Сертификат электронный бюджет. Типичные ошибки «Электронный бюджет

Одна из самых распространенных ошибок программы АРМ "Электронный бюджет" - ошибка возникающая при подключению к серверу, имеющая индексный номер 434. Решить ее довольно просто, в большинстве случаев помогает всего 2 действия:

1. Обновление сборки Континент TLS до актуальной версии. Например, версия номер 920 работала нестабильно и часто соединение завершалось 434 ошибкой "Сервер назначения недоступен". Актуальную версию можно скачать с сайта securitycode.ru.

2. Проверка правильности ввода адреса личного кабинета пользователя программы "Электронный бюджет" в Континент TLS, а также номера порта (8080). В строке не должно стоять пробелов или каких-либо других символов ни в начале строки, ни в конце. Правильным будет адрес: lk.budget.gov.ru (как на фото). Если же вы настраиваете прокси-сервер через браузер - он должен быть настроен соответствующим образом. Если вы не работаете через прокси-сервер - галочка в настройках TLS стоять не должна. Об этом ниже.

Ошибка 434 "Сервер назначения недоступен". Как убрать?

Если два вышеперечисленных варианта решения проблем вам не помогли (обновление сборки и правильность написания адреса личного кабинета) - значит проблема скорее всего кроется в неправильной установке корневых сертификатов удостоверяющего центра или настройках прокси в браузере и она тоже решаема.

- Касаемо сертификатов - некоторые пользователи при неправильной установке программы ставят корневые сертификаты УЦ и TLS в Реестр, тогда как по инструкции правильно - в Локальный компьютер. В этом случае поможет перемещение сертификатов.

Если вы выбираете настройку прокси-сервера в браузере - она должна быть включена правильным образом. Надо указать тип прокси - HTTP и поставить галочку, что прокси-сервер будет использоваться для всех протоколов. Пример настройки браузера Firefox ниже.

Глобальный адрес: crl.roskazna.ru/crl/fk01.crl

Локальный адрес(для УФК): crl.fsfk.local/crl/fk01.crl

Еще один вариант решения данной ошибки

Ошибка 404 Решение: все худо с настройками.(смотрим выше)

Ошибка 434 Решение: В первую очередь обратить внимание на правильность вводимого адреса(lk.budget.gov.ru/udu-webcenter), особенно на букву «c», если адрес откуда то скопирован. Проверить настройки «Континент TLS» и браузера. (Все выше). В редких случаях фаирвол блочит(встречал только на ПК с comodo, avast) Сам порт открывать без необходимости не стоит, нужно лишь разрешить нормально работать Континент TLS. Как это не прискорбно. Перезагрузка службы «Континент TLS» иногда помогает.

Ошибка 500: Ошибка на стороне сервера. Обновляем страницу в браузере

Ошибка 502: Глобальная проблема связанная с работой сервера

Необходимо обратиться к сис. админу. Решение: перезагрузка службы «Континент TLS» Либо элементарно обновить страницу в браузере.

Необходимо обратиться к регистратору ФК. Решение:

Не установлен сертификат прилагаемый с заявкой(писал выше), либо выбран не верный сертификат. В окне выбора сертификатов справа есть серийные номера по которым легко опознавать необходимый сертификат. Для повторного выбора сертификата,после ошибки, желательна перезагрузка службы «Континент TLS»

- Ошибка 401 Решение: проверить настройки «Континент TLS». Перезагрузка службы «Континент TLS»
- Ошибка 403 Решение: Установить корневой сертификат в локальное хранилище(локальный компьютер) взять можно , дополнительно проверить доступность списка отозванных сертификатов fk01.crl, возможно по каким то причинам блокируется пути.
Глобальный адрес: crl.roskazna.ru/crl/fk01.crl
Локальный адрес(для УФК): crl.fsfk.local/crl/fk01.crl
Еще один вариант решения данной ошибки
- Ошибка 404 Решение: все худо с настройками.(смотрим выше)
- Ошибка 434 Решение: В первую очередь обратить внимание на правильность вводимого адреса(lk.budget.gov.ru/udu-webcenter), особенно на букву «c», если адрес откуда то скопирован. Проверить настройки «Континент TLS» и браузера. (Все выше). В редких случаях фаирвол блочит(встречал только на ПК с comodo, avast) Сам порт открывать без необходимости не стоит, нужно лишь разрешить нормально работать Континент TLS. Как это не прискорбно. Перезагрузка службы «Континент TLS» иногда помогает.
- Ошибка 500 : Ошибка на стороне сервера. Обновляем страницу в браузере
- Ошибка 502 : Глобальная проблема связанная с работой сервера
- Необходимо обратиться к сис. админу.
- Необходимо обратиться к регистратору ФК. Решение:
Не установлен сертификат прилагаемый с заявкой(писал выше), либо выбран не верный сертификат. В окне выбора сертификатов справа есть серийные номера по которым легко опознавать необходимый сертификат. Для повторного выбора сертификата,после ошибки, желательна перезагрузка службы «Континент TLS»

