Неправильный uz фпсу ошибка

При ошибках соединения ФПСУ‑IP/Клиент с ФПСУ-IP могут быть выданы указанные в таблице сообщения:

Модератор: DORSupport

---

---

---

---

---

---

---

---

---

---

---

---

---

---

Вернуться в DORS

Кто сейчас на конференции

Сейчас этот форум просматривают: нет зарегистрированных пользователей и гости: 1

Аппаратная организация VPN в РФ в основном держится на следующем оборудовании: CSP VPN Gate (rVPN), ФПСУ, Континент, Check Point, Infotecs VipNet. В данной заметке попытаюсь рассказать о ФПСУ – «Программно-аппаратный комплекс «Фильтр Пакетов Сетевого Уровня – Internet Protocol», который используют по крайней мере в двух очень больших корпорациях, а его плюшки еще шире разлетелись по территории РФ.
На мой скромный вкус, название не ахти, особенно 4 крайние буквы, которые запросто трансформируются в «2СУ», «2IP», «2*3OSI» или что-то подобное, т.к. по смыслу означают одно и то же. Не знаю почему, но мне сразу на ум приходит видео о КРИПО и их «интернет портале». Разработан ФПСУ российской компанией Амикон, и предназначен для организации туннелей между оконечным сетевым оборудованием.

Поставка

Из себя ПАК представляет 2-ух диновый helios блок

Последние модификации были выполнены в blade стиле:

В поставку идет: 2 патч корда, 2 тм-таблетки, ПО, ФОРМУЛЯР КСЗИ (для регуляторов). Вот здесь обнаруживается вопрос: верной является практика применения горячего резервирования ПАК, для этого в них предусмотрен третий Ethernet интерфейс для синхронизации, но crossover нет (до 2010 года адаптеры в ФПСУ не могли переворачивать). Ну ладно, обжать не проблема, но осадок то остался. Что приято, распаковывая ФПСУ, вы получается полностью функционально готовый ПАК, в котором лишь необходимо откалибровать ДСЧ, записать конфигурацию и выдать аутентификаторы.

Эксплуатация

В качестве ОС сейчас используются компоненты linux, раньше dos. Забавно следующее, ФПСУ под управлением dos не определяла 95% USB носителей, но если такой носитель был найден, то все каталоги и файлы на нем были доступны. После обновления до linux, флеш стали определяться без проблем, но виден был только корень диска. Какая из 2-ух зол меньшая? Приходилось применять смекалку, чтобы и конфиг достать и обновиться. Обратная совместимость версий и конфигураций односторонняя: 2,50 не примет конфигурацию от 2,53 – обратное без проблем. Обновлять ОС советую подождав некоторое время, «7 раз отмерь-1 раз отрежь», бывало что в обновлениях ОС, появлялось больше ошибок, чем в предыдущей версии. И еще, обновлять ОС можно только после того как новая версия прошла сертификацию в ФСБ. Основными этапами настройки с 0, а также обязательными перед использованием в рабочем режиме являются:
1. Проверка порядковой нумерации и MAC сетевых адаптеров (какой смотрит наружу, какой внутрь)
2. Установка конфигурации и верной версии ключей шифрования
3. Регистрация удаленного администратора – выдача аутентификатора ФПСУ
4. Настройка режима горячего резервирования.

Классические проблемы

Опишу с чем я сталкивался чаще всего:
1.Для моего региона смертью ФПСУ являлись пыль и жара, в итоге БП в утиль, он мог и не сгореть, а просто не давать нужных вольт-амперных характеристик, из-за этого ФПСУ не проходила POST.
2.Повреждение хранилища статистики, ФПСУ работает, но туннелей нет – только переустановка ОС.
3.«OS Crashed» — изменилось устройство загрузки, проверить порядок в BIOS.
4.«* Accord» — проверить параметры BIOS, вскрыть ФПСУ, передёрнуть PCI карту Аккорда.
5.«OS Starting…» — ПАК не загружается, только переустановка ОС.
6.ПАК работает, отсутствует туннель – если все в порядке с сетью, проверить версии ключей на двух концах туннеля, т.к. применяется симметричное шифрование.
7.С точки зрения логики ОС, никаких проблем в ФПСУ не было ни разу, кроме одной. Количество узлов, разрешенных на доступ группы, равен…84. Почему не 256, 512, почему вообще ограничено?

