Как пробросить эцп на виртуальную машину
По умолчанию в ESXi, начиная с версии 6.5, отключена функция проброса смарт-карт (устройств с драйвером CCID).
Не пробрасываются Рутокен Lite и Рутокены семейства ЭЦП. При этом, устройства, работающие на собственном драйвере (например, Рутокен S) пробрасываются корректно.
Для включения проброса CCID устройств необходимо добавить следующее значение в конфигурационный файл виртуальной машины:
Для включения проброса CCID-устройств воспользуйтесь одним из следующих способов:
1) Откройте Web Client vSphere
2) Выберите нужную виртуальную машину и проверьте, что она отключена
Обратите внимание, что редактировать настройки работающей виртуальной машины нельзя. В противном случае, все внесенные вами изменения не сохранятся
3) Нажмите правой кнопкой мыши на название виртуальной машины и выберите пункт "Edit Settings. "
4) Выберите вкладку "VM Options" — пункт меню "Advanced" — кнопка "Edit Configuration. "
5) В поле "Name" введите значение: "usb.generic.allowCCID", а в поле "Value": значение "TRUE" — нажмите кнопку "Add" — "OK"
6) После внесения изменения включите виртуальную машину и проверьте проброс Рутокен
1) Откройте VMWare ESXi
2) Выберите нужную виртуальную машину и проверьте, что она отключена
Обратите внимание, что редактировать настройки работающей виртуальной машины нельзя. В противном случае, все внесенные вами изменения не сохранятся
3) Нажмите правой кнопкой мыши на название виртуальной машины и выберите пункт "Edit Settings. "
4) Выберите вкладку "VM Options" — пункт меню "Advanced" — кнопка "Edit Configuration. "
5) В столбец "Key" введите значение: "usb.generic.allowCCID", а в столбец "Value": значение "TRUE" — нажмите кнопку "OK"
6) После внесения изменения включите виртуальную машину и проверьте проброс Рутокен
Выключите виртуальную машину
Обратите внимание, что редактировать файл .vmx во время работы виртуальной машины нельзя. В противном случае, все изменения, созданные вами, не сохранятся
Откройте конфигурационный файл виртуальной машины с расширением *.vmx и добавьте следующую строчку
Как пробросить эцп на виртуальную машину
Централизованный доступ к ЭЦП и прочим ключам электронной защиты с помощью аппаратных USB over IP
Хочу поделиться нашим годичным опытом при поиске решения для организации централизованного и упорядоченного доступа к ключам электронной защиты в нашей организации (ключи для доступа к площадкам для торгов, банковские, ключи защиты программного обеспечения и т.д.). В связи с наличием у нас филиалов, территориально весьма разнесенных друг от друга, и наличием в каждом из них по нескольку ключей электронной защиты — постоянно возникает необходимость в них, но в разных филиалах. После очередной суеты с потерянным ключом, руководство поставило задачу — решить эту проблему и собрать ВСЕ USB устройства защиты в одном месте, и обеспечить с ними работу не зависимо от места расположения сотрудника.
Итак, нам необходимо собрать в одном офисе все имеющиеся в нашей компании ключи банк клиентов, лицензий 1с (hasp), рутокены, ESMART Token USB 64K, и т.д. для последующей эксплуатации на удаленных физических и виртуальных машинах Hyper-V. Количество usb устройств – 50-60 и точно, что это не предел. Расположение серверов виртуализации вне офиса (датацентр). Расположение всех USB устройств в офисе.
Изучили существующие технологии централизованного доступа к USB устройствам и решили остановиться на технологии USB поверх IP (USB over IP). Оказывается, очень многие организации пользуются именно этим решением. На рынке есть как аппаратные средства проброса USB по IP, так и программные, но они нас не устраивали. По сему, далее речь пойдет только о выборе аппаратных USB over IP и в первую очередь о нашем выборе. Устройства из Китая (безымянные) мы тоже исключили из рассмотрения.
Наиболее описываемым на просторах интернета аппаратным решением USB over IP являются устройства производства США и Германии. Для детального изучения приобрели большой стоечный вариант этого USB over IP, рассчитанный на 14 портов USB, с возможностью монтажа в 19 дюймовую стойку и немецкий USB over IP, рассчитанный на 20 портов USB, так же с возможностью монтажа в 19 дюймовую стойку. К сожалению на большее количество портов устройств USB over IP у этих производителей не было.
