14 июль 2021 10:13 — 14 июль 2021 10:30 #18899
от Alex_04
sect14 пишет: Я тоже никак не могу зайти в ЭБ. Заменил сертификат все ровно ругается.
т.е. ?
1. В настройках ТЛСа — Серверные сер-ты — «ИМПОРТИРОВАТЬ» выполнили?
2. Импортировали файл именно нового серверного сер-та: lk.budget.gov.ru.CRT ?
3. В настройках ТЛСа — Серверные сер-ты — 2 щелчками откройте все серты, сколько там есть, посмотрите на вкладку «Состав» поле «Дополнительное имя субъекта«
4. У нового необходимого серверного серта ТЛС там. д.б. «DNS-имя=lk.budget.gov.ru«
5. ДЕЙСТВИТЕЛЕН
с 30.06.2021 по 30.09.2022
?
DenisKa_ пишет: если проблема всё таки на их стороне, не хотелось бы что то менять на многих локальных своих машинах, неивестно как это отразится когда они исправят её, но спс за совет
«DenisKa_», сомнения понятны, но предлагаемое, имхо, точно не испортит ничего. Все необходимые для работы не только ТЛС списки отзыва сертов подгрузятся при выполнении импортирования CRL в настройках ТЛСа — проверено.
Но если это не помогает — тогда точно какой-то косяк на сервере(ах) ТЛСа, остается только ждать когда починят.
ИМХО: сегодня последний день действия старого серверного серта, отсюда и трабла: пересекаются данные списков отзыва как для старого, так для нового серверных сертов. Дождаться завтрашнего дня и посмотреть что будет — может «само устаканится»? 
«Мы будем жить плохо, но недолго.» (© Черномырдин В.С.)
Пожалуйста Войти или Регистрация, чтобы присоединиться к беседе.
На чтение 3 мин. Просмотров 609 Опубликовано 15.12.2019
crl не прошел проверку — такую ошибку стало выдавать у моих специалистов при входе в Электронный Бюджет.
Лечится довольно просто, перезапуском службы Континент ТЛСа.
Перезапускаем службу, перезаходим в ЭБ, выбираем нужный сертификат для входа и работаем дальше.
Для тех кто не хочет делать это в ручную или незнает как перезапустить службу — в этой статье есть сам батник (который можно скачать), а так же его содержимое.
Государственная интегрированная информационная система управления
общественными финансами «Электронный бюджет»
Подсистема обеспечения информационной безопасности подсистем
Инструкция по обновлению сертификата сервера TLS на автоматизированном рабочем месте пользователя системы «Электронный бюджет»
Содержание
- Содержание
- СПИСОК ТЕРМИНОВ И СОКРАЩЕНИЙ
- ОПИСАНИЕ ОПЕРАЦИЙ
- Копирование нового сертификата сервера TLS на АРМ пользователя
- Замена сертификата сервера TLS в ПО «Континент TLS Клиент»
Содержание
СПИСОК ТЕРМИНОВ И СОКРАЩЕНИЙ
В документе используются следующие термины и сокращения:
| Текст заголовка | Текст заголовка |
|---|---|
| АРМ | автоматизированное рабочее место пользователя системы «Электронный бюджет»; |
| ОС | операционная система; |
| Пользователь | зарегистрированный в системе «Электронный бюджет» сотрудник организации, которому предоставлен доступ к определенным функциям в системе «Электронный бюджет», в соответствии с заявкой на подключение; |
| Система «Электронный бюджет» | государственная интегрированная информационная система управления общественными финансами «Электронный бюджет»; |
ОПИСАНИЕ ОПЕРАЦИЙ
Копирование нового сертификата сервера TLS на АРМ пользователя
Для копирования файла сертификата сервера TLS в локальную директорию АРМ пользователя необходимо:
-
Открыть в веб-обозревателе официальный сайта Федерального казначейства, перейдя по адресу в сети Интернет: www.roskazna.ru
Замена сертификата сервера TLS в ПО «Континент TLS Клиент»
Внимание: Настройки внешнего прокси-сервера могут отличаться от настроек, приведенных в настоящей инструкции. Настройки внешнего прокси-сервера не изменяются в рамках работ по замене сертификата сервера TLS, и должны соответствовать настройкам, используемым в организации пользователя.
-
Для замены сертификата сервера TLS в ПО «Континент TLS Клиент» на АРМ пользователя необходимо:
- Выполнить запуск диалога «Континент TLS Клиент: настройка сервиса». Для этого в меню «Пуск» ввести «Континент TLS клиент» и щелкнуть по найденному элементу.
