Оглавление
1 - Отступление
2 - Мониторинг здоровья
3 - Не доходят справочники до ViPNet Coordinator HW 5
4 - Ошибка применения ViPNet Coordinator HW 5 индивидуальной конфигурации
5 - Предупреждение об истечении срока действия ключей на узлах 4-го поколения
6 - Не открывается веб-консоль Координатора из ViPNet Prime
7 - Неподходящий масштаб или размер шрифта пин-конверта

Отступление

Из описания с официального сайта АО "ИнфоТеКС":

ViPNet Prime – это система управления продуктами и решениями ИнфоТеКС, объединяющая в себе функции управления и эксплуатации.

Основная задача ViPNet Prime – объединение систем управления продуктами и решениями ViPNet в единую многомодульную систему, использующую централизованные механизмы и методики управления объектами и субъектами инфраструктуры системы информационной безопасности.

ViPNet Prime реализует разворачивание и управление защищенными сетями, обеспечивает централизованные групповые методы управления политиками безопасности, предоставляет удобные инструменты мониторинга узлов сети, позволяет автоматизировать рутинные операции по разворачиванию программного обеспечения на защищенных узлах, и управлению лицензиями.

Фактически, ViPNet Prime — это новое поколение управляющего решения продуктами ViPNet, совмещающее в себе функциональные возможности ViPNet Administrator, ViPNet StateWatcher и ViPNet Policy Manager, дальнейшее развитие которых будет или уже было прекращено.

Уже имея некоторый опыт работы с ViPNet Prime (от установки до создания или миграции сети), хочу поделиться некоторыми особенностями эксплуатации и проблемами ViPNet Prime, с которыми пришлось столкнуться.

Мониторинг здоровья

ViPNet Prime — это программный комплекс, активно использующий технологию контейнеризации (Docker), а также предъявляющий жесткие требования к среде функционирования (вплоть до версии ядра), поэтому, как показывает практика, важно иметь представление о том, каким образом возможно отслеживать состояние самого Прайма (или его модулей) и при необходимости выявлять аномалии.

Помимо настройки мониторинга состояния ОС и Docker-контейнеров можно использовать собственные инструменты для проверки здоровья, предоставляемые ViPNet Prime.

1. check.sh

В состав установочного комплекта входит штатный скрипт, осуществляющий проверку состояния ViPNet Prime, включая такие параметры как наличие свободного места на разделах, разрешение доменных имен, валидацию сертификатов, источники энтропии, состояние контейнеров и т.д.

Данный скрипт располагается в установочной директории ViPNet Prime (например, /infotecs/1.9.6/check.sh).

2. API и веб-интерфейс

Для интеграции Prime с системами мониторинга также можно использовать штатный API, доступный без авторизации (по шаблонному URI https://vipnet-prime.org.lan/hc). В ответ на GET-запрос эндпоинт вернет JSON-структуру с текущим состоянием Прайма и его модулей.

Эти же данные можно просмотреть в графическом представлении (https://vipnet-prime.org.lan/hc-ui).

Не доходят справочники до ViPNet Coordinator HW 5

Проблема.
Связность с Координатором в сети присутствует, однако справочники не доходят, зависают в статусе "В процессе".

Решение.
Добавить запись в файл hosts для разрешения доменного имени ViPNet Prime (machine hosts add). Если запись уже присутствует, с помощью iplir show config проверить адрес видимости узла Control Center (узла ViPNet Client, установленного на самом сервере ViPNet Prime). В документации приведен пример, когда разрешение доменного имени ViPNet Prime осуществляется по его реальному IP-адресу, при этом фактически видимость узла осуществляется по виртуальному адресу (обычно 11.0.0.2).

В таком случае файл hosts нужно привести к следующему виду:

HW-100> machine hosts show 
127.0.0.1 HW-100 localhost localhost.localdomain
11.0.0.2 vipnet-prime.org.lan

Ошибка применения ViPNet Coordinator HW 5 индивидуальной конфигурации

Проблема.
Бóльшая часть обновлений Индивидуальной конфигурации не принимается ViPNet Coordinator HW 5. Статус в ViPNet Prime - "Ошибка". Справочники и ключи при этом принимаются успешно.

Решение.
Данное поведение является нормальным для версии 5.3.2, т.к. на данной версии Координатора после перезагрузки ПАК нумерация ревизий Индивидуальной конфигурации сбрасывается. Когда счетчики ревизии на ПАК и в ViPNet Prime сравняются, она начнёт приниматься.

Предупреждение об истечении срока действия ключей на узлах 4-го поколения

Проблема.
На узлах 4-го поколения (а также на ViPNet xFirewall) появляется предупреждение об истечении сроки действия персонального ключа пользователя и/или ключа защиты ключей обмена.

Решение.
Данные ключи будут обновлены при смене мастер-ключей. При этом при истечении срока действия указанных ключей никакие ограничения на работу узла не накладываются. Смена данных ключей носит рекомендательный характер (ключи обмена - раз в 15 месяцев, ключи защиты узла - раз в 15 месяцев, закрытый ключ сертификата пользователя - раз в 12 месяцев).

Не открывается веб-консоль Координатора из ViPNet Prime

Проблема.
Не открывается веб-консоль Координатора из ViPNet Prime, не работает авторизация на Координаторе через ViPNet Prime (с ошибкой nginx "502 Bad Gateway").

Решение.
На хосте с установленным ViPNet Prime для сетевого интерфейса вручную задан IP-адрес DNS-сервера, однако systemd-resolved не использует эти настройки (DNS-запросы не обрабатываются).

Для устранения:

# systemd-resolve --set-dns=<IP-адрес DNS-сервера> --interface=<имя интерфейса>
# systemctl restart systemd-resolved

После чего проверить, что происходит разрешение доменных имен в зоне .vipnet:

$ ping -n <ViPNet-идентификатор_узла>.vipnet

Неподходящий масштаб или размер шрифта пин-конверта

Проблема.
При выпуске дистрибутива ключей размер шрифта пин-конверта (или его масштаб, расположение элементов) не соответствует необходимому или неудобен для чтения.

Решение.
В ViPNet Prime пароль для защиты дистрибутива ключей предоставляется единожды (как раз-таки при формировании нового ключевого дистрибутива). Формально предполагается, что пароль будет автоматически отправлен для печати пин-конверта (с помощью специализированного принтера). В действительности вышеуказанный порядок отображения пароля может отличаться. По умолчанию же используется слишком маленький и трудночитаемый шрифт.

Изменить параметры пин-конверта (включая размер шрифта, а также размер и расположение элементов) можно с помощью конфигурационного файла /usr/share/infotecs/vpn-kc/config.env.
Далее приводится выдержка по доступным параметрам и их значениям по умолчанию из официальной документации:

Например, для увеличения размера шрифта можно привести конфигурационный файл к следующему виду:

Для вступления изменений в силу требуется перезапуск службы dst-service:

# systemctl restart dst-service