LOG7[4068:5864]: TCP_NODELAY option set on local socket
2015.10.19 10:02:52 LOG5[4068:5864]: https connected from 10.0.3.32:56232
2015.10.19 10:02:52 LOG7[4068:5864]: FD 340 in non-blocking mode
2015.10.19 10:02:52 LOG7[4068:5864]: https connecting
2015.10.19 10:02:52 LOG7[4068:5864]: connect_wait: waiting 10 seconds
2015.10.19 10:02:52 LOG7[4068:5864]: connect_wait: connected
2015.10.19 10:02:52 LOG7[4068:5864]: Remote FD=340 initialized
2015.10.19 10:02:52 LOG7[4068:5864]: TCP_NODELAY option set on remote socket
2015.10.19 10:02:52 LOG7[4068:5864]: start SSPI connect
2015.10.19 10:02:52 LOG5[4068:5864]: try to read the client certificate
2015.10.19 10:02:52 LOG7[4068:5864]: open file C:\stunnel\temp\nbki.cer with certificate
2015.10.19 10:02:52 LOG3[4068:5864]: **** Error 0x8009030d returned by AcquireCredentialsHandle
2015.10.19 10:02:52 LOG3[4068:5864]: Credentials complete
2015.10.19 10:02:52 LOG3[4068:5864]: Error creating credentials
2015.10.19 10:02:52 LOG5[4068:5864]: Connection reset: 0 bytes sent to SSL, 0 bytes sent to socket
2015.10.19 10:02:52 LOG7[4068:5864]: free Buffers
2015.10.19 10:02:52 LOG7[4068:5864]: delete c->hContext
2015.10.19 10:02:52 LOG7[4068:5864]: delete c->hClientCreds
2015.10.19 10:02:52 LOG5[4068:5864]: incomp_mess = 0, extra_data = 0
2015.10.19 10:02:52 LOG7[4068:5864]: https finished (0 left)


Без Stunnel через IE зайти на https://icrs.nbki.ru/score получается. Получаю: HTTP Status 405 - HTTP method GET is not supported by this URL....


Вопрос, что надо для Stunnel надо сделать, чтобы избавиться от "Error 0x8009030d returned by AcquireCredentialsHandle"?
Вверх

Wanna join the discussion?! Login to your Форум КриптоПро forum account, or Register a new forum account.
Вверх  
Online Андрей Писарев  
#2 Оставлено : 19 октября 2015 г. 11:30:26(UTC)
Андрей *

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 26.07.2011(UTC)
Сообщений: 13,202
Мужчина
Российская Федерация

Сказал «Спасибо»: 538 раз
Поблагодарили: 2179 раз в 1704 постах

Цитата:
Через "C:\Program Files (x86)\Common Files\Crypto Pro\Shared\certs.ru.msc" в личные импортирован:
а) Сертификат Личный


Цитата:
Сервис стартует от конкретного юзера.


КриптоПРО CSP\Сервис\Протестировать\По сертификату - есть в списке личный сертификат?
Тестирование завершается успешно?
Техническую поддержку оказываем тут
Наша база знаний
Вверх
WWW
Offline frolalex  
#3 Оставлено : 19 октября 2015 г. 11:46:21(UTC)
frolalex

Статус: Новичок

Группы: Участники
Зарегистрирован: 19.10.2015(UTC)
Сообщений: 4

Сказал(а) «Спасибо»: 1 раз
Автор: Андрей * Перейти к цитате

Цитата:
Через "C:\Program Files (x86)\Common Files\Crypto Pro\Shared\certs.ru.msc" в личные импортирован:
а) Сертификат Личный


Цитата:
Сервис стартует от конкретного юзера.


КриптоПРО CSP\Сервис\Протестировать\По сертификату - есть в списке личный сертификат?
Тестирование завершается успешно?


При нажатии на "По сертификату..."
1. Открывается окно "Безопасность Windows", Выбор Сертификата. Выбираю сертификат по "ОК"
2. Прописываю в "Имя ключевого контейнера" = "Пользователя"
3. После "далее" вылазит окно, которое просит "Вставьте ключевой носитель "Пользователя"". С выбором "Реестр" и "Дисковод А". В первом: "Файл на найден", во втором "Отсутствует носитель".