- В разделе «Настройки защищаемого сервера» в поле «Сертификат» указать файл сертификата сервера TLS, скопированный в локальную директорию в п.4 раздела 2.1 настоящего Руководства.
Решение проблемы CRL не прошел проверку в Электронном бюджете состоит в том, что не установлены новые корневые сертификаты.
Для этого переходим на страницу http://crl.roskazna.ru/crl/ скачиваем все корневые сертификаты с расширение .crt с помощью Internet Explorer.
Устанавливаем скаченные корневые сертификаты в Доверенные корневые центры сертификации.
Всем привет!
Сегодня особенный привет работникам бюджетной сферы. Поговорим о наболевшем. О работе в системе ГИС «Электронный бюджет». Который просто кишит ошибками.
Вот эта ошибка: «crl сертификата сервера не загружен или устарел» , по запросу на которую вы сюда и пришли, она тянется с августа 2020г. Тогда в электронном бюджете произошли большие изменения, и вместе с ними, например, «приклеились» и всякие ошибки, которые до сих пор не могут быть устранены в автоматическом режиме в «полюбившемся» вам континент tls 2.0. Уж извините за сарказм.
Однако, вернёмся к нашим баранам… Такая у вас сейчас ошибка?
Если вы видите такую ошибку в своём TLS — клиенте, значит нужно установить «список отзыва» вручную
Проблема в том, что ещё 2 года назад программисты УФК говорили, что обычные пользователи не должны выискивать вручную в интернете «рецепты», и всё должно делаться автоматически в Континент TLS 2.0 «по кнопке»:
На этом скрине по задумке авторов — создателей ПО Континент TLS 2.0, мы, пользователи системы «Электронный бюджет», должны при возникновении подобных проблем лишь нажимать кнопку «обновить». Но .. реальность как всегда несколько иная… чем ожидания.
Да, кстати, если при попытке войти в электронный бюджет ПОСЛЕ выбора сертификата пользователя вылезает ошибка вида: «Необходимо обновить CRL серверного сертификата», то рецепт избавления тот же. Читаем внимательно текст НИЖЕ:
1. Перед тем как устанавливать список отзыва, необходимо вручную скачать и установить новый серверный сертификат для сервера «Континент TLS VPN» Инструкция с официального сайта Федерального казначейства . На рис.2 стрелочками указано как это сделать.
2. Теперь переходим к процедуре установки «списка отзыва»
Есть некая ссылка… — Вот она (http://crl.roskazna.ru/crl/)
По ней надо пройти, и вы увидите заголовок:
Сертификаты и Списки аннулированных сертификатов Удостоверяющего центра Федерального казначейства:
Список этот будет меняться с течением времени. Но ссылка работает пока. Это файлы с расширением .CRL на текущий момент их 6. Но не суть важно. Главное понять как их устанавливать. Итак, скачиваем все .CRL — файлы с этой страницы в какую-либо папку:
И правой мышкой, по очереди на каждом файле, нажимаем и выбираем в меню «Установить список отзыва CRL». Следуйте несложным инструкциям после этого (грубо говоря жмём на все вопросы «ОК», «далее» и т.п.)
После этого в TLS — клиенте на закладке «СЕРВЕРНЫЕ СЕРТИФИКАТЫ» вместо зловещего «требуется обновление» или «не найден» , «не действителен» изменится тут же на «Действителен», и можно работать. Вот такой вот он… Электронный бюджет… Желаю всем, чтобы это шаманство и вам помогло, ибо мне оно помогло..)
P.S. Данный рецепт получил от тех.поддержки УФК.
Настройка АРМ Электронного бюджета происходит в несколько этапов, они не сложные, но требуют внимательности. Делаем все по инструкции по настройке электронного бюджета. Коротко и по делу…
Электронный бюджет настройка рабочего места
Корневой сертификат электронный бюджет
Создайте папку key в Моих документах, чтобы хранить в этой папке скаченные сертификаты:
На сайте http://roskazna.ru/gis/udostoveryayushhij-centr/kornevye-sertifikaty/ в меню ГИС -> Удостоверяющий центр -> Корневые сертификаты, необходимо скачать «Корневой сертификат (квалифицированный)» (см. рисунок), либо если вами была получена флешка с сертификатами скопируйте их с папки Сертификаты.
Сертификат Континент TLS VPN
Второй сертификат который необходимо скачать, это сертификат Континент TLS VPN, но я не смог найти на новом сайте roskazna, поэтому ставлю ссылку со своего сайта. Скачиваем сертификат Континент TLS VPN в папку key, он нам пригодиться позднее, когда будем настраивать программу Континент TLS клиент.
