हम GOST के अनुसार एन्क्रिप्शन के साथ एसएसएल सुरंग के माध्यम से मोटे क्लाइंट को आगे बढ़ाते हैं

हैलो, ख़बरोवचन!

आज हम एसएसएल वीपीएन तकनीक के लाभों और स्टोन्सॉफ्ट एसएसएल गेटवे के साथ काम करने के अभ्यास के बारे में बात करना चाहते हैं। लेख एक मोटी ग्राहक को अग्रेषित करने के लिए इस समाधान के विन्यास का वर्णन करेगा (GOST एन्क्रिप्शन एल्गोरिदम का उपयोग करके HTTPS प्रोटोकॉल के माध्यम से 1C लेखांकन का उदाहरण अच्छी तरह से ज्ञात है)। यह हमारे प्रिय मुख्य लेखाकार को सीधे एन्क्रिप्टेड चैनल पर 1 सी डेटाबेस के साथ दूर से काम करने की अनुमति देगा, हम जल्दी से पूरे देश में बिखरे सैकड़ों छोटे कार्यालयों को सिस्टम से जोड़ सकते हैं, और हमारा संगठन उदाहरण के लिए, व्यक्तिगत डेटा के संरक्षण पर कानून की आवश्यकताओं को पूरा कर सकता है।

आलेख वेब के माध्यम से क्लाइंट-सर्वर एप्लिकेशन को सुरक्षित रूप से प्रकाशित करने का एक तरीका बताता है, जिसके द्वारा निर्देशित किया जाता है, आप दूरस्थ पहुँच को लगभग किसी भी कॉर्पोरेट संसाधन तक व्यवस्थित कर सकते हैं।

एसएसएल वीपीएन क्या है

तो, आइए देखें कि कैसे वीपीएन वीपीएन हमारे जीवन को आसान बना सकता है और समय और तंत्रिकाओं को बचा सकता है। मुझे प्रौद्योगिकी का वर्णन करने का कोई कारण नहीं दिखता है, इसलिए सूखी तकनीकी जानकारी के साथ उन्नत पाठक को परेशान नहीं करना चाहिए। आप यहाँ एसएसएल वीपीएन के अपने ज्ञान को ताज़ा कर सकते हैं । हम उपयोग के अभ्यास पर रुकेंगे और सोचेंगे कि क्लासिक वीपीपीएस वीपीएन की तुलना में एसएसएल वीपीएन इतना अच्छा क्यों है।

एसएसएल वीपीएन प्रौद्योगिकी का सार इस प्रकार है: क्लाइंट पोर्ट 443 के माध्यम से गेटवे से जुड़ता है, जो बदले में एक दूरस्थ सर्वर से एक कनेक्शन शुरू करता है (हमारे मामले में, यह 1 सी है), प्रॉक्सी सर्वर के रूप में।

सबसे पहले, यह सुविधाजनक है। आप किसी भी उपयोगकर्ता डिवाइस से किसी भी सेवा / संसाधन तक पहुंच को किसी भी स्थान पर व्यवस्थित कर सकते हैं जहां इंटरनेट है। किसी भी वीपीएन ग्राहकों को स्थापित करने की आवश्यकता नहीं है, उन्हें कॉन्फ़िगर करें, जैसे कि IPSec वीपीएन का उपयोग करने के मामले में, बस ब्राउज़र में पता दर्ज करें, प्रमाणित करें और काम करें। उपयोगकर्ता सार्वजनिक या अतिथि वाई-फाई के माध्यम से कॉर्पोरेट संसाधन तक दूरस्थ पहुंच प्राप्त करने में सक्षम होगा, जैसा कि पोर्ट 443 लगभग सभी नेटवर्क में खुला है।

दूसरी बात, यह सरल है। बस सबके लिए। आपको उपयोगकर्ता को चाची लेखाकार को यह समझाने की आवश्यकता नहीं है कि कुछ संसाधन तक पहुँच प्राप्त करने के लिए उसे ट्रे में वीपीएन क्लाइंट आइकन खोजने की आवश्यकता है, उस पर राइट-क्लिक करें, सूची से गेटवे पते का चयन करें, "कनेक्ट" पर क्लिक करें, लॉगिन और पासवर्ड दर्ज करें (हैलो IPSec वीपीएन फिर से)। बस प्रशासकों के लिए, के रूप में उपयोगकर्ता को स्थापित और कॉन्फ़िगर वीपीएन क्लाइंट, एंटीवायरस और अन्य कॉर्पोरेट सॉफ़्टवेयर के साथ व्यावसायिक यात्राओं के लिए काम करने वाला लैपटॉप देने की आवश्यकता नहीं है।

