Подключение школ к единой сети передачи данных (ЕСПД) Ростелеком

[lea-nsk]

В 23.02.2022 в 10:38, LostSoul сказал:

У всех сотрудников и обучающихся есть логины и пароли для доступа к ПК. ЕСПД работает только для детей (для соответствующей группы в AD),

Данный вариант подходит для ОО с небольшой численностью учащихся и сотрудников, с учётом наличия необходимого количества свободно-доступных АРМ в любое время.

 

В 23.02.2022 в 10:38, LostSoul сказал:

педагоги выходят в сеть напрямую (прокси не работает...

Не знаю, как реализуется проект «Создание IT-инфраструктуры в общеобразовательных организациях Российской Федерации» в других регионах РФ...

У нас в Новосибирске, данный проект реализуется с дополнительным оснащением в виде беспроводных точек доступа Wi-Fi.

 

Всё это сетевое хозяйство базируется на нашем местном производителе оборудования под брендом Eltex, в исключении одной железки АПКШ "Континент".

 

Подключение к сети интернет (ЕСПД от Ростелеком) через беспроводную сеть (Wi-Fi) - осуществляется при помощи технологии Hotspot перенаправляющий на страницу ЕСИА портала "Госуслуги".

Далее, доступ к сети интернет через ЕСИА могут получить только сотрудники, которые прошли предварительную процедуру прикрепления к ОО через портал "Госуслуги" в качестве сотрудника...  

 

На мобильном устройстве, интернет проверял, работает в режиме прозрачного прокси.

 

Проводной открытый и закрытый сегмент ЕСПД - не проверял, т.к. сотрудники РТ нам ещё не передали данные о сетевых реквизитах...

[kaeskat]

On 2/23/2022 at 12:28 AM, GoodSoul said:

У нас в лицее на обычной банке поднят Active Directory (на базе Samba 4, в основе Altlinux p9)

Прокси настроил посредством политик GPO. Все прекрасно работает. Настройка заняла минут 5. У всех сотрудников и обучающихся есть логины и пароли для доступа к ПК. ЕСПД работает только для детей (для соответствующей группы в AD), педагоги выходят в сеть напрямую (прокси не работает, если они заходят под своим логином, настроена лайтовая фильтрация SkyDNS).

Каскад из прокси тоже делал. Работает.

Провайдер Айзет. 

 

Уточните пожалуйста, прокси получается не обязателен?

Т.е. они с одного и того же локального сетевого адреса в одном профиле выходят через прокси, с другого нет?

А как при этом работает SkyDNS, если требуется указание DNS-сервера РТК?

[TurboBlaze]

Прозрачный прокси сервер как parent (родительский) без подмены сертификата не будет работать из-за отсутствия секции PRIVATE KEY в сертификате ЕСПД.

Поэтому сайты по HTTP работают, а из-за отсутствие ключа от сертификата ЕСПД по HTTPS нет.

Написал в поддержку ЕСПД и в Минцифры. Шанс получения ключа равен 0, но попытка не пытка. Может кто из сообщества раздобудет ключ и поделится им.

 

В СЗО имеются ЕГЭ/ОГЭ программы, которые требуют PRIVATE KEY для передачи зашифрованных сведений по каналам Интернет.

 

Просим Вас предоставить PRIVATE KEY (выслать содержимое ключа) от сертификата ЕСПД https://espd.rt.ru/cert/ca.root.crt

так как в сертификате ca.root.crt отсутствует секция PRIVATE KEY, содержится только:

-----BEGIN CERTIFICATE-----
здесь содержимое сертификата
-----END CERTIFICATE-----

должно быть:

-----BEGIN PRIVATE KEY-----
здесь содержимое ключа
-----END PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
здесь содержимое сертификата
-----END CERTIFICATE-----

 

 

 

Edited March 1, 2022 by TurboBlaze

[fedukonelove]

Привет всем!

Я сам являюсь сотрудником РТК, выездной инженер. Строили этот проект (так называемый ЦОС) для Wi-Fi в школах. В итоге чуть позже выяснилось, что требуется еще и локальную проводную сеть переключать. В итоге всё общем и называется ЕСПД. Много вопросов к вышестоящим, кто разрабатывал проект. Так вот и в итоге сказали действовать по методичке (по госконтракту). То бишь открытый и закрытый сегмент раздельно, и никак не связать всё в единое целое. Очень много школ с претензиями, сами не знаем как быть. Приходится тупо приходить и с админами на месте решать. Очень неудобно когда по 100-200 пк в здании. Не все админы сетевики до мозга костей, а я уж тем более. Нашел вас тут, на данном форуме через гугл поиск, буду следить за событиями :)

Edited March 1, 2022 by fedukonelove

[kaeskat]

On 3/1/2022 at 2:12 PM, fedukonelove said:

Привет всем!