Устанавливаем скаченный Корневой сертификат (квалифицированный) для работы с электронным бюджетом.
В меню ПУСК -> Все программы -> КРИПТО-ПРО -> запустите программу Сертификаты.
Перейдите в пункт Сертификаты как показано на рисунке ниже:
Заходим в меню Действие — Все задачи — Импорт, появится окно Мастер импорта сертификатов — Далее — Обзор — Находим скаченный Корневой сертификат (квалифицированный)
в нашем случае он находиться в Моих документах в папке key
Если все сделали правильно, то корневой сертификат УЦ Федерального казначейства появиться в папке сертификаты.
Установка «Континент TLS Клиент» для работы с электронным бюджетом
Continent_tls_client_1.0.920.0 можно найти в интернете.
Распаковываем скаченный архив, заходим в папку CD и запускаем ContinentTLSSetup.exe
Из пункта нажимаем на Континент TLS Клиент KC2 и запускаем установку.
Принимаем условия
В папке назначения оставляем по дефолту
В окне запуск конфигуратора, ставим галочку на Запустить конфигуратор после завершения установки.
При установке появиться окно Настройка сервиса:
Адрес — указываем lk.budget.gov.ru
Сертификат — выбираем второй сертификат скаченный ранее в папке key.
Нажимаем ОК и завершаем установку, Готово.
На запрос о перезагрузке операционной системы отвечаем Нет.
Установка средства электронной подписи «Jinn-Client»
Скачать программу Jinn-Client можно в интернете.
Заходим в папку Jinn-client — CD, запускаем setup.exe
Нажимаем из списка Jinn-Client, запускается установка программы
Не обращаем внимания на ошибку, нажимаем Продолжить, Далее, принимаем соглашение и нажимаем кнопку Далее.
Введите выданный лицензионный ключ
Устанавливаем программу по умолчанию, нажимаем Далее
Завершаем установку, на вопрос о перезагрузке операционной системы отвечаем Нет
Установка модуля для работы с электронной подписью «Cubesign»
Если будет нужен архив с программой, пишите в комментариях.
Запускаем установочный файл cubesign.msi
Настройка браузера Mozilla Firefox для работы с Электронным бюджетом.
1. Откройте меню «Инструменты» и выберите пункт «Настройки».
2. Перейти в раздел «Дополнительные» на вкладку «Сеть»
3. В секции настроек «Соединение» нажать кнопку «Настроить…».
4. В открывшемся окне параметров соединения установить значение
«Ручная настройка сервиса прокси».
5. Задать значения полей HTTP-прокси: 127.0.0.1; Порт: 8080.
6. Нажать кнопку «ОК».
7. В окне «Настройки» нажать кнопку «Ок».
Вход в личный кабинет Электронного бюджета
Откроется окно с выбором сертификата для входа в личный кабинет Электронного бюджета.
Выбираем сертификат для входа в Личный кабинет Электронного бюджета, если есть пароль на закрытую часть сертификата пишем и нажимаем ОК, после откроется Личный кабинет Электронного бюджета.
Одна из самых распространенных ошибок программы АРМ «Электронный бюджет» — ошибка возникающая при подключению к серверу, имеющая индексный номер 434. Решить ее довольно просто, в большинстве случаев помогает всего 2 действия:
1. Обновление сборки Континент TLS
до актуальной версии. Например, версия номер 920 работала нестабильно и часто соединение завершалось 434 ошибкой «Сервер назначения недоступен». Актуальную версию можно скачать с сайта securitycode.ru.
2. Проверка правильности ввода адреса
личного кабинета пользователя программы «Электронный бюджет» в Континент TLS, а также номера порта (8080). В строке не должно стоять пробелов или каких-либо других символов ни в начале строки, ни в конце. Правильным будет адрес: lk.budget.gov.ru
(как на фото). Если же вы настраиваете прокси-сервер через браузер — он должен быть настроен соответствующим образом. Если вы не работаете через прокси-сервер — галочка в настройках TLS стоять не должна. Об этом ниже.
Ошибка 434 «Сервер назначения недоступен». Как убрать?
Если два вышеперечисленных варианта решения проблем вам не помогли (обновление сборки и правильность написания адреса личного кабинета) — значит проблема скорее всего кроется в неправильной установке корневых сертификатов удостоверяющего центра или настройках прокси в браузере и она тоже решаема.
— Касаемо сертификатов
— некоторые пользователи при неправильной установке программы ставят корневые сертификаты УЦ и TLS в Реестр, тогда как по инструкции правильно — в Локальный компьютер. В этом случае поможет перемещение сертификатов.