तीसरा, यह सुरक्षित है। कई सुरक्षा तंत्र हैं जो एक SSL वीपीएन गेटवे क्लाइंट पर लागू हो सकते हैं। दो मुख्य तंत्र प्रमाणीकरण और एन्क्रिप्शन हैं। प्रमाणीकरण तरीकों और साधनों को बहुत अलग चुना जा सकता है: लॉगिन / पासवर्ड, RADIUS, प्रमाण पत्र, एक बार के पासवर्ड, सक्रिय निर्देशिका और कई अन्य लोगों के साथ एकीकरण, चुने हुए एसएसएल वीपीएन समाधान के आधार पर।

एन्क्रिप्शन भी हर स्वाद के लिए है, यह सब विक्रेता पर निर्भर करता है। उदाहरण के लिए, स्टोन्सॉफ्ट एसएसएल, जिसे हम इस लेख में विचार करेंगे, हमें निम्नलिखित एल्गोरिदम से चुनने का प्रस्ताव देता है: एईएस, डीईएस, 3 डीईएस, आरसी 2, आरसी 4 और, रूसी संस्करण में, GOST 28147-89, जो हमारे राज्य के लिए बहुत ही सुखद है। नियामकों। चूंकि हम रूस में रहते हैं और कानूनों का उल्लंघन नहीं करते हैं, इसलिए एफएसटीईसी और एफएसबी के अनुपालन के इस उत्पाद के प्रमाण पत्र की उपस्थिति हमें इसके दायरे का विस्तार करने की अनुमति देती है।

आप इस तरह के दिलचस्प सुरक्षा तंत्र को उजागर कर सकते हैं जैसे कि सुरक्षा नीति के अनुपालन के लिए उपयोगकर्ता के अंतिम उपकरण की जांच करना और कनेक्शन (कुकीज़, URL इतिहास, कैश डेटा और अस्थायी फ़ाइलों) के अंत के बाद सत्र के निशान हटाना।

हमारे पास क्या है और हम क्या चाहते हैं

कार्य निम्नानुसार है: एक एकाउंटेंट के लैपटॉप से ​​GOST एन्क्रिप्शन का उपयोग करके HTTPS प्रोटोकॉल का उपयोग करके 1C सर्वर तक सुरक्षित पहुंच को व्यवस्थित करना, जो देश में आराम करना और काम करना पसंद करता है। वास्तव में, हम मोटे 1 सी क्लाइंट को आगे बढ़ाएंगे, जो कि पोर्ट 443 टीसीपी के माध्यम से इसके "पोर्ट" (1540 टीसीपी, 1560-1591 टीसीपी) पर काम करता है।

नीचे हम एक SSL वीपीएन गेटवे के माध्यम से जुड़ने के 2 विकल्पों पर विचार करेंगे:

• 1C- क्लाइंट बंदरगाहों 1540 टीसीपी, 1560-1591 टीसीपी पर 1C सर्वर के साथ काम करता है, 1C आधार उसी सर्वर पर स्थापित DBMS में संग्रहीत किया जाता है
• 1C- क्लाइंट सीधे डेटाबेस के साथ काम करता है, जो साझा फ़ोल्डर में स्थित है

इन परिदृश्यों को लागू करने के लिए, प्रयोगशाला में एक स्टैंड को इकट्ठा किया गया था:

• सर्वर 1C: विंडोज सर्वर 2008 R2 x64, MS SQL 2008 R2 एक्सप्रेस, 1C 8.3.1.531
• क्लाइंट: Windows XP SP2, क्लाइंट 1C 8.3.1.531, CryptoPro CSP 3.6
• फ़ायरवॉल (एमई): स्टोन्सॉफ्ट एफडब्ल्यू / वीपीएन 5.4.3.9685
• SSL VPN गेटवे: Stonesoft SSL 1.5.200.2002 kc1 GOST, क्लाइंट के लिए https://ssl.sglab.ru/ पर उपलब्ध है।
• प्रमाणन प्राधिकरण: CryptoPro टेस्ट सेंटर