Дополнительные возможности

ФПСУ можно использоваться как МСЭ, не зря же в его названии есть слово «фильтр». По умолчанию ПАК отбрасывает все не зашифрованные пакеты, но настроить правила для портов и протоколов стека TCP возможно, что при небольшой нагрузке сэкономит финансы. Нагрузка в ФПСУ имеет очень большую роль при звездообразной топологии инфраструктуры сети, т.к. на центральном узле будут использованы все ключи от каждой транзитной ФПСУ и выполнять функции фильтрации и расшифрования одновременно будет проблематично (по крайней мере на ПАК предыдущего поколения, загрузка процессора постоянно около 100%).
Также наличие 2 сетевых интерфейсов, позволяет использовать ФПСУ в качестве маршрутизатора. Но это уже на совсем крайний случай.
Удаленный администратор и этим все сказано.

Показывает состояние туннелей, версии ПО, ключи, статистику узла, можно обновлять, управлять ПАК, имеются различные фильтры, в общем все отлично. Но, есть очень полезная функция – «Пинг от ФПСУ» и она не работает! Забыли комментарии убрать в исходном коде при сборке, наверное… Статистика, просто невероятно не оптимизирована, за 1 рабочий день формирует файл объемом 24 Гб.

Плюшки

ФПСУ-IP клиент.
Это USB-токен такого вида:

Инициализируется в специальной оснастке, где в него вписывается конфигурация, номер группы и ключ ФПСУ, к которой он привязан. При этом данная группа на ФПСУ должна быть активирована. Использование токена позволяет строить VPN поверх интернета и также является МСЭ:

В принципе позволяет заменить HSM в платежных системах, АТМ и УСО.
Для корректной настройки на ЭВМ клиента необходимо установить софт. При установке на чисто ПО «ФПСУ-IP/Клиент» версию 4.3, на одном и том же моменте инсталятор виснет (проблема плавающая). Решается это так: ставим более старую версию 4.12, 4.2 и сверху накатываем 4.3. Работает!

В итоге

Все в общем-то достаточно на неплохом уровне, но мне кажется, что большие контрактные обязательства, не позволяют развиваться продукции от Амикон более интенсивно, а было бы интересно. Быть может это помогло бы избавиться от «детских болезней», хотя за 10 лет, можно было бы их решить, ведь версии ОС для ФПСУ меняются, а легендарный «поДудуплекс» в режимах настройки сетевых адаптеров все остается. Стабильность-признак мастерства в данном случае никак не в пользу отечественной продукции, стоимостью от 100 тыс. рублей за одну железку.

Ранее уже писал о том, как всё-таки помирить  Амикон ФПСУ IP/Клиент и ISA Server. Однако, война не закончилась на этом. 21 марта СБ РФ разослал через клиент-банк “письма счастья”, в которых сообщил, что “всвязи с участившимися случаями хакерских атак на клиентов СБ РФ  программные средства СБ теперь будут блокировать новые TCP и UDP соединения при подключенном ФПСУ”. Обсудим и найдём решение…

Предыстория

Спасибо, конечно, за подобную заботу. Замечу, что подобный шаг предпринят не в соответствии с договором предоставлении услуг с использованием системы «Клиент-Сбербанк». Договором не предусматривается одностороннее изменение условий предоставления услуги, а именно это мы и имеем.

Но это же ведь СБЕРБАНК, ему ведь желание и мнение клиентов не столь важно, сколь их безопасность, хотя, если вдуматься в предлагаемые меры “по повышению безопасности”, ничем против троянов на хосте клиент-банка они помочь не смогут. Это больше защита самих сетей СБ РФ против сетевых червей, да и то, – достаточно условная.