Если вы выбираете настройку прокси-сервера в браузере — она должна быть включена правильным образом. Надо указать тип прокси — HTTP и поставить галочку, что прокси-сервер будет использоваться для всех протоколов. Пример настройки браузера Firefox ниже.
Распространенные ошибки при подключении к ГИИС
«Электронный бюджет
»
При возникновении проблем с подключением к ГИИС «Электронный бюджет» необходимо проверить настройки:
1. вход в личный кабинет осуществляется по ссылкеhttp://
lk
.
budget
.
gov
.
ru
/
udu
—
webcenter
;
2. проверить настройки«Континент TLSVPNКлиент».
Открыть конфигуратор настроек (Пуск >Все программы > Код Безопасности >Client> Настройка Континент TLSклиента), «Порт»должно быть указано значение 8080
, «Адрес»-lk.
Отметки «Использовать внешний прокси-сервер» не должно быть, если организация не использует внешний прокси, «Требовать поддержку RFC 5746» можно убрать.
После добавления сертификата Континента TLSв поле «Сертификат»должно быть указано «<»;
Рисунок 1. Настройка сервиса
3. проверить настройки обозревателя.
На примере браузера Mozilla FireFox, запустить обозреватель, открыть параметры соединения (Главное менюбраузера «Инструменты»>«Настройки»> вкладка «Дополнительные»> вкладка «Сеть»> кнопка «Настроить»).Выбрать «Ручная настройка сервиса прокси», в поле «HTTP прокси»указать значение 127.0.0.1, «Порт»- 8080. Поставить отметку «Использовать этот прокси-сервер для всех протоколов».
Вполе«Не использовать прокси для» не должно быть указано значение 127.0.0.1.
Рисунок 2. Параметры соединения
Типичные ошибки при подключении к ГИИС
«Электронный бюджет
»
Варианты решения: 1) Отключить антивирус. В случае решения проблемы – изменить параметры антивируса 2) Проверить настройки TLS и обозревателя.
2.
403 Доступ запрещен. Сертификат сервера отличается от заданного в настройках. Отличается длина сертификатов.
Решение: Проверить указанный в настройках TLS сертификат по наименованию в строке. Должно быть «<».
3.
Не выдает окно выбора сертификата.
Решение: Убрать галочку «Требовать поддержку RFC 5746» если стоит. В противном случае проверить остальные настройки.
4.
403 Доступ запрещен. Не найден корневой сертификат.
Решение: Повторная установка сертификата УЦ Федерального казначейства (если был уже установлен).
Для WindowsXP:
Пуск >Выполнить>mmc>консоль>добавить или удалить оснастку>добавить «сертификаты»(Рис. 3) >моей учетной записи>Готово >ОК>развернуть список >открыть строку «доверенные корневые центры» — «сертификаты»>на пустом месте окна с сертификатами нажать правую кнопку мыши и выбрать (Рис. 4)>все задачи >импорт>
Рисунок 3
Рисунок 4
Для Windows 7:
Пуск >Выполнить>mmc>файл>добавить или удалить оснастку>добавить оснастку «сертификаты» (Рис. 5)>добавить>моей учетной записи>Готово>ОК>развернуть содержимое и встать на строку «доверенные корневые центры»- «сертификаты» (Рис. 6)>на пустом месте окна с сертификатами нажать правую кнопку мыши и выбрать>все задачи >импорт>выбрать нужный сертификат и установить.
Рисунок 5
#1
Gluzer
-
- Posters
- 101 Сообщений:
Member
Отправлено 25 Июль 2019 — 14:04
Коллеги, день добрый.
Взамен ГОСТа Р 34.11/34.10-2001 приказали использовать Р 34.11-2012/34.10-2012. Континент TLS обновили до 2 версии, jinn до последней. При подключении к сайту Электронного бюджета lk2012.budget.gov.ru появляется ошибка Континента TLS о не поддерживаемом «чего-то там». Настраиваем DrWeb. Внесли сайт в исключения офисного контроля. Пытаемся зайти в Эл бюджет. Континент выдаёт ошибку типа — при авторизации связь была внезапно оборвана. Снесли DrWeb и всё заработало. На машине установлен DrWeb агент 11.5 ФСТЭК (DrWeb сервер 11.00.2). Просьба помочь с настройками DrWeb, чтобы он не мешал работе на данном ресурсе.
- Наверх
#2
VVS
VVS
-
- Moderators
- 18 983 Сообщений:
The Master
Отправлено 25 Июль 2019 — 15:05
Воспроизведите проблему, после чего создайте отчёт DrWeb и приложите его сюда с указанием точного времени по часам компьютера, когда наблюдалась проблема (с точностью до нескольких секунд).