ME इंटरनेट के माध्यम से काम के अनुकरण के लिए खड़ा है: बाहरी इंटरफ़ेस पर केवल पोर्ट 443 टीसीपी खुला है


और SSL VPN गेटवे इंटरफ़ेस पर NAT कॉन्फ़िगर किया गया है।


जैसा कि ME पर योजना और नियमों से देखा जा सकता है, 1C सर्वर (सबसे पहले सुरक्षा!) तक कोई बाहरी पहुंच नहीं है।

SSL VPN कॉन्फ़िगर करें

मैं एसएसएल वीपीएन गेटवे और इसके प्रारंभिक कॉन्फ़िगरेशन पर GOST समर्थन के साथ फर्मवेयर स्थापित करने की प्रक्रिया का वर्णन नहीं करूंगा, यह सब इंटरनेट और गाइड पर पाया जा सकता है। इसलिए, हम सहमत हैं कि हमारे पास स्थापित CritiPro CSP क्रिप्टो लाइब्रेरी, जेनरेट की गई चाबियां, आयातित गेटवे सर्टिफिकेट और एक विश्वसनीय प्रमाणन प्राधिकरण केंद्र के साथ शुद्ध Stonesoft SSL है।

नीचे Stonesoft SSL गेटवे और परीक्षण प्रमाणन प्राधिकरण पर जारी किए गए उपयोगकर्ता के प्रमाण पत्र दिए गए हैं।

एसएसएल वीपीएन गेटवे प्रमाणपत्र:


उपयोगकर्ता प्रमाणपत्र:


SSL वीपीएन गेटवे को कॉन्फ़िगर करना निम्नलिखित चरणों में विभाजित किया जा सकता है:

• उपयोगकर्ता प्रमाणीकरण कॉन्फ़िगर करें
• SSL VPN गेटवे एप्लिकेशन पोर्टल पर संसाधन प्रकाशित करना
  
  • विकल्प नंबर 1: 1C- क्लाइंट बंदरगाहों 1540 टीसीपी, 1560-1591 टीसीपी पर 1 सी सर्वर के साथ काम करता है
    
    • एक सुरंग संसाधन बनाएँ
    • एप्लिकेशन पोर्टल में एक ऑब्जेक्ट बनाना
  • विकल्प संख्या 2: 1C- क्लाइंट सीधे डेटाबेस के साथ काम करता है, जो साझा फ़ोल्डर में स्थित है
    
    • एक मानक संसाधन बनाएँ

नीचे स्क्रीनशॉट के साथ सेटिंग्स का विस्तृत विवरण है।

उपयोगकर्ता प्रमाणीकरण कॉन्फ़िगर करें

सबसे पहले, उपयोगकर्ता प्रमाणीकरण को कॉन्फ़िगर करें। हमने निम्नलिखित योजना को चुना: किसी भी उपयोगकर्ता भंडार के संदर्भ के बिना केवल विश्वसनीय सीए द्वारा जारी किए गए प्रमाण पत्र द्वारा प्रमाणीकरण। यानी यदि उपयोगकर्ता के पास CA द्वारा जारी एक प्रमाण पत्र है जिसे गेटवे विश्वसनीय मानता है, तो उपयोगकर्ता प्रमाणित कर सकता है। तो, https : //10.30.0.213:8443 / पर जाएं और स्टोन्सॉफ्ट एसएसएल गेटवे के प्रशासन कंसोल पर जाएं।

मैनेज सिस्टम - ऑथेंटिकेशन मेथड्स टैब पर जाएं।


एक नई विधि जोड़ें - प्रमाणीकरण विधि जोड़ें पर क्लिक करें ... , उपयोगकर्ता प्रमाणपत्र प्रकार का चयन करें, विधि को एक नाम दें और इस प्रकार के प्रमाणीकरण के लिए उपयोग किए जाने वाले सीए का चयन करें।