Симптомы “заботы СБ РФ“ о нас:

• в моём случае (у меня ФПСУ IP/Клиент стоит на маршрутизаторе (ISA хост)) при подключенном канале к ФПСУ банка новые сессии к ресурсам Интернет заканчиваются отказом, почта перестаёт уходить / приходить и так далее;
• если у Вас стоит IP/Клиент на машине с клиент-банком, Ваши сетевые приложения перестанут работать при поднятом канале (то есть 1С, сам клиент-банк (если он в сетевом варианте установлен)), и, естественно, Вы удалённо с машиной ничего сделать не сможете.

Ну и первая рекомендация СБ РФ – ставьте отдельную машину, “не в сети”, и бегайте к ней (с чем? с флэшками? или ещё с чем? и это – технологии 21 века?)

Ответ на письмо счастья

Однако, после разговора с начальником отдела местного отделения выяснилось, что помочь в решение проблемы, созданной самим же Сбербанком, может письмо. То есть создают нам проблемы они без нашей воли, а вот решать их можно только по нашему письменному обращению! Ну что же, мы не гордые, пишем письмо:

Управляющему Новгородского отделения
№8629 ОАО «Сбербанк России»
Малькову М.В.
от директора …

В связи с технологическими особенностями рабочих мест кассиров-операционистов нашего предприятия прошу Вас отключить блокировку входящих TCP и UDP соединений средствами ФПСУ IP/Клиента. С ответственностью в соответствии с п.3.7 договора №… о предоставлении услуг с использованием системы «Клиент-Сбербанк» согласен. О риске мошеннических действий со стороны пользователей сети Интернет, который может возникнуть при отключенных блокировках, извещён.
С целью решения указанной задачи прошу выпустить новый ключ для ФПСУ/IP клиента.

С уважением,
Директор …

Написали письмо от имени директоров всех наших предприятий, отвезли VPN-key (да, их придётся поменять). Это было в четверг. И, о чудо, в пятницу звонок – новый ключ готов!

P.S. Хорошо тем, у кого несколько организаций на одной площадке. Думаю, я не открою военной тайны, сообщив Вам, что через Амикон ФПСУ IP/клиента любой из Ваших организаций могут работать все Ваши клиент-банки СБ РФ (естественно, если все они – в одном отделении СБ). Поэтому мы заменили сначала только один из ключей. И после полученного положительного результата заменим остальные.

Пробуем зелёного (VPN key, разумеется, а Вы что подумали :-)) на вкус

Итак, забираем ключ. Он уже иной, “зелёненький”. И, разумеется, работать с 3ей версией ФПСУ IP/клиента не хочет. А причина банальна – нет драйверов, ключ ведь теперь, наконец-то, нормальный smart card reader.

Посему качаем версию 4 ФПСУ IP/Клиента (я поставил себе 4.1). Напоминаю, Вам необходимо иметь непосредственный доступ к консоли того хоста, на котором ставите ФПСУ IP/клиента, удалённое подключение не поможет Вам.

Сначала сносим 3ю версию. Можно без перезагрузки. (P.S. если сразу начала ставить 4ую – не переживайте. Ставьте её, сносите (потому как не поставится), потом снова – ставьте, и всё будет нормально). Ставим 4ую. Всё проходит без проблем.

Теперь вставляем ключ (VPN key) в USB порт. И видим нераспознанное устройство. Драйвер для него – usbccid.sys. А PID его выглядит следующим образом: USBVID_2022&PID_0008&MI_016. Если в роли хоста у Вас Windows XP или старше – проблем быть не должно, драйвер будет найден. Если Windows 2000 – придётся явно его указать: %ProgramFiles%AmiconClient FPSU-IPDriversUsbCCID.Напомню – в 3ей версии клиента Вы его не найдёте.

Итак, если драйвер указан правильно, в менеджере устройств Вы увидите smart card reader. Кроме того, ключ работает также как накопитель, но только после ввода PIN кода. Поэтому его можно использовать в качестве хранилища сертификатов для клиент-банка, если ФПСУ IP/Клиент будет у Вас стоять на машине бухгалтера.