Настройка АРМ Электронного бюджета происходит в несколько этапов, они не сложные, но требуют внимательности. Делаем все по инструкции по настройке электронного бюджета. Коротко и по делу…

Электронный бюджет настройка рабочего места

Корневой сертификат электронный бюджет

Создайте папку key в Моих документах, чтобы хранить в этой папке скаченные сертификаты:

На сайте http://roskazna.ru/gis/udostoveryayushhij-centr/kornevye-sertifikaty/ в меню ГИС -> Удостоверяющий центр -> Корневые сертификаты, необходимо скачать «Корневой сертификат (квалифицированный)» (см. рисунок), либо если вами была получена флешка с сертификатами скопируйте их с папки Сертификаты.

Сертификат Континент TLS VPN

Второй сертификат который необходимо скачать, это сертификат Континент TLS VPN, но я не смог найти на новом сайте roskazna, поэтому ставлю ссылку со своего сайта. Скачиваем сертификат Континент TLS VPN в папку key, он нам пригодиться позднее, когда будем настраивать программу Континент TLS клиент.

Устанавливаем скаченный Корневой сертификат (квалифицированный) для работы с электронным бюджетом.

В меню ПУСК -> Все программы -> КРИПТО-ПРО -> запустите программу Сертификаты.

Перейдите в пункт Сертификаты как показано на рисунке ниже:

Заходим в меню Действие - Все задачи - Импорт, появится окно Мастер импорта сертификатов - Далее - Обзор - Находим скаченный Корневой сертификат (квалифицированный) в нашем случае он находиться в Моих документах в папке key

Если все сделали правильно, то корневой сертификат УЦ Федерального казначейства появиться в папке сертификаты.

Установка «Континент TLS Клиент» для работы с электронным бюджетом

Continent_tls_client_1.0.920.0 можно найти в интернете.

Распаковываем скаченный архив, заходим в папку CD и запускаем ContinentTLSSetup.exe

Из пункта нажимаем на Континент TLS Клиент KC2 и запускаем установку.

Принимаем условия

В папке назначения оставляем по дефолту

В окне запуск конфигуратора, ставим галочку на Запустить конфигуратор после завершения установки.

При установке появиться окно Настройка сервиса:

Адрес - указываем lk.budget.gov.ru

Сертификат - выбираем второй сертификат скаченный ранее в папке key.

Нажимаем ОК и завершаем установку, Готово.

На запрос о перезагрузке операционной системы отвечаем Нет.

Установка средства электронной подписи «Jinn-Client»

Скачать программу Jinn-Client можно в интернете.

Заходим в папку Jinn-client - CD, запускаем setup.exe

Нажимаем из списка Jinn-Client, запускается установка программы

Не обращаем внимания на ошибку, нажимаем Продолжить, Далее, принимаем соглашение и нажимаем кнопку Далее.

Введите выданный лицензионный ключ

Устанавливаем программу по умолчанию, нажимаем Далее

Завершаем установку, на вопрос о перезагрузке операционной системы отвечаем Нет

Установка модуля для работы с электронной подписью «Cubesign»

Если будет нужен архив с программой, пишите в комментариях.

Запускаем установочный файл cubesign.msi

Настройка браузера Mozilla Firefox для работы с Электронным бюджетом.

1. Откройте меню «Инструменты» и выберите пункт «Настройки».

2. Перейти в раздел «Дополнительные» на вкладку «Сеть»

3. В секции настроек «Соединение» нажать кнопку «Настроить…».

4. В открывшемся окне параметров соединения установить значение

«Ручная настройка сервиса прокси».

5. Задать значения полей HTTP-прокси: 127.0.0.1; Порт: 8080.

6. Нажать кнопку «ОК».

7. В окне «Настройки» нажать кнопку «Ок».

Вход в личный кабинет Электронного бюджета

Откроется окно с выбором сертификата для входа в личный кабинет Электронного бюджета.

Выбираем сертификат для входа в Личный кабинет Электронного бюджета, если есть пароль на закрытую часть сертификата пишем и нажимаем ОК, после откроется Личный кабинет Электронного бюджета.

Очередной федеральный геморрой подкрался планово, и как всегда... За основу будет взята инструкция присланная по электронке (с просьбой "инкогнито") дополненная моей лирикой и заметками. Ибо у нас всё заработало. По аналогии с закупками в ⇒ Облако закинул всё, что вам может понадобится.

Лирика и дополнения тоже имеют немаловажное значение, читайте от корки до корки.