डिफ़ॉल्ट रूप से, प्रत्येक उपयोगकर्ता प्रमाणित नहीं कर सकता है, लेकिन केवल वह उपयोगकर्ता जिसका खाता गेटवे के लिए जाना जाता है। हमारी योजना के लिए, हमें बनाई गई प्रमाणीकरण विधि के लिए एक नई विशेषता जोड़ने की आवश्यकता है: विस्तारित संपत्ति जोड़ें पर क्लिक करें ... , उपयोगकर्ता को किसी भी उपयोगकर्ता संग्रहण विशेषता में सूचीबद्ध नहीं होने दें और विशेषता मान को सही पर सेट करें।


यही है, नया प्रमाणीकरण विधि तैयार है, परिवर्तनों को लागू करने के लिए प्रकाशित करें बटन पर क्लिक करें। स्टोन्सॉफ्ट एसएसएल के साथ काम करते समय यह संभवतः सबसे महत्वपूर्ण बटन है, जब भी आप कुछ बदलते हैं, तो इसे वापस लेना न भूलें।

एक संसाधन प्रकाशित करना। विकल्प संख्या 1

अब आपको संसाधन प्रकाशित करने की आवश्यकता है ताकि यह एसएसएल वीपीएन गेटवे के एप्लिकेशन पोर्टल पर उपयोगकर्ता के लिए उपलब्ध हो। सबसे पहले, विकल्प # 1 पर विचार करें: 1C- क्लाइंट 1C सर्वर से जुड़ता है और DBMS में डेटाबेस के साथ काम करता है।

संसाधन बनाने और प्रकाशित करने की प्रक्रिया को निम्नानुसार वर्णित किया जा सकता है:

• एक होस्ट बनाना (हमारे मामले में, यह 1 सी सर्वर है)
• SSL VPN गेटवे एप्लिकेशन पोर्टल से लिंक करना

हम मैनेज रिसोर्स एक्सेस - टनल रिसोर्स टैब पर जाएँ, टनल रिसोर्स होस्ट जोड़ें पर क्लिक करें ... रिसोर्स नाम, आईपी एड्रेस और पोर्ट्स भरें जिस पर हम 1 सी सर्वर को एक्सेस करना चाहते हैं।


अब आपको एप्लिकेशन पोर्टल में एक आइटम बनाने की आवश्यकता है। हम मैनेज रिसोर्स एक्सेस - टनल सेट टैब पर जाते हैं, टनल सेट जोड़ें पर क्लिक करते हैं और नाम भरते हैं, उस आइकन का चयन करें जो उपयोगकर्ता को दिखाई देगा (आप तैयार लोगों से चुन सकते हैं या अपना खुद का अपलोड कर सकते हैं), लिंक टेक्स्ट फ़ील्ड में हम उस टेक्स्ट को लिखते हैं जो आइकन के नीचे प्रदर्शित होगा।


अगले चरण में, हमें एसएसएल वीपीएन गेटवे को बताना होगा कि एसएसएल में क्या ट्रैफ़िक है, इसके लिए हम एक डायनामिक टनल जोड़ते हैं, जिसके लिए हम सेट पर डायनेमिक टनल जोड़ें ... और संसाधन फ़ील्ड में ड्रॉप-डाउन सूची से 1C सर्वर से होस्ट का चयन करें। अन्य सभी फ़ील्ड हमारे द्वारा चुने गए संसाधन के गुणों के अनुसार स्वचालित रूप से भरे जाते हैं।


अब सबसे महत्वपूर्ण क्षण, आपको क्लाइंट पीसी पर निष्पादित कमांड को सही ढंग से लिखना होगा, सर्वर से कनेक्ट करने के लिए आवश्यक मापदंडों के साथ स्वचालित रूप से 1 सी क्लाइंट शुरू करना। मेरे लिए, यह इस तरह दिखता है: "C: \ Program Files \ 1cv8 \ 8.3.1.531 \ bin \ 1cv8c.exe" / S आवश्यक 10.30.0.238 \ 1c " । यह याद रखने योग्य है कि यदि कई उपयोगकर्ता हैं, तो सभी को निष्पादन योग्य फ़ाइल के लिए समान पथ होना चाहिए। यदि किसी कारण से यह असंभव है, तो आप स्टार्टअप कमांड फ़ील्ड को खाली छोड़ सकते हैं, फिर 1 सी क्लाइंट को मैन्युअल रूप से शुरू करना होगा और आवेदन पोर्टल पर संसाधन खोलने के बाद सभी मापदंडों को निर्दिष्ट करना होगा।