меня вот что возмутило. что даже не начинают толком диалог сразу дампы…… © alehas777
———————————
Антивирус это как ремень безопасности — всего лишь увеличивает шансы выжить или получить менее тяжкую травму при аварии.
Есть, однако, категория людей, которые рассматривают средства безопасности как ауру неуязвимости. © basid
- Наверх
#3
m-19
m-19
-
- Posters
- 5 Сообщений:
Newbie
Отправлено 25 Июль 2019 — 15:25
Добрый день. мне помогла тех поддержка. Откройте «Центр безопасности» в меню антивируса, перейдите в раздел «Исключения» — «Приложения», добавьте в список исключаемых приложений модуль Program FilesSecurity CodeContinent TLS ClientTlsClient.exe для SpIDer Gate и SpIDer Mail, задайте параметры «независимо от наличия цифровой подписи…», «Любой трафик» и «По всем адресам и портам». После сохранения настроек подождите несколько минут, чтобы изменения вступили в силу, а затем перезапустите клиент и проверьте, пропала ли проблема.
- Наверх
#4
Gluzer
Gluzer
-
- Posters
- 101 Сообщений:
Member
Отправлено 20 Ноябрь 2019 — 07:52
m-19, спасибо за подсказку. Ваш совет реально работает.
Прошу модератора закрыть данную тему.
Сообщение было изменено Gluzer: 20 Ноябрь 2019 — 07:54
- Наверх
— 79-07-93.
Работа в АИС происходит как обычно.
Программа для удаленного доступа TeamViewer QuickSupport.
Источник
Как настроить континент tsl
Континент TLS VPN клиент 2.0.1440 необходим для работы с сертификатом электронной подписи ГОСТ Р 34.10-2012. Континент TLS VPN клиент 1.0.920.0 не работает с сертификами ГОСТ 2012.
Данный дистрибутив скачан с сайта производителя и имеет ограничение в работе 14 дней. При регистрации Континента через интернет это ограничение снимается. Приобретать лицензию на СКЗИ «Континент TLS VPN Клиент» не надо. Клиенты казначейства также могут получить данное СКЗИ в местном казначействе.
Континет TLS VPN клиент используется для работы с информационными системами:
- 1. Электронный бюджет (Федеральное казачейство) budget.gov.ru
- 2. ФГИС ЦС (Главгосэкспертиза) fgiscs.minstroyrf.ru
Сертификаты сервера «Континент TLS VPN» (lk2012.budget.gov.ru и lk.budget.gov.ru)
Инструкция по установке Континент TLS VPN клиент 2.0.1440
Перед установкой Континента ТЛС версии 2 необходимо удалить предыдущую версию Континента (если конечно она была установлена) через Пуск > Панель управления > Программы > Программы и компоненты. Потом перезагрузить компьютер.
Скачанный дистрибутив необходимо разархивировать и запустить файл «Континент TLS-клиент.exe»
Далее в появившемся окне отмечаем чекбокс «Я принимаю условия лицензионного соглашения» и нажимаем кнопку «Установить».
После успешной установки предлагается перезагрузить компьютер — соглашаемся.
Далее необходимо зарегистрировать СКЗИ «Континент TLS VPN Клиент». При запуске незарегистрированной программы появится следующее окно.
Если в течение 14 дней не зарегистрировать программу, то по окончании демонстрационного периода работа программы будет приостановлена.
Если не зарегистрировались сразу, то форму регистрации ищите в Континент TLS Клиент на вкладке «Настройки» > раздел «Регистрация» > кнопка «Начать» под полем «Онлайн-регистрация».
В открывшемся окне заполняем поля: Фамилия, Отчество, Электронная почта, в поле Адрес сервера регистрации (если не было указано) пишем «registration.securitycode.ru», нажимаем «Готово».
После успешной регистрации всплывает окно. Ограничение демонстрационного периода (14 дней) снято.
Для регистрации Континент TLS Клиент работникам казначейства (компьютер находится в локальной сети казначейства) необходимо внести изменения (выделены красным) в файл PublicConfig.json.
<
«loggingConfig»: <
«fileLogMaxSize»: 3145728,
«fileLoggingDirectory»: «C:\Users\Public\ContinentTLSClient\»,
«fileLoggingEnabled»: true,
«sessionLogsEnabled»: false
>,
«serialNumber»: « test-50000 »
>
Настройка СКЗИ «Континент TLS VPN Клиент» для работы в Электронном бюджете
Запускаем Континент TLS VPN Клиент (через меню пуск или иконку на рабочем столе). В открывшемся окне нажимаем «Главная» > «Добавить» > «Ресурс».