Первое устройство весьма дорогое и интересное (в интернете полно обзоров), но есть очень большой минус — нет никаких систем авторизации для подключения USB устройств. Любой, кто установит приложение для подключения USB, получает доступ ко всем ключам. В дополнение, как показала практика, USB устройство «esmart token est64u-r1» непригодно для использования с устройством и, забегая вперед, с «немецким» на ОС Win7 – при подключении к нему перманентный BSOD.
Второе устройство USB over IP нам показалось интереснее. Устройство имеет большой набор настроек, связанных с сетевыми функциями. Интерфейс USB over IP логично разбит на разделы, так что первоначальная настройка была достаточно простой и быстрой. Но, как упоминалось ранее, возникли проблемы с подключением ряда ключей.
Изучая дальше аппаратные USB over IP натолкнулись на отечественных производителей. Модельный ряд включает 16, 32, 48 и 64 портовую версию с возможностью крепления в 19 дюймовую стойку. Описываемый производителем функционал был даже побогаче, чем у предыдущих приобретенных USB over IP. Изначально понравилось, что отечественный управляемый USB over IP концентратор обеспечивает двухступенчатую защиту USB устройств при совместном использовании USB по сети:
- Удаленное физическое включение и выключение USB устройств;
- Авторизацию для подключения USB устройств по логину, паролю и IP адресу.
- Авторизацию для подключения USB портов по логину, паролю и IP адресу.
- Журналирование как всех включений и подключений USB устройств клиентами, так и таких попыток (не правильный ввод пароля и т.д. ).
- Шифрование трафика (с чем в принципе было неплохо и на немецкой модели).
- Дополнительно подходило, что устройство, хоть и не дешевое, но в разы дешевле купленных ранее (особенно существенной становится разница при пересчете на порт, мы рассматривали 64-х портовый USB over IP).
Наименования и производителей USB over IP устройств не привожу (дабы не было рекламой), их достаточно просто найти в интернете.
Как пробросить эцп на виртуальную машину
По умолчанию в ESXi, начиная с версии 6.5, отключена функция проброса смарт-карт (устройств с драйвером CCID).
Не пробрасываются Рутокен Lite и Рутокены семейства ЭЦП. При этом, устройства, работающие на собственном драйвере (например, Рутокен S) пробрасываются корректно.
Для включения проброса CCID устройств необходимо добавить следующее значение в конфигурационный файл виртуальной машины:
Для включения проброса CCID-устройств воспользуйтесь одним из следующих способов:
1) Откройте Web Client vSphere
2) Выберите нужную виртуальную машину и проверьте, что она отключена
Обратите внимание, что редактировать настройки работающей виртуальной машины нельзя. В противном случае, все внесенные вами изменения не сохранятся
3) Нажмите правой кнопкой мыши на название виртуальной машины и выберите пункт "Edit Settings. "
4) Выберите вкладку "VM Options" — пункт меню "Advanced" — кнопка "Edit Configuration. "
5) В поле "Name" введите значение: "usb.generic.allowCCID", а в поле "Value": значение "TRUE" — нажмите кнопку "Add" — "OK"
6) После внесения изменения включите виртуальную машину и проверьте проброс Рутокен
1) Откройте VMWare ESXi
2) Выберите нужную виртуальную машину и проверьте, что она отключена
Обратите внимание, что редактировать настройки работающей виртуальной машины нельзя. В противном случае, все внесенные вами изменения не сохранятся
3) Нажмите правой кнопкой мыши на название виртуальной машины и выберите пункт "Edit Settings. "
4) Выберите вкладку "VM Options" — пункт меню "Advanced" — кнопка "Edit Configuration. "
5) В столбец "Key" введите значение: "usb.generic.allowCCID", а в столбец "Value": значение "TRUE" — нажмите кнопку "OK"
6) После внесения изменения включите виртуальную машину и проверьте проброс Рутокен
Выключите виртуальную машину
Обратите внимание, что редактировать файл .vmx во время работы виртуальной машины нельзя. В противном случае, все изменения, созданные вами, не сохранятся
Откройте конфигурационный файл виртуальной машины с расширением *.vmx и добавьте следующую строчку
Как пробросить эцп на виртуальную машину
При необходимости пробросить ключ в ОС семейства Windows, развернутую на удаленной рабочей станции, необходимо использовать стороннее ПО (например, USB over Network), работающее через ЛВС, или же аппаратное решение AnywhereUSB.
В случае использования виртуальных сред, можно использовать те же средства проброса, или инструменты, предоставляемые разработчиками виртуальных сред.
1. VMware Workstation
Для проброса в гостевую виртуальную ОС, развернутую в VMware Workstation, из списка виртуальных машин выберите нужную и вызовите контекстное меню правой кнопкой мыши.