Правильно я понимаю, что надо контейнер закрытого ключа перенести сначала в реестр?
В случае работы с НБКИ надо у них просить?
Вверх
Online Андрей Писарев  
#4 Оставлено : 19 октября 2015 г. 17:54:10(UTC)
Андрей *

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 26.07.2011(UTC)
Сообщений: 13,202
Мужчина
Российская Федерация

Сказал «Спасибо»: 538 раз
Поблагодарили: 2179 раз в 1704 постах
Автор: frolalex Перейти к цитате
Автор: Андрей * Перейти к цитате

Цитата:
Через "C:\Program Files (x86)\Common Files\Crypto Pro\Shared\certs.ru.msc" в личные импортирован:
а) Сертификат Личный


Цитата:
Сервис стартует от конкретного юзера.


КриптоПРО CSP\Сервис\Протестировать\По сертификату - есть в списке личный сертификат?
Тестирование завершается успешно?


При нажатии на "По сертификату..."
1. Открывается окно "Безопасность Windows", Выбор Сертификата. Выбираю сертификат по "ОК"
2. Прописываю в "Имя ключевого контейнера" = "Пользователя"
3. После "далее" вылазит окно, которое просит "Вставьте ключевой носитель "Пользователя"". С выбором "Реестр" и "Дисковод А". В первом: "Файл на найден", во втором "Отсутствует носитель".

Правильно я понимаю, что надо контейнер закрытого ключа перенести сначала в реестр?
В случае работы с НБКИ надо у них просить?


У Вас есть пользовательский сертификат и контейнер с закрытым ключом?

После пункта 1 - должно появиться имя контейнера автоматически, если личный сертификат был корректно установлен в Личное хранилище.
Вы импортировали файл (.cer) через консоль управления сертификатами? Тогда у Вас нет связи сертификата с контейнером (закрытый ключ).
Делайте по инструкции:
Инструкция стр. 38 и далее.
Техническую поддержку оказываем тут
Наша база знаний
Вверх
WWW
Offline frolalex  
#5 Оставлено : 20 октября 2015 г. 11:14:44(UTC)
frolalex

Статус: Новичок

Группы: Участники
Зарегистрирован: 19.10.2015(UTC)
Сообщений: 4

Сказал(а) «Спасибо»: 1 раз
Автор: Андрей * Перейти к цитате


У Вас есть пользовательский сертификат и контейнер с закрытым ключом?

После пункта 1 - должно появиться имя контейнера автоматически, если личный сертификат был корректно установлен в Личное хранилище.
Вы импортировали файл (.cer) через консоль управления сертификатами? Тогда у Вас нет связи сертификата с контейнером (закрытый ключ).
Делайте по инструкции:
Инструкция стр. 38 и далее.


Пользовательского сертификата и контейнера нет. Соответственно, по доке не могу сделать, так как Ключевых контейнеров нет.
Письмо-ответ из НБКИ пришел, что закрытого ключа и личного сертификата не требуется.

Убрал ссылку на сертификат из conf. Дошел до handshake. буду дальше копать...
2015.10.20 11:00:33 LOG7[5276:4396]: https accepted FD=228 from 10.0.3.32:60933
2015.10.20 11:00:33 LOG7[5276:4396]: Creating a new thread
2015.10.20 11:00:33 LOG7[5276:4396]: New thread created
2015.10.20 11:00:33 LOG7[5276:9632]: client start
2015.10.20 11:00:33 LOG7[5276:9632]: https started
2015.10.20 11:00:33 LOG7[5276:9632]: FD 228 in non-blocking mode
2015.10.20 11:00:33 LOG7[5276:9632]: TCP_NODELAY option set on local socket
2015.10.20 11:00:33 LOG5[5276:9632]: https connected from 10.0.3.32:60933
2015.10.20 11:00:33 LOG7[5276:9632]: FD 336 in non-blocking mode
2015.10.20 11:00:33 LOG7[5276:9632]: https connecting
2015.10.20 11:00:33 LOG7[5276:9632]: connect_wait: waiting 10 seconds
2015.10.20 11:00:33 LOG7[5276:9632]: connect_wait: connected
2015.10.20 11:00:33 LOG7[5276:9632]: Remote FD=336 initialized
2015.10.20 11:00:33 LOG7[5276:9632]: TCP_NODELAY option set on remote socket
2015.10.20 11:00:33 LOG7[5276:9632]: start SSPI connect
2015.10.20 11:00:33 LOG3[5276:9632]: Credentials complete
2015.10.20 11:00:33 LOG7[5276:9632]: 121 bytes of handshake data sent
2015.10.20 11:00:33 LOG5[5276:9632]: 2920 bytes of handshake(in handshake loop) data received.
2015.10.20 11:00:33 LOG3[5276:9632]: **** Error 0x80090308 returned by InitializeSecurityContext (2)
2015.10.20 11:00:33 LOG3[5276:9632]: Error performing handshake
2015.10.20 11:00:33 LOG5[5276:9632]: Connection reset: 0 bytes sent to SSL, 0 bytes sent to socket
2015.10.20 11:00:33 LOG7[5276:9632]: free Buffers
2015.10.20 11:00:33 LOG7[5276:9632]: delete c->hContext
2015.10.20 11:00:33 LOG7[5276:9632]: delete c->hClientCreds
2015.10.20 11:00:33 LOG5[5276:9632]: incomp_mess = 0, extra_data = 0
2015.10.20 11:00:33 LOG7[5276:9632]: https finished (0 left)
Вверх
Online Андрей Писарев  
#6 Оставлено : 20 октября 2015 г. 11:25:05(UTC)
Андрей *