В окне добавления ресурса прописываем следующее:
- Если используете сертификат пользователя по ГОСТ 2012, то пишем:
- Адрес: lk2012.budget.gov.ru
- Имя ресурса: lk2012.budget.gov.ru
- Удаленный порт: 443
- Тип: Прокси
- Если используете сертификат пользователя по ГОСТ 2001, то пишем:
- Адрес: lk.budget.gov.ru
- Имя ресурса: lk.budget.gov.ru
- Удаленный порт: 443
- Тип: Прокси
Нажимаем «Сохранить». В соединениях отобразиться «lk2012.budget.gov.ru» или/и «lk.budget.gov.ru».
Далее идем в раздел «Настройки» > «Основные». Ставим галочки в следующих чекбоксах:
- Проверять сертификаты по CRL
- Запускать при старте системы
- Скачивать CRL автоматически
- При запуске свернуть в системный трей
Получаем страницу с такими настройками. Нажимаем «Сохранить».
Следующий этап — настройка прокси. Раздел «Настройки» > «Внешний прокси» ставим галку «Настраивать автоматически» и сохраняем.
Следующий этап — настройка сертификатов. Идем на вкладку «Управление сертификатами» > раздел «Серверные сертификаты» > «Импортировать».
Если у вас нет серверных сертификатов, то качаем…
Сертификат сервера «Континент TLS VPN» ГОСТ Р 34.10-2012
Сертификат сервера «Континент TLS VPN» ГОСТ Р 34.10-2001
В результате добавления сертификатов видим следующее. 
Далее проверяем вкладку пользовательские сертификаты. Если вашего сертификата там нет, то его необходимо установить через КриптоПро. Инструкция по установке личного сертификата в КриптоПро тут. Если сертификат установлен, то видим следующее.
Идем на вкладку «Управление сертификатами» > раздел «CDP» > кнопка «Скачать CRL». 
На панели задач внизу справа нажать правой кнопкой мыши на значок «Континент TLS Клиента» и выбрать пункт «Сброс соединений».
Источник
Как настроить континент tsl
Для перехода на работу в СУФД – Портал с использованием СКЗИ «Континент TLS–клиент» вместо СКЗИ «Континент-АП» необходимо:
1. Установить на рабочее место СКЗИ «Континент TLS–клиент» версии 2.0.1440.
В случае, если на рабочем месте СКЗИ «Континент TLS–клиент» установлен для работы с ГИС «Электронный бюджет» необходимо выполнить его настройку, добавив сервер подключения СУФД – Портал.
— Инструкция по настройке СКЗИ «Континент TLS-клиент» (открыть)
— Сертификат сервера TSL для СУФД-Портал (открыть)
2. При работе нескольких пользователей на одном рабочем месте для авторизации под другим пользователем необходимо закрыть браузер и выполнить «Сброс соединений» на пиктограмме СКЗИ «Континент TLS-клиент» (в правом нижнем углу рабочего стола). Обратите внимание, что «Сброс соединений» выполняется для всех настроенных подключений в «Континент TLS-клиент», в т.ч. для ГИС «Электронный бюджет».
3. Для работы электронной подписи должен быть установлен и включен в браузере «КриптоПро ЭЦП Browser plug-in» (версия 2.0).
Для использования плагина в браузере Firefox версии 52 и выше требуется дополнительно установить расширение для браузера.
Актуальная версия плагина, расширения для браузера Firefox, а так же инструкция по установке доступны по адресу https://www.cryptopro.ru/products/cades/plugin
4. Если организация использует учетные записи без права подписи, то пользователям необходимо получить сертификаты с формализованной должностью «Операционист» («Исполнитель»).
Instruktsiya-po-nastroyke-SKZI-_Kontinent-TLS_klient_.docx DOCX 3.3 МБ
Источник
Подключение к СУФД через Континент TLS.
Недавно клиенты Федерального казначейства по Челябинской области получили письмо «О переключении клиентов СУФД-портала на работу через TLS». В письме Федеральное казначейство информирует о том, что это переключение необходимо завершить до 31.05.2021 года.
Я решил опубликовать небольшую статейку, касающуюся этой темы. Кстати, ниже в тексте, вы можете видеть заголовок этого письма:
Континент TLS — это средство криптографической защиты информации (СКЗИ), которое выдает Федеральное казначейство по Челябинской области своим клиентам, для работы в системе «Электронный бюджет». Ну, и значит, теперь еще будут выдавать тем, кто работает в СУФД. С чем это связано, спросите вы? Могу только предположить, что это связано с тем, что теперь не нужно будет получать «транспортный сертификат» Континент-АП, достаточно будет личного сертификата клиента, с помощью которого производится подпись электронных документов в СУФД.