Я сам являюсь сотрудником РТК, выездной инженер. Строили этот проект (так называемый ЦОС) для Wi-Fi в школах. В итоге чуть позже выяснилось, что требуется еще и локальную проводную сеть переключать. В итоге всё общем и называется ЕСПД. Много вопросов к вышестоящим, кто разрабатывал проект. Так вот и в итоге сказали действовать по методичке (по госконтракту). То бишь открытый и закрытый сегмент раздельно, и никак не связать всё в единое целое. Очень много школ с претензиями, сами не знаем как быть. Приходится тупо приходить и с админами на месте решать. Очень неудобно когда по 100-200 пк в здании. Не все админы сетевики до мозга костей, а я уж тем более. Нашел вас тут, на данном форуме через гугл поиск, буду следить за событиями :)

 

О как, отлично! Скажите, что в понимании госконтракта открытый и закрытый сегмент? И есть ли где-то у вас инструкции и описание как это вообще должно работать?

Потому что нам тупо дали IP адрес одна штука и сказали везде воткнуть прокси и всё...

[Udavf]

On 3/1/2022 at 2:27 PM, kaeskat said:

О как, отлично! Скажите, что в понимании госконтракта открытый и закрытый сегмент? И есть ли где-то у вас инструкции и описание как это вообще должно работать?

Потому что нам тупо дали IP адрес одна штука и сказали везде воткнуть прокси и всё...

Насколько мне обьяснили это говно считается открытым. Оно у нас на 2 порту железки.

Закрытый - чебурнет по белым спискам. На 3 порту железки.

On 3/1/2022 at 8:47 AM, TurboBlaze said:

Прозрачный прокси сервер как parent (родительский) без подмены сертификата не будет работать из-за отсутствия секции PRIVATE KEY в сертификате ЕСПД.

Поэтому сайты по HTTP работают, а из-за отсутствие ключа от сертификата ЕСПД по HTTPS нет.

Написал в поддержку ЕСПД и в Минцифры. Шанс получения ключа равен 0, но попытка не пытка. Может кто из сообщества раздобудет ключ и поделится им.

Ты что-то путаешь, их прокси для тебя parent должен быть, потому что твой к нему обращается.

Я поднял свой сквид в непрозрачном режиме, зацепил его к прокси этих уебанов, с вписаным в свойства браузера моим прокси работает все, и HTTPS тоже.

Вроде-бы я с какого-то сертификата забивал PRIVATE KEY, не помню где брал, поищу, напишу.

Но проблема в том что когда прокси вбит, комп посылает url ему, и он отдает данные.

В прозрачном же режиме комп резолвит домен из url в IP, потом подключается к IP.

Для резолвинга нужен DNS сервер, который эти уебаны заблокировали.

На nslookup не отвечает не 8.8.8.8 не 1.1.1.1 не пидортелекомовские 95.167.167.95 и 95.167.167.96.

Проверь у себя, отвечают ли.

Хуесосы обещали передать мой вопрос о доступе к dns своим специананистам по безопасности, cудя по всему как обычно нахуй послали.

[kaeskat]

On 3/1/2022 at 8:16 PM, Udavf said:

с вписаным в свойства браузера моим прокси работает все, и HTTPS тоже.

Вроде-бы я с какого-то сертификата забивал PRIVATE KEY, не помню где брал, поищу, напишу.

Но проблема в том что когда прокси вбит, комп посылает url ему, и он отдает данные.

В прозрачном же режиме комп резолвит домен из url в IP, потом подключается к IP.

Для резолвинга нужен DNS сервер

если раскрывать трафик (MITM) на локальном прокси не нужно, а просто поставить parent РТК, без вмешательства в SSL, то по идее и ключ не нужен?

а для ресолвинга в прозрачном режиме получается нужно чтобы все компы шли на 95.167.167.95, пусть даже через промежуточный ресолвер, т.е. он не должен быть заблокирован, так же вообще ничего работать не будет?

[basabar]

Ставил сервер с раздачей подсети  со второй сетевой карты. вроде все заработал интернет и наличие сертификата РТК в АРМ обязательны иначе не работает. А сегодня 1.03.2022. всё перестало работать. У меня АРМов больше сотни единиц. И это моя вторая работа на 0.5 ставки хоть волком вой. Как только не пробовал все тормозит и отключается если хотя-бы 50 процентов парка в работе.