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 26.07.2011(UTC)
Сообщений: 13,202
Мужчина
Российская Федерация

Сказал «Спасибо»: 538 раз
Поблагодарили: 2179 раз в 1704 постах
Цитата:
connect=icrs.nbki.ru:80


Почему?
Техническую поддержку оказываем тут
Наша база знаний
Вверх
WWW
thanks 1 пользователь поблагодарил Андрей * за этот пост.
frolalex оставлено 20.10.2015(UTC)
Offline frolalex  
#7 Оставлено : 20 октября 2015 г. 12:46:30(UTC)
frolalex

Статус: Новичок

Группы: Участники
Зарегистрирован: 19.10.2015(UTC)
Сообщений: 4

Сказал(а) «Спасибо»: 1 раз
Автор: Андрей * Перейти к цитате
Цитата:
connect=icrs.nbki.ru:80


Почему?


в IE добился открытия страницы:
http://10.0.3.32:1500/score2


с такими CONF:
output=c:\stunnel\temp\stun.log
socket=l:TCP_NODELAY=1
socket=r:TCP_NODELAY=1
debug=7
[https]
client=yes
accept=10.0.3.32:1500
connect=icrs.nbki.ru:443
verify=0


и с таким логом:
2015.10.20 12:25:31 LOG7[4168:5432]: https accepted FD=328 from 10.0.3.32:61220
2015.10.20 12:25:31 LOG7[4168:5432]: Creating a new thread
2015.10.20 12:25:31 LOG7[4168:5432]: New thread created
2015.10.20 12:25:31 LOG7[4168:2848]: client start
2015.10.20 12:25:31 LOG7[4168:2848]: https started
2015.10.20 12:25:31 LOG7[4168:2848]: FD 328 in non-blocking mode
2015.10.20 12:25:31 LOG7[4168:2848]: TCP_NODELAY option set on local socket
2015.10.20 12:25:31 LOG5[4168:2848]: https connected from 10.0.3.32:61220
2015.10.20 12:25:31 LOG7[4168:2848]: FD 404 in non-blocking mode
2015.10.20 12:25:31 LOG7[4168:2848]: https connecting
2015.10.20 12:25:31 LOG7[4168:2848]: connect_wait: waiting 10 seconds
2015.10.20 12:25:31 LOG7[4168:2848]: connect_wait: connected
2015.10.20 12:25:31 LOG7[4168:2848]: Remote FD=404 initialized
2015.10.20 12:25:31 LOG7[4168:2848]: TCP_NODELAY option set on remote socket
2015.10.20 12:25:31 LOG7[4168:2848]: start SSPI connect
2015.10.20 12:25:32 LOG3[4168:2848]: Credentials complete
2015.10.20 12:25:32 LOG7[4168:2848]: 122 bytes of handshake data sent
2015.10.20 12:25:32 LOG5[4168:2848]: 1220 bytes of handshake(in handshake loop) data received.
2015.10.20 12:25:32 LOG5[4168:2848]: 210 bytes of handshake data sent
2015.10.20 12:25:32 LOG5[4168:2848]: 31 bytes of handshake(in handshake loop) data received.
2015.10.20 12:25:32 LOG5[4168:2848]: Handshake was successful
2015.10.20 12:25:32 LOG5[4168:2848]: PerformClientHandshake finish
2015.10.20 12:25:32 LOG5[4168:2848]: Verify_level = 0, skipping Server certificate verification
2015.10.20 12:25:32 LOG7[4168:2848]: add ssl read socket to pool
2015.10.20 12:25:32 LOG7[4168:2848]: ssl_rd = 1, c->ssl_ptr = 0,c->sock_ptr=0,want_rd = 0
2015.10.20 12:25:32 LOG7[4168:2848]: Enter pool section on transfer
2015.10.20 12:25:32 LOG7[4168:2848]: data reciev from socket = 263
..... и т.д.