Вводная . У нас всё настроено на работу через Internet Explorer версии 11 и стоит антивирус KES 10. После эпидемии шифровальщиков пришлось отключить "Сетевой экран" и теперь мы работаем через Брандмауэр Windows. В "огненной стене" никаких настроек не производилось, ЭБ-2012 работает без проблем. А вот настройки для KES 10 покажу позже. Internet Explorer 11 можно скачать у ⇒ Яндекса .

Итак, поехали...

Пункт №1 . Удалить все версии Jinn-Client и Continent TLS (если были установлены до этого). Перезагрузка.

Лирика . Если у вас не стоит какого-нибудь "самописного" ведомственного софта, рекомендую еще прогнать реестр утилитой Ccleaner . И чистить до тех пор, пока она не выдаст "Ошибок нет". Если стоит VirtualBox - останутся ошибки только от него. Перезагрузка.

Пункт №2 . Удалить Extended Container (если был установлен до этого). Перезагрузка.

Лирика . Я не разобрался как его удалить, остался он в системе - на конечный результат это не повлияло. В крайнем случае можно просто потом поставить свежий поверх. Вот тут нам могут понадобится библиотеки Microsoft Visual C++ (которые я положил в отдельную папку).

Информация . Наше Казначейство в этот раз промолчало, и я искал весь софт самостоятельно и ставил по инструкциям с форумов. В конечном итоге Extended Container стоит у нас не из "официального" дистрибутива, а версия 1.0.2.2 (папка "eXtendedContainer" в Облаке ).

Пункт №3 . Установить браузер Mozilla Firefox 63.0.1 (32-bit), можно обновить поверх старой версии.

Лирика . Пункт выполнил, но это не сработало, а вот настроенное через Firefox СУФД слетело. Получился лишний геморрой. Internet Explorer 11 - наше всё! Тут еще проблема в чём. Firefox и Chrome постоянно обновляются, а конечных требований к безопасности не сформировано,.. и расширения вылетают и отключаются... Firefox ESR тоже проходит этап глобальных изменений... Короче, лучше не трогать.

Пункт №4 . Установить CRL для ГОСТ-2012 (от админа в Доверенные корневые в Локальный компьютер). Скачать свежие можно с crl.roskazna.ru .

Для информации . В разных сертификатах Электронного бюджета указаны разные пути: crl.roskazna.ru и crl.roskazna.ru/crl/ . Если вдруг список окажется просроченным, то можно попробовать с другого адреса. Вдруг проканает.

Лирика . Это не понадобилось, ибо всю эту хрень мы уже проделывали с неудачной попыткой установки Континент-АП 3.7.7.651 (компьютер собран на серверном железе). Не знаю, как остальные, а мы откатились назад на Континент-АП 3.6.90.4 и продолжаем работать без проблем (Континенты ⇒ ). Ждём нормальную версию Континент-АП 4.0.

А вот с ГОСТ-2001 в "Электронном бюджете" возникли проблемы. И этот пункт будет полезен и для общего развития, и для решения проблемы... Как узнать откуда брать CRL (он же "Список отозванных сертификатов")?

Жамкаем дважды в Проводнике на проблемный сертификат. Переходим на вкладку "Состав" и выбираем строку "Точки распространения списка отзыва (CRL)". Получаем адреса... Запускаем любой интернет-браузер и вбиваем URL. Если "пусто" по всем адресам, ну чтож - мертворожденный... :(

То, что мы скачали нужно впихнуть в систему насильственно. И так каждый раз, когда список потеряет актуальность... В том же Проводнике двойной клик на скачанном файле и выбираем "Установить...":

И самое интересное, что пути скачивания прописаны в TLS 2.0, но эта c[мать щенка]а пишет, что по указанному адресу ничего нет.

И для информации : Оказывается сертификаты и контейнеры закрытого ключа независимы по сроку жизни друг от друга. Т.е. сертификат может быть актуальным, но подписать документ уже нельзя...

Пункт №5 . Устанавливаем личный сертификат пользователя через КриптоПро.

Пункт №6 . Зайти в КриптоПро и выставить на вкладке "Настройки TLS" чекбоксы "Не проверять сертификат сервера на отзыв" и "Не проверять назначение собственного сертификата".

Пункт №7 . Устанавливаем Континент TLS Client 2.0.1440. Перезагрузка.

Лирика . В процессе установки может возникнуть ошибка доступа... Это мы уже проходили ранее. Нужно разблокировать ветку реестра (прям в процессе установки), изменить права на её изменения. По умолчанию владельцем ветки является "система", а софт устанавливается от имени пользователя. Поскольку на компах такого уровня пользователи должны быть в "Администраторах" (проверено практикой), то и доступ даём соответственно:

Если возник вопрос "А что показано на картинке выше?"... Самим лучше не лезть, а попросить человека, который знает, что такое "Системный реестр Windows" и как с ним работать.