[Udavf]

On 3/1/2022 at 5:15 PM, kaeskat said:

если раскрывать трафик (MITM) на локальном прокси не нужно, а просто поставить parent РТК, без вмешательства в SSL, то по идее и ключ не нужен?

Да, наверно, я слабо разбираюсь, возможно что так.

Я примерно по статье на хабре «Прозрачный» Squid с фильтрацией HTTPS ресурсов без подмены сертификатов делал.

Quote

а для ресолвинга в прозрачном режиме получается нужно чтобы все компы шли на 95.167.167.95, пусть даже через промежуточный ресолвер, т.е. он не должен быть заблокирован, так же вообще ничего работать не будет?

Вот именно. Если бы был доступен хоть какой-то dns, думаю что все работало бы.

On 3/1/2022 at 5:38 PM, basabar said:

сервер с раздачей подсети  со второй сетевой карты

Ну а без сервера напрямую работает?

[basabar]

Скажу так, одна часть АРМ работает, другая нет. Все в одной подсети. Более менее работают АРМ на WIN 10 на WIN7 почти все АРМы в браузере сначала показывают страницу о проверке ДНС настроек потом снова пытаются найти страницу и в итоге некоторые все же открывают сайты. А в основном нет. Когда ходил по кабинетам и внедрял все эти настройки каждое АРМ более менее работало и открывало сайты. При увеличении включённых АРМ доступ интернет зависает почти навсегда. Попробовал завёл настройки в роутер как на АРМ настроил подсеть в статике. начал проверять на АРМ в разных кабинетах вроде всё  работает. Успокоился отключились от провайдера остались с РТК вот тут то меня директор и напряг. Вообще все висеть стало. Сейчас сижу дома раны зализываю. Да работает на прямую один АРМ берешь на WIN 10 вроде даже и не чего так работает. Берешь так же на WIN 7  не очень, но привыкнуть можно. Но у меня всего 50 ip дали так как сельская школа. А оборудования много в городе столько нет. И думаю если даже выделят на 253 адреса то с тормозами и со сбрасывания с подключения вопрос скорее всего не решиться.

[TurboBlaze]

В 01.03.2022 в 16:16, Udavf сказал:

Ты что-то путаешь, их прокси для тебя parent должен быть, потому что твой к нему обращается.

так и есть

http_port 3128 accel vhost allow-direct

https_port 3129 intercept ssl-bump cert=/etc/squid/squidCA.pem

never_direct allow all

sslproxy_cert_error allow all

ssl_bump peek all

ssl_bump splice all

sslcrtd_program /usr/libexec/security_file_certgen -s /var/cache/squid/ssl_db -M 4MB

cache_peer 10.0.48.52 parent 3128 0 no-query default

nslookup проверю.

 

Трафик DNAT-ом перекидываю firewall-ом маршрутизатора

80 порт на 3128

443 порт на 3129

в мой локальный proxy сервер Squid.

 

В логе получаю:

2022/02/25 12:36:38 kid1| Pinger socket opened on FD 25
2022/02/25 12:36:38 kid1| Configuring Parent 10.0.48.52/3128/0
2022/02/25 12:36:38 kid1| Squid plugin modules loaded: 0
2022/02/25 12:36:38 kid1| Adaptation support is off.
2022/02/25 12:36:38 kid1| Accepting reverse-proxy HTTP Socket connections at local=[::]:3128 remote=[::] FD 22 flags=9
2022/02/25 12:36:38 kid1| Accepting NAT intercepted SSL bumped HTTPS Socket connections at local=[::]:3129 remote=[::] FD 23 flags=41
2022/02/25 12:36:38| pinger: Initialising ICMP pinger ...
2022/02/25 12:36:38| pinger: ICMP socket opened.
2022/02/25 12:36:38| pinger: ICMPv6 socket opened
2022/02/25 12:36:38 kid1| ERROR: NF getsockopt(ORIGINAL_DST) failed on local=10.48.46.165:3129 remote=10.48.46.2:50815 FD 11 flags=33: (2) No such file or directory
2022/02/25 12:36:38 kid1| ERROR: NAT/TPROXY lookup failed to locate original IPs on local=10.48.46.165:3129 remote=10.48.46.2:50815 FD 11 flags=33
2022/02/25 12:36:39 kid1| storeLateRelease: released 0 objects
2022/02/25 12:37:32 kid1| temporary disabling (Forbidden) digest from 10.0.48.52
2022/02/25 12:37:32| SendEcho ERROR: sending to ICMPv6 packet to [2a02:28:2:e::2]: (101) Network is unreachable
2022/02/25 12:38:12| SendEcho ERROR: sending to ICMPv6 packet to [2a00:1450:4010:c09::5e]: (101) Network is unreachable
2022/02/25 12:42:32 kid1| temporary disabling (Forbidden) digest from 10.0.48.52
2022/02/25 12:44:01| SendEcho ERROR: sending to ICMPv6 packet to [2a02:26f0:d0::217:a763]: (101) Network is unreachable