Надеюсь кому-нибудь поможет.

Андрей, огромное СПАСИБО!
Вверх
Offline aakosenkov  
#8 Оставлено : 6 апреля 2016 г. 18:06:07(UTC)
aakosenkov

Статус: Новичок

Группы: Участники
Зарегистрирован: 18.06.2015(UTC)
Сообщений: 3
Российская Федерация
Откуда: Тамбов
ca4server.cer.zip (2kb) загружен 3 раз(а).Всем добрый вечер!
Пытаюсь настроить stunnel на винде.
Всё устанавливается как положено, но при запуске службы появляется ошибка 1067 Процесс был неожиданно завершён.
Кто то сталкивался?
Debug показывает лог и конфиг сервера:

output=c:\cryptopro\stun.log
socket = l:TCP_NODELAY=1
socket = r:TCP_NODELAY=1
debug = 7
[https]
accept = 192.168.100.8:1502
connect = 192.168.100.160:80
cert=C:\cryptopro\ca4.cer
verify=1
Лог:
2016.04.06 16:53:22 LOG7[2420:6124]: FD 524 in non-blocking mode
2016.04.06 16:53:22 LOG7[2420:6124]: TCP_NODELAY option set on local socket
2016.04.06 16:53:22 LOG5[2420:6124]: https connected from 192.168.100.8:53864
2016.04.06 16:53:22 LOG7[2420:6124]: accept_handshake start
2016.04.06 16:53:22 LOG7[2420:6124]: SSPINegotiate start
2016.04.06 16:53:22 LOG7[2420:6124]: reading in SSPINeg err = 423
2016.04.06 16:53:22 LOG7[2420:6124]: Recieve 423 bytes from client on SSPINegotiateLoop
2016.04.06 16:53:22 LOG7[2420:6124]: AcceptSecurityContext finish, scRet = -2146893048
2016.04.06 16:53:22 LOG3[2420:6124]: Accept Security Context Failed with error code 80090308
2016.04.06 16:53:22 LOG3[2420:6124]: Couldn't connect
2016.04.06 16:53:22 LOG5[2420:6124]: Connection reset: 0 bytes sent to SSL, 0 bytes sent to socket
2016.04.06 16:53:22 LOG7[2420:6124]: free Buffers
2016.04.06 16:53:22 LOG7[2420:6124]: delete c->hContext
2016.04.06 16:53:22 LOG5[2420:6124]: incomp_mess = 0, extra_data = 0
2016.04.06 16:53:22 LOG7[2420:6124]: https finished (0 left)
2016.04.06 17:13:07 LOG7[2420:7536]: https accepted FD=492 from 192.168.100.180:39884
2016.04.06 17:13:07 LOG7[2420:7536]: Creating a new thread
2016.04.06 17:13:07 LOG7[2420:7536]: New thread created
2016.04.06 17:13:07 LOG7[2420:3648]: client start
2016.04.06 17:13:07 LOG7[2420:3648]: https started
2016.04.06 17:13:07 LOG7[2420:3648]: FD 492 in non-blocking mode
2016.04.06 17:13:07 LOG7[2420:3648]: TCP_NODELAY option set on local socket
2016.04.06 17:13:07 LOG5[2420:3648]: https connected from 192.168.100.180:39884
2016.04.06 17:13:07 LOG7[2420:3648]: accept_handshake start
2016.04.06 17:13:07 LOG7[2420:3648]: SSPINegotiate start
2016.04.06 17:13:17 LOG7[2420:3648]: reading in SSPINeg err = 4
2016.04.06 17:13:17 LOG7[2420:3648]: Recieve 4 bytes from client on SSPINegotiateLoop
2016.04.06 17:13:17 LOG7[2420:3648]: AcceptSecurityContext finish, scRet = -2146893032
2016.04.06 17:13:17 LOG7[2420:3648]: No data sleep, incomp_mess=0
2016.04.06 17:13:20 LOG7[2420:3648]: reading in SSPINeg err = 5
2016.04.06 17:13:20 LOG7[2420:3648]: Recieve 5 bytes from client on SSPINegotiateLoop
2016.04.06 17:13:20 LOG7[2420:3648]: AcceptSecurityContext finish, scRet = -2146893048
2016.04.06 17:13:20 LOG3[2420:3648]: Accept Security Context Failed with error code 80090308
2016.04.06 17:13:20 LOG3[2420:3648]: Couldn't connect
2016.04.06 17:13:20 LOG5[2420:3648]: Connection reset: 0 bytes sent to SSL, 0 bytes sent to socket
2016.04.06 17:13:20 LOG7[2420:3648]: free Buffers
2016.04.06 17:13:20 LOG7[2420:3648]: delete c->hContext
2016.04.06 17:13:20 LOG5[2420:3648]: incomp_mess = 1, extra_data = 0
2016.04.06 17:13:20 LOG7[2420:3648]: https finished (0 left)

