Подробный гайд по устранению и настройке проблемы, где один VipNet Coordinator не видит другой

Гайд по диагностике и настройке соединения между узлами VipNet Coordinator: проверка сети, портов, сертификатов, ключей и журналов.

Подробный гайд по устранению и настройке проблемы, где один VipNet Coordinator не видит другой Ниже представлен структурированный гайд по диагностике и устранению ситуации, когда один узел VipNet Coordinator не видит другой. Материал актуален для версий 4.x–5.x и учитывает архитектурные особенности продукта Infotecs.

ВАЖНО:

VipNet Coordinator использует собственную криптографическую инфраструктуру и проприетарные протоколы. Любые изменения рекомендуется проводить в окно обслуживания и после резервного копирования конфигураций.

Что означает «не видит» на практике

В Admin Console это обычно проявляется как:

Статус узла: Недоступен, Нет соединения, Ожидание ключей
Отсутствие трафика в мониторе туннелей
Ошибки в журнале: Connection timeout, Key exchange failed, Certificate validation error
Невозможность пропинговать защищённые сети через узел

Подготовка

Сделайте резервные копии конфигураций обоих Coordinator (.vnc или через Backup/Export).
Убедитесь, что у вас есть права администратора ОС и в VipNet Admin Console.
Зафиксируйте версии Coordinator, ОС, топологию (LAN/WAN/NAT/интернет) и используемые порты.
Откройте официальную документацию к вашей версии (раздел Руководство администратора → Настройка узлов).

Пошаговая диагностика

Шаг 1. Проверка базовой сетевой связности

Действие	Как выполнить
Пинг по IP	`ping <IP_удалённого_Coordinator>`
Трассировка	`tracert` (Win) / `traceroute` (Linux)
Проверка маршрутов	`route print` / `ip route`
Проверка NAT	Убедитесь, что Coordinator видит свой внешний IP, а не трансляцию провайдера. В VipNet есть опция `Обнаружение внешнего адреса` – включите её.

Если пинг не проходит → проблема на уровне маршрутизации, провайдера или оборудования. Решайте до перехода к VipNet.

Шаг 2. Проверка портов и брандмауэров

VipNet Coordinator по умолчанию использует:

UDP 1225 – основные данные туннелей
UDP 1226 – обмен ключами и управляющие сообщения
TCP 1227 (опционально) – удалённое управление

Что проверить:

Открыты ли порты в обе стороны (исходящий + входящий).

2. Не блокирует ли их:

Windows Defender Firewall / iptables / firewalld
Аппаратный фаервол, UTM, провайдерский NAT
SELinux/AppArmor (Linux)

3. Временно отключите фаервол только для теста:

# Linux (firewalld)
firewall-cmd --remove-port=1225/udp --remove-port=1226/udp

# Windows
netsh advfirewall set allprofiles state off

Не забудьте вернуть правила обратно. Для продакшена создайте разрешающие правила с привязкой к IP-адресам Coordinator.

Шаг 3. Настройка в VipNet Admin Console

Откройте Узлы → найдите проблемный узел.

2. Проверьте:

IP-адрес и порт (должны совпадать с фактическими)
Режим работы (Равноправный узел / Клиент / Сервер)
Флаги Использовать NAT, Проброс портов (если узел за NAT)

Если узел добавлен вручную: удалите его и добавьте заново через Мастер добавления узла.
Нажмите Синхронизировать конфигурацию или выполните Экспорт → Импорт между узлами.

Шаг 4. Сертификаты и ключи

VipNet использует асимметричную криптографию. Без валидной пары ключей узлы не установят защищённое соединение.

Что проверить:

В Сертификаты → Узлы убедитесь, что у обоих Coordinator есть действующие сертификаты.
Срок действия не истёк, ЦС доверенный, сертификат не отозван.

3. Выполните ручной обмен ключами:

В Admin Console выберите узел → Обмен ключами → Запросить / Принять.
При необходимости сгенерируйте новые ключи через Мастер создания ключей.

Убедитесь, что в свойствах узла выбран корректный Ключевой контейнер.

Шаг 5. Синхронизация времени

Криптографические протоколы чувствительны к рассинхронизации. Разница > 5 минут часто приводит к отвержению сессий.

Как проверить и исправить:

# Windows
w32tm /query /status
w32tm /config /manualpeerlist:"time.nist.gov" /syncfromflags:manual /update
net stop w32time && net start w32time

# Linux
chronyc tracking
timedatectl set-ntp true

Рекомендуется использовать внутренний NTP-сервер для всех узлов VipNet.

Шаг 6. Анализ журналов

Пути к логам (могут отличаться в зависимости от версии):

Windows: %ProgramFiles%\Infotecs\VipNet Coordinator\Logs\
Linux: /var/log/vipnet/ или journalctl -u vipnet-coordinator

Ищите записи с уровнями `ERROR` / `WARN`:

Connection refused → порт закрыт или служба не запущена
Certificate chain validation failed → проблема с доверием ЦС или сроком
Key exchange timeout → пакеты UDP 1226 не доходят или заблокированы
License expired или Evaluation mode → некоторые функции ограничены

В Admin Console откройте Журнал → включите Подробный режим → воспроизведите попытку подключения → проанализируйте последние 50 строк.

Шаг 7. Перезапуск и восстановление службы

Иногда состояние службы «зависает» после смены сети или обновления.

# Windows
net stop vipnet
net start vipnet

# Linux
systemctl restart vipnet-coordinator
systemctl status vipnet-coordinator

После перезапуска подождите 2–3 минуты и проверьте статус в Admin Console.

Таблица типичных ошибок и решений

Симптом	Вероятная причина	Решение
Статус `Нет соединения`, пинг проходит	Закрыт UDP 1225/1226	Открыть порты, проверить фаервол/NAT
`Обмен ключами завершён с ошибкой`	Несовместимые версии, просроченный сертификат	Обновить ПО, перегенерировать ключи, проверить ЦС
Туннель создаётся, но трафик не идёт	MTU/фрагментация, маршруты защищённых сетей	Уменьшить MTU на 28–40 байт, проверить таблицы маршрутов в VipNet
Узел виден, но статус `Неавторизован`	Рассинхронизация времени, отозван сертификат	Настроить NTP, проверить CRL/OCSP, перевыпустить сертификат
После обновления Coordinator перестал видеть старые узлы	Изменение формата ключей/протокола в новой версии	Использовать режим обратной совместимости или обновить все узлы одновременно

Профилактика и лучшие практики

Версионная совместимость: Не смешивайте Coordinator разных мажорных версий без проверки матрицы совместимости Infotecs.
Централизованное управление: Используйте VipNet Admin Console для синхронизации, а не ручное редактирование конфигов.
Мониторинг: Настройте оповещения по SNMP, syslog или API на изменение статуса узлов.
Регламентное обслуживание: Раз в квартал проверяйте сроки сертификатов, синхронизацию времени