Пункт №8 . Производим настройку Континент TLS (см. руководство на сайте roskazna.ru, раздел "ГИС-Электронный бюджет").

• lk2012.budget.gov.ru
• lk.budget.gov.ru

Настройки TLS:

Пункт №9 . Регистрируем Континент TLS.

• Win+R и набрать %PUBLIC%\\ContinentTLSClient\\
• Найти файлик PublicConfig.json
• Открыть Блокнотом на редактирование
• В параметре SerialNumber вставить в кавычках значение "test-50000 "
• Перезапустить Континент TLS.

Лирика . Можно поступить проще, никакой крамолы в этом нет - зарегистрироваться официально. Денег за это не попросят.

Пункт №10 . Удаляем программу Extended Container через "Программы и компоненты" в Панели управления. Перезагрузка.

Лирика . Этот пункт я не выполнял. Я не понял, зачем её удалять, она абсолютно не мешает.

Пункт №11 . Устанавливаем Jinn Client 1.0.3050 (требуется серийный номер). Перезагрузка.

Лирика . Нам Казначейство выдало версию 1.0.1130.0, на работоспособности это никак не сказалось. Серийник берем со старой версии ранее выданного дистрибутива.

Пункт №12 . Устанавливаем Extended Container из дистрибутива с Jinn Client (требуется отдельный серийный номер).

Лирика . О каком серийном номере идёт речь я без понятия. Раньше его не было. Возможно имеется в виду выданный номер в свежем дистрибутиве. В отличии от Jinn ограничений на количество установок нет. Новый Extended (версия 1.0.2.2) ставил ранее в попытке решить проблему самостоятельно.

Пункт №13 . Заходим в C:\Program Files\Secure Code\CSP\ и находим файлик csp_uninstal.exe . Запускаем его и удаляем криптопровайдер от Кода Безопасности. Перезагрузка.

Пункт №14 . Заходим Устанавливаем JinnSignExtensionProvider (для взаимодействия с браузерами Chrome и Firefox).

Лирика . Этот пункт тоже пропустил, ибо у нас Internet Explorer 11. На Chrome я не пробовал, а Firefox не заработал.

Пункт №15 . Устанавливаем CadesPlugin (он же - КриптоПро ЭЦП Browser Plug-in).

Лирика . Скачать можно ⇒ . Качаем самую последнюю версию. Прописываем сайт "http://lk2012.budget.gov.ru" в настройки плагина:

Пункт №16 . Настраиваем браузеры:

• Internet Explorer : добавить в Надежные сайты - http://lk2012.budget.gov.ru и https://lk2012.budget.gov.ru
• Firefox: добавить расширение JinnSignExtension.xpi и отключить в настройках сети старую настройку прокси (выставить "Без прокси")
• Chrome: добавляем расширение JinnSignExtension (перетягиваем папку с расширением в окно установки расширений)

Лирика . Еще в Internet Explorer нужно отключить Proxy совсем:

ДАЛЕЕ то, чего не было в инструкции.

Создаём ярлыки на рабочем столе для обоих вариантов (ГОСТ-2001 и ГОСТ-2012) прописывая в объектах строки:

• "C:\Program Files\Internet Explorer\iexplore.exe" http://lk.budget.gov.ru/udu-webcenter
• "C:\Program Files\Internet Explorer\iexplore.exe" http://lk2012.budget.gov.ru/udu-webcenter

И на всякий случай в свойствах предусматриваем запуск от имени Администратора:

Это нужно для того, чтобы браузер не перескакивал во время работы на протокол HTTPS.

Настраиваем Антивирус . В сети рекомендуют отключать антивирус совсем. Отличная шутка, особенно на компьютере управляющем деньгами. Предлагаю настройки для Kaspersky Endpoint Security 10 . На других антивирусах нужно создать подобные правила.

Для начала отключаем проверку трафика:

Затем вносим в исключения контроля за программами обе версии (x86 и x64) Internet Explorer:

Конечно, это не правильно, но это меньшее зло из всех возможных.

Ключи конвертировать придётся. Качаем Конвертер закрытого ключа и там в архиве лежит файлик Readme.doc с инструкциями по установке. Для конвертации дополнительная флэшка не нужна, делаем всё на той же самой, просто добавятся файлы с новым форматом ключа. Носитель станет универсальным. Конвертируются без проблем как новые ключи, так и старые.

Смена пользователя стала намного проще. Теперь не надо перезапускать службу, достаточно просто поменять сертификат в строке "Сертификат пользователя по умолчанию" в настройках Континент TLS.

Удачи вам в нелёгкой борьбе с федеральными порталами!