Если у вас в организации настроено рабочее место для работы в «Электронном бюджете», то вам беспокоиться не о чем. С этого же рабочего места можно будет подключиться к СУФД. Для этого надо установить браузер с поддержкой ГОСТ-шифрования, например Chromium GOST и ввести адрес: https://ufk69.sufd.budget.gov.ru. Специально не стал делать этот адрес ссылкой, чтобы удобнее было его копировать. Для тех, у кого рабочее место для работы в «Электронном бюджете» не настроено и предназначена моя статья.
Итак, приступим. Первое, что необходимо знать — это минимальные требования к компьютеру, на котором планируется работать в СУФД. Общее ППО клиентского уровня должно удовлетворять следующим требованиям:
- Операционная система не ниже Microsoft Windows 7;
- Крипто Про CSP browser plug-in версия 2 и выше;
- Браузер, поддерживающий работу плагина Internet Explorer 11 или браузер Chromium GOST с ГОСТ-шифрованием;
- «Крипто Про CSP» версия 4.0;
- «Континент TLS клиент» версии 2.0.
Если СКЗИ Континент TLS 2.0 не установлен, то его необходимо получить в казначействе. Письмо о выдаче СКЗИ можно скачать отсюда. После получения и установки Континента TLS, необходимо выполнить небольшие настройки:
Открыть «Континент TLS-клиент». Запустить Континент TLS клиент можно с помощью ярлыка на рабочем столе или перейти в меню «Пуск» -> «Все программы» -> «Код безопасности» -> «Континент TLS-клиент». В меню Континент TLS-клиента необходимо нажать на «+ Добавить» и выбрать вкладку «Ресурс». В появившемся окне поля заполняются следующими значениями: Адрес — «ufk69.sufd.budget.gov.ru», Удаленный порт — «443». Всё проделанное иллюстрирует рисунок ниже:
Перейти во вкладку «Управление сертификатами». Выбрать раздел «Серверные сертификаты». Нажать на кнопку «Импортировать». В открывшемся меню выбрать необходимый файл (скачать сертификат можно отсюда). Все проиллюстрировано на рисунке ниже:
После проведения вышеуказанных процедур вход в СУФД-Портал осуществляется по ссылке: https://ufk69.sufd.budget.gov.ru. Конечно, не надо забывать, что в личное хранилище на рабочем компьютере уже должен быть установлен личный сертификат. Как это сделать, я рассказывал тут. После перехода на СУФД-портал должно открыться окно выбора сертификата.
Если на рабочей станции в СУФД-Портале работают пользователи под разными учетными записями (руководитель, главный бухгалтер), то для переключения между пользователями необходимо сбросить TLS соединение и зайти заново. Для этого, выходим из СУФД-Портала. Закрываем браузер. Далее в правом нижнем углу нажимаем правой кнопкой на ярлык Континент TLS-клиента и в открывшемся меню выбираем «Сброс соединений». Это показано на следующем рисунке:
Для удобства, клиентам УФК по Челябинской области, рекомендую скачать и установить необходимое ПО из этого архива. Содержимое архива устанавливается в два этапа:
- Подкаталог 1 «Установка с правами администратора». Устанавливаем последовательно Континент TLS, КриптоПро браузер плагин и корневые сертификаты. Все программы запускаем от имени администратора;
- Подкаталог 2 «Установка под пользователем». Запускаем автонастройку Континент TLS с помощью *.bat файла.
Вот вроде и все, что хотелось рассказать. Отмечу, что если вы будете работать в СУФД через браузер Internet Explorer, то не забудьте добавить в список надежных узлов портал СУФД. Это можно сделать во вкладке «Безопасность». Выбираем «Надежные узлы» и нажимаем кнопку «Сайты». В появившемся окне вводим сайт «https://ufk69.sufd.budget.gov.ru» и нажимаем кнопку «Добавить». На этом все!
И напоследок. Если вам понравилась эта статья и вы почерпнули из нее что-то новое для себя, то вы всегда можете выразить свою благодарность в денежном выражении. Сумма может быть любой. Это вас ни к чему не обязывает, все добровольно. Если вы всё же решили поддержать мой сайт, то нажмите на кнопку «Поблагодарить», которую вы можете видеть ниже. Вы будете перенаправлены на страницу моего сайта, где можно будет перечислить любую денежную сумму мне на кошелек. В этом случае вас ждет подарок. После успешного перевода денег, вы сможете его скачать.