Выберите опцию Removable Devices, далее укажите устройство для проброса, выполните проброс опцией Connect
После выполнения указанных действий ключ Guardant должен определиться в гостевой ОС.
ЭЦП от ФНС, приключения с виртуалкой
Небольшие приключения приносит не экспортируемая ключ со флешкой от ФНС. Отсутствие возможности экспорта сделано, как говорят, исключительно для обеспечения безопасности. Однако в случаях, когда работа с ЭЦП нужна внутри виртуальной машины, а еще может быть на сервере виртуальном (вероятнее в ДЦ, где нет физического доступа) — задача становится крайне интересной, а вечер менее томным. Выходов из ситуаций по меньшей мере два:
- Использовать проброс флешки в удаленной сессии (смарт-карта в RDP), соответственно на дополнительных сотрудников покупаем и выписываем дополнительные флешки.
- Пробуем снять данные с флешки и подключить на сервере.
Первый вариант экономически не так приятен и, в случае чего, не дает нам сделать даже резервную копию ЭЦП. Поэтому мы переходим ко второму варианту. Для этого нам понадобится утилита для Рутокена — tokens.exe. После запуска утилиты мы сможем сделать копию данных с флешки и будет с чем работать дальше.
Далее нам как-то нужно добавить то, что мы скопировали, в КРИПТОПРО. Замечу, что речь пойдет о 5-ой версии. Здесь возникает маленькая проблема. Нам нужно либо эмулировать съемное устройство, либо искать вариант. Первое у меня не вышло — ни OSFMount, ни ImgDisk, ни VHD не помогли. А вот в новой КРИПТОПРО есть более интересный вариант носителя — Директория. Как только мы его включим и поместим наши ключики с директорию C:\Users\%username%\AppData\Local\Crypto Pro\MyECP.000, сможем увидеть и подключить нашу электронную подпись.
ЭЦП от ФНС, приключения с виртуалкой
Небольшие приключения приносит не экспортируемая ключ со флешкой от ФНС. Отсутствие возможности экспорта сделано, как говорят, исключительно для обеспечения безопасности. Однако в случаях, когда работа с ЭЦП нужна внутри виртуальной машины, а еще может быть на сервере виртуальном (вероятнее в ДЦ, где нет физического доступа) — задача становится крайне интересной, а вечер менее томным. Выходов из ситуаций по меньшей мере два:
- Использовать проброс флешки в удаленной сессии (смарт-карта в RDP), соответственно на дополнительных сотрудников покупаем и выписываем дополнительные флешки.
- Пробуем снять данные с флешки и подключить на сервере.
Первый вариант экономически не так приятен и, в случае чего, не дает нам сделать даже резервную копию ЭЦП. Поэтому мы переходим ко второму варианту. Для этого нам понадобится утилита для Рутокена — tokens.exe. После запуска утилиты мы сможем сделать копию данных с флешки и будет с чем работать дальше.
Далее нам как-то нужно добавить то, что мы скопировали, в КРИПТОПРО. Замечу, что речь пойдет о 5-ой версии. Здесь возникает маленькая проблема. Нам нужно либо эмулировать съемное устройство, либо искать вариант. Первое у меня не вышло — ни OSFMount, ни ImgDisk, ни VHD не помогли. А вот в новой КРИПТОПРО есть более интересный вариант носителя — Директория. Как только мы его включим и поместим наши ключики с директорию C:\Users\%username%\AppData\Local\Crypto Pro\MyECP.000, сможем увидеть и подключить нашу электронную подпись.
Как пробросить эцп на виртуальную машину
Сообщение cobion » 21 июн 2016 16:05
Re: USB для Крипто Про в виртуальную машину.
Сообщение cobion » 23 июн 2016 07:38
Бог с ним с «пробросом» , решается банальным присоединением физического диска в виртуалку, так как ЭЦП на обычной флэшке записано. а не на Токене. Можно просто копирнуть содержимое на диск в виртуалку и импортировать ключи.
Теперь вопрос в другом, как унифицировать импорт ЭЦП для каждого пользователя в реестр своего профиля, если ферма состоит из 4-рех серверов и каждый узел сеансов должен иметь соответствующую ЭЦП.
На данный момент есть старые терминалки, где и работают пользователи и там уже импортированы некоторые ЭЦП.
Возможно ли как то экспортировать данные сведения об ЭЦП из реестра на новые узлы сеансов, да и как в дальнейшем поступить, либо пользователю приедтся четыре раза аутентифицироваться на каждом из узлов сеансов для того что бы можно было импортировать новую ЭЦП ?
Спасибо!