Не забываем зайти в IP/клиента под администратором (ставим галку “Администратор”, и вводим PIN2), и установить опции “Помнить введённый PIN код, пока VNP-key не отсоединён”. По крайней мере, для меня (ФПСУ клиент на ISA хосте) этот шаг необходим.

Меняем IP packet filter на ISA

Тут я уже расслабился, думал – на этом всё. А не тут то было. “ФПСУ хост недоступен по неизвестной причине”. Проверяю, и выясняю – ip адрес ФПСУ СБ РФ для ключей, которые не будут блокировать TCP и UDP подключения, иной. Поэтому в моём случае необходимо поправить ip packet filter (так как у меня ФПСУ IP/клиент на ISA хосте).

Стоило поправить ip packet filter (в части адреса удалённого компьютера, указать следует новый адрес ФПСУ СБ РФ) – и всё. Сейчас всё функционирует, сеть при этом не падает.

Очень хочется верить, что в ближайшее время забота СБ РФ обойдёт нас стороной. Ведь другие то банки и заботу проявляют, и желанием клиента интересуются, и предлагают выбор среди нескольких технологий.

Конец?

Конечно же нет, это пистолет (вспоминая анекдот о Штирлице). Всё-таки нашёл и реализовал и технологическое решение, решающее проблему с блокировками, и позволяющее работать одновременно с несколькими банками / ФПСУ. Будет интересно — разберёмся с серверной частью ФПСУ, насколько это возможно без доступа к консоли и без документации

.

Код, возвращаемый в ответе ККТ

Описание

Decimal Hex 0 00h Команда выполнена без ошибок Ошибки выполнения команд 1 01h Функция невыполнима при данном статусе ККТ 2 02h В команде указан неверный номер функции 3 03h Некорректный формат или параметр команды Ошибки протокола передачи данных 4 04h Переполнение буфера коммуникационного порта 5 05h Таймаут при передаче байта информации 6 06h В протоколе указан неверный пароль 7 07h Ошибка контрольной суммы в команде Ошибки печатающего устройства 8 08h Конец бумаги 9 09h Принтер не готов Ошибки даты/времени 10 0Ah Текущая смена больше 24 часов.

Установка даты времени больше чем на 24 часа.

11 0Bh Разница во времени, ККТ и указанной в команде начала работы, больше 8 минут 12 0Ch Вводимая дата более ранняя, чем дата последней фискальной операции Прочие ошибки 14 0Eh Отрицательный результат 15 0Fh Для выполнения команды необходимо закрыть смену 16 10h Нет данных в журнале 17 11h Ошибка при работе с SD-картой 18 12h Ошибка посылки данных в ОФД Фатальные ошибки 32 20h Фатальная ошибка ККТ.

Причины возникновения данной ошибки можно уточнить в ”Статусе фатальных ошибок ККТ”

Ошибки ФН 65 41h Некорректный формат или параметр команды ФН 66 42h Некорректное состояние ФН 67 43h Ошибка ФН 68 44h Ошибка КС (Криптографического сопроцессора) в составе ФН 69 45h Исчерпан временной ресурс использования ФН 70 46h ФН переполнен 71 47h Неверные дата или время 72 48h Нет запрошенных данных 73 49h Некорректные параметры команды 80 50h Превышен размер данных TLV 81 51h Нет транспортного соединения 82 52h Исчерпан ресурс КС 84 54h Исчерпана память хранения документов для ОФД 85 55h Время нахождения в очереди самого старого сообщения на выдачу более 30 календарных дней. 86 56h Продолжительность смены ФН более 24 часов 87 57h Разница более чем на 5 минут отличается от разницы, определенной по внутреннему таймеру ФН. 96 60h Неверное сообщение от ОФД 97 61h Нет связи с ФН 98 62h Ошибка обмена с ФН 99 63h Слишком длинная команда для посылки в ФН