Источник
В связи со сменой сертификата сервера lk.budget.gov.ru необходимо внести изменения в конфигурацию Континент TLS клиента, установленного на Вашем АРМ, а именно сменить сертификат сервера. Новый сертификат доступен для скачивания на сайте ФК в разделе ГИИС ЭБПодключение к системе http://www.roskazna.ru/upload/iblock/e91/lk.budget.gov.ru.cer
Или скачать с сайте ОТР http://elearning.otr.ru/pluginfile.php/8536/mod_folder/content/0/lk.budget.gov.ru.cer?forcedownload=1
Его необходимо сохранить в локальную директорию АРМ пользователя. Затем установить по инструкции:
Для создания нового подключения (Continent—TLS 1.2.1073.0).
Зайти в меню «Пуск”
1.В строке
поиска набрать «Конфигуратор”
2.Выбрать
конфигуратор
3.Перейти на вкладку «Настройка
соединений”
4.Нажать кнопку «Добавить соединение”
5. В строке Адрес/имя сервера
указать ( lk.budget.gov.ru )
6. Нажать кнопку «Далее”
7. Нажать кнопку «Выбрать сертификат”
8. В строке поиска выбрать папку
или путь к файлу lk.budget.gov.ru.cer
9. Выбрать сертификат
10. Нажать открыть
11.Удостоверится что выбран нужный
сертификат и нажать далее
12.Адрес получения CRL: оставить без изменений и
нажать кнопку «Далее”
13. Адрес получения CRL: оставить без изменений и нажать кнопку «Далее”
14.Новое подключение успешно
созданного, закрыть по кнопке «Ок”
Для редактирования, уже
созданного подключение нужно:
1.Нажать кнопку «Редактировать”
2.Выбрать сертификат из списка
3.Нажать на кнопку «Выбрать
сертификат”
4. В строке поиска выбрать папку или путь к файлу lk.budget.gov.ru.cer
5. Выбрать сертификат
6. Нажать открыть
7.Нажать сохранить
8.ППО сообщит об успешном
изменения уже имеющегося подключения
Замена сертификата завершена
Доброго времени суток!
Имеется:
ОС — Astra Linux CE 2.12.13 (Orel)
Континент АП 3.7.6-70
С помощью Континента АП в Linux был сгенерирован запрос на сертификат (криптопровайдер: Security Code), отправлен в казначейство.
В следствие чего был получен набор сертификатов:
root.p7b
server.cer
user.cer
В Континент АП в «Сертификаты» — «Серверные» был добавлен server.cer
В «Сертификаты» — «Корневые» добавлен root.p7b
А в настройке профиля подключения был указан пользовательский сертификат user.cer и соответствующий ему контейнер.
Адрес сервера доступа был скопирован с виндового Континента АП (где пользовательский сертификат генерился с помощью CryptoPro CSP)
При подключении Континента АП появляется окно, где нужно выбрать профиль, указать пароль от контейнера (внизу выводится наш пользовательский сертификат)
Нажимаю «Соединиться», начинает устанавливаться соединение с сервером доступа, проходит аутентификация и появляется окно с ошибкой подключения «Обнаружена потеря соединения: Сертификат сервера не прошёл проверку»
и окно с информацией о сервере доступа, где сказано «Сертификат сервера доступа недействителен или его подлинность не подтверждена. Подключение невозможно». (см. вложение)
При этом выводятся сведения о сервере доступа, так же можно просмотреть сам сертификат.
Этот сертификат не совпадает с имеющимся у нас серверным сертификатом ( наш сертификат server.cer — имя CA38_2012_2, период действия с 2 марта 2020 по 2 марта 2022, а получаемый при соединении сертификат казначейства имеет имя CA38_2012 и период действия с 13 февраля 2019 по 14 марта 2023 (у сертификатов root.p7b и server.cer эти данные совпадают).
В казначейство звонили — там сказали, что адрес сервера доступа верный. А сертификаты CA38_2012 и CA38_2012_2 по их словам «идентичны».
Тем не менее, подключение не происходит.
Что то не верно в настройках и наших действиях? Или версии Астры и Континента не совместимы?
Так же имеются еще странность в поведении Континента АП — при запуске «настройка» — «импортировать ключ» — в появившемся окне нужно выбрать ключевой контейнер, но его в списке нет, есть только ключевой носитель (при этом во время создания профиля в настройках и указания сертификата пользователя для подключения, контейнер виден и сертификат добавляется без проблем). Но при подключении Континент запрашивает пароль от контейнера нашего пользователя, на это ругани никакой нет.