клиента:
output=c:\cryptopro\stun.log
socket = l:TCP_NODELAY=1
socket = r:TCP_NODELAY=1
debug = 7
[https]
client = yes
accept = 192.168.100.8:1502
connect = 192.168.100.160:80
cert=C:\cryptopro\ca4.cer
verify=1
лог:
2016.04.06 17:41:21 LOG5[3280:4560]: stunnel 4.18 on x86-pc-unknown
2016.04.06 17:41:21 LOG5[3280:4560]: Threading:WIN32 Sockets:SELECT,IPv6
2016.04.06 17:41:21 LOG5[3280:4560]: No limit detected for the number of clients
2016.04.06 17:41:21 LOG7[3280:4560]: FD 140 in non-blocking mode
2016.04.06 17:41:21 LOG7[3280:4560]: SO_REUSEADDR option set on accept socket
2016.04.06 17:41:21 LOG3[3280:4560]: Error binding https to 192.168.100.8:1502
2016.04.06 17:41:21 LOG3[3280:4560]: bind: Can't assign requested address (WSAEADDRNOTAVAIL) (10049)

Все сертификаты вставлены в личные и доверенные, контейнер без пароля.
Вверх
Offline basid  
#9 Оставлено : 7 апреля 2016 г. 8:46:43(UTC)
basid

Статус: Активный участник

Группы: Участники
Зарегистрирован: 21.11.2010(UTC)
Сообщений: 1,076

Сказал(а) «Спасибо»: 7 раз
Поблагодарили: 147 раз в 132 постах
Вверх
Offline aakosenkov  
#10 Оставлено : 7 апреля 2016 г. 10:09:49(UTC)
aakosenkov

Статус: Новичок

Группы: Участники
Зарегистрирован: 18.06.2015(UTC)
Сообщений: 3
Российская Федерация
Откуда: Тамбов

WSAEADDRNOTAVAIL 10049: Cannot assign requested address

Невозможно присвоить требуемый адрес.
Запрашиваемый адрес не является действительным в его контексте. Это обычно является результатом попытки привязать к адресу , который не действителен для локального компьютера. Это также может быть результатом подключения , SendTo , WSAConnect , WSAJoinLeaf или WSASendTo , когда удаленный адрес или порт не является допустимым для удаленного компьютера (например, адрес или порт 0).

Спасибо.
Я так понимаю это изза некорректно работающего сервера. Но сервер запущен в режиме дебуг. При запуске службы выскакивает ошибка 1067 Процесс был неожиданно завершён. В логах винды вот:Служба "Stunnel Service" неожиданно прервана. Это произошло (раз): 36.

может кто то помоч?
Вверх
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Guest (3)
2 Страницы12>
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.

Privacy Policy | Форум YAF.NET | YAF.NET © 2003-2024, Yet Another Forum.NET