सभी चरणों के बाद, प्रकाशित करें पर क्लिक करें।


अब हम जांच कर सकते हैं कि क्या हुआ। हम ब्राउज़र लॉन्च करते हैं, पता बार में लिखते हैं https://ssl.sglab.ru/ और प्रमाणपत्र चयन के साथ एक विंडो देखें।


प्रमाणीकरण के बाद, हम आवेदन पोर्टल पर जाते हैं।


1C पर क्लिक करें और देखें कि एक्सेस क्लाइंट कैसे लोड होता है, जो कमांड हमने टनल सेट प्रॉपर्टीज में लिखी है वह लॉन्च की गई है और परिणामस्वरूप, 1 सी: एंटरप्राइज क्लाइंट शुरू होता है और सर्वर से कनेक्ट होता है।


कनेक्शन के समय, आप ME पर लॉग को देख सकते हैं और यह सुनिश्चित कर सकते हैं कि सब कुछ HTTPS के माध्यम से काम करता है।

एक संसाधन प्रकाशित करना। विकल्प संख्या 2

अब एक और परिदृश्य सेट करते हैं - उपयोगकर्ता एप्लिकेशन पोर्टल पर 1C आइकन पर क्लिक करता है और 1C सर्वर पर डेटाबेस के साथ फ़ोल्डर तक पहुंच प्राप्त करता है।

हम गेटवे एडमिनिस्ट्रेशन कंसोल पर जाते हैं, मैनेज रिसोर्स एक्सेस - स्टैंडर्ड रिसोर्स - फाइल शेयरिंग रिसोर्स - माइक्रोसॉफ्ट विंडोज फाइल शेयर टैब पर जाएँ और इस स्टैंडर्ड रिसोर्स को क्लिक करें।


हम संसाधन के नाम, 1 सी सर्वर के आईपी पते, डेटाबेस के साथ फ़ोल्डर का नाम, जिसमें सार्वजनिक पहुंच खुली है, आवेदन पत्र के लिए आइकन का चयन करें और प्रदर्शन नाम लिखें।


दरअसल, बस इतना ही। पोर्टल में परिवर्तनों को पोस्ट करना न भूलें।


अब क्लाइंट पीसी से हम फिर से https://ssl.sglab.ru/ पर जाते हैं और निर्मित आधार 1 सी आइकन पर क्लिक करते हैं।


जिसके बाद हम आधार 1 सी के साथ फ़ोल्डर देखते हैं।


फिर सब कुछ सरल और स्पष्ट है - हम 1 सी क्लाइंट में एक नया इन्फोबस जोड़ते हैं, पथ \\ 10.30.0.238 \ 1cbase निर्दिष्ट करते हैं और इसके साथ HTTPS के माध्यम से एक सुरक्षित चैनल पर काम करते हैं।

निष्कर्ष

इस प्रकार, हमने GOST एल्गोरिदम द्वारा एन्क्रिप्ट किए गए चैनल पर दो संस्करणों में 1C सर्वर के साथ दूरस्थ कार्य के लिए SSL वीपीएन गेटवे को कॉन्फ़िगर किया और हमारे उपयोगकर्ताओं को मोटे ग्राहकों के माध्यम से कॉर्पोरेट संसाधनों के साथ सुरक्षित रूप से काम करने की अनुमति दी।

यह सभी स्टोन्सॉफ्ट एसएसएल वीपीएन सक्षम नहीं है। दी गई कॉन्फ़िगरेशन आपकी आवश्यकताओं के लिए "ट्यून" करना आसान होगा।

हमें उम्मीद है कि आपको यह लेख उपयोगी लगेगा। भविष्य में, हम फेरीवालों के साथ सूचना सुरक्षा के क्षेत्र में अपने अनुभव को साझा करना जारी रखने की योजना बना रहे हैं। हम टिप्पणियों में प्रश्नों और सुझावों का स्वागत करते हैं।

आपके ध्यान के लिए आप सभी का धन्यवाद!

newmaxidrom