Погуглил и нашел такую трактовку:

> 2006/09/29 21:41:32| temporary disabling (Forbidden) digest from squid2
> 2006/09/29 21:42:32| temporary disabling (Forbidden) digest from squid3

Looks like the squid2 and squid3 does not allow digest exchanges.

 

 

Edited March 1, 2022 by TurboBlaze

[Udavf]

On 3/1/2022 at 6:50 PM, TurboBlaze said:

Трафик DNAT-ом перекидываю firewall-ом маршрутизатора

в мой локальный proxy сервер Squid.

On 3/1/2022 at 6:50 PM, TurboBlaze said:

ERROR: NF getsockopt(ORIGINAL_DST) failed on local=

> i have enabled SSL Bump with certificates, i redirect the 443 on the 3129 port of my Squid server but https sites are not accessible anymore and i can see these errors in logs:
> ERROR: NF getsockopt(ORIGINAL_DST) failed on local=192.168.10.xxx

The connection arriving at Squid does not have any NAT records in the
Squid machine kernel.

It is mandatory that NAT be done on the Squid machine. Not on some
remote router (aka CPE "port-forwarding").
<http://wiki.squid-cache.org/ConfigExamples/Intercept/LinuxDnat>

It is mandatory that you *not* test NAT ports by configuring your
browser to use the proxy via it. Configure the testing browser the same
way teh cleints woudl be tested.

[fedukonelove]

В 01.03.2022 в 18:27, kaeskat сказал:

О как, отлично! Скажите, что в понимании госконтракта открытый и закрытый сегмент? И есть ли где-то у вас инструкции и описание как это вообще должно работать?

Потому что нам тупо дали IP адрес одна штука и сказали везде воткнуть прокси и всё...

@TurboBlaze Открытый сегмент - интернет с контентной фильтрацией (через прокси + сертификат) или без фильтрации (авторизация через ЕСИА, т.е. госуслуги). Закрытый сегмент - доступ для ресурсов на площадке минцифры (obdovz, regschool и т.д.)

У нас в школах такая схема. Криптошлюз стоит, со 2 порта подключается маршрутизатор еср10, от него коммутаторы с которых идут линии до точек доступа. Так же с этих коммутаторов можно настроить порт под lanschool и будет по dhcp раздаваться подсеть такая же как и для вайфая (510 айпишников допускается занять). Вот именно на эту локалку полностью школу перебрасываем. Никакого ната не должно быть, ПК должны полностью в нашу сеть смотреть. Если же нет коммутаторов и точек доступа, а просто криптошлюз, то тогда статикой только настраивать все ПК.. Есть и такие небольшие школы.

3 порт криптошлюза это закрытый сегмент. Выделяется тоже подсеть, но по статике (14 айпишников можно занять). Можно даже завернуть в эту же локалку аплинк с 3 порта кш. На нужном ПК просто статику прописывать. Но одновременно сидеть в интернете и пользоваться закрытыми ресурсами - никак. Вроде есть варик настроить две сетевки, добавлять в прокси исключения и настраивать маршрутизации на самом ПК. Но это танцы с бубном.

Вот как-то так -_-

 

Во всех школах запросы разные. Как сделать, чтобы было удобно всем я не знаю :(

Тут коллективный разум только поможет, но видимо людям свыше не удалось почему-то все по умному сделать..

Edited March 1, 2022 by fedukonelove

[TurboBlaze]

Udavf, судя по Вашему, приведенному выше сообщению, я не могу на маршрутизаторе DNAT-ом перенаправлять трафик на Squid и такая схема нерабочая (как-то не удобно совсем выходит)?

Получается HTTPS заработает, если шлюзом (и DHCP опционально для ЕСПД) должен быть сам сервер Squid и из схемы исключаем маршрутизатор. Если я правильно понял или нет?

 

 

fedukonelove, у меня тупо как swith все настроено, IP адреса раздаются по DHCP из открытого сегмента РКТ (они не NAT-ятся), шлюз так-же указан РТК.

А вот для Squid пришлось сделать в nat цепочки postrouting masquerade

Edited March 1, 2022 by TurboBlaze

[Udavf]

On 3/1/2022 at 7:46 PM, TurboBlaze said:

Udavf, судя по Вашему, приведенному выше сообщению, я не могу на маршрутизаторе DNAT-ом перенаправлять трафик на Squid и такая схема нерабочая (как-то не удобно совсем выходит)?

Получается HTTPS заработает, если шлюзом (и DHCP опционально для ЕСПД) должен быть сам сервер Squid и из схемы исключаем маршрутизатор. Если я правильно понял или нет?

Это то что в интернете нашел.

Я запускал виртуалки с pfsense, openwrt, пробовал через микротик натить на них, сейчас даже не вспомню что заработало, в голове полная каша, как доберусь до школы, запущу, точно скажу как у меня заработало.

Но все равно по сути бесполезно, ведь dns сервера закрыты.

[Saab95]

В 01.03.2022 в 20:41, Udavf сказал:

ведь dns сервера закрыты.

А поставить USB модем от сотовых и с него получать ДНС вариант не рассматривался?

[jesterx777]

Всем привет! Поставили нам это "чудо" от РТК, уже сломали голову всем отделом как "это" настроить.

У нас стоит микротик и есть еще один провайдер, пытались туда завести ЕСПД с прокси сразу, по итогу ничего не вышло. Также пытались завести закрытый сегмент там еще веселее. Непонятно каким образом засунуть DNS с этого закрытого сегмента в микрот, чтобы он открывал bdovz.nso.espd и regschool.nso.espd по имени.

Людям которые заварили эту кашу пламенный привет. Такое извращение я вижу первый раз в своей жизни.

[lea-nsk]

В 02.03.2022 в 08:46, jesterx777 сказал:

 Непонятно каким образом засунуть DNS с этого закрытого сегмента в микрот, чтобы он открывал bdovz.nso.espd и regschool.nso.espd

Альтернативный вариант, можно прописать вручную статику DNS в микротик  через  настройку IP-->DNS-->Static . Только вам потребуется предварительно узнать IP удалённого подключаемого узла.

 

 

 

[jesterx777]

В 02.03.2022 в 10:41, lea-nsk сказал:

Альтернативный вариант, можно прописать вручную статику DNS в микротик  через  настройку IP-->DNS-->Static . Только вам потребуется предварительно узнать IP удалённого подключаемого узла.

 

 

 

Прописал, но ничего не изменилось, сайты не грузятся.

[lea-nsk]

В 02.03.2022 в 11:02, jesterx777 сказал:

Прописал, но ничего не изменилось, сайты не грузятся.

Пинг до конечного узла на самом микротике проходит?

Если не проходит, тогда ищите проблему связанную с сетевыми настройками интерфейса (закрытый сегмент), настройках связанную маршрутизацией и межсетевым экраном на микротике.

 

[jesterx777]

В 02.03.2022 в 11:24, lea-nsk сказал:

Пинг до конечного узла на самом микротике проходит?

Если не проходит, тогда ищите проблему связанную с сетевыми настройками интерфейса (закрытый сегмент), настройках связанную маршрутизацией и межсетевым экраном на микротике.

 

Спасибо вам за "очень развернутый ответ". Хлопцы кто шарящий в этом подскажите как сделать? Возможно ктото уже настраивал всю эту хрень на микротике.

[TurboBlaze]

[lea-nsk]

В 02.03.2022 в 12:01, jesterx777 сказал:

Спасибо вам за "очень развернутый ответ". Хлопцы кто шарящий в этом подскажите как сделать?

Телепаты в отпуске. Чтобы ответить на ваш конкретный вопрос необходимы данные конфигурации ваших настроек маршрутизатора касающихся ЕСПД от РТ.

Или хотя бы укажите ваши действия связанны со схемой подключения маршрутизатора к ЕСПД от РТ с последовательностью производства настроек на маршрутизаторе. 

[Saab95]

А почему они решили делать с прокси, а не просто раздать кучу IP, а потом где-то у себя уже пускать по нужным направлениям? Это же намного проще для пользователей и менять ничего не нужно.

[kaeskat]

On 3/2/2022 at 2:36 PM, Saab95 said:

А почему они решили делать с прокси, а не просто раздать кучу IP, а потом где-то у себя уже пускать по нужным направлениям? Это же намного проще для пользователей и менять ничего не нужно.

Проще вообще дать всего штук 8, всё равно всё по серым подсетям идет.

А прокся нужна чтобы в трафик заглядывать, т.к. фильтрации по доменам недостаточно.

Edited March 2, 2022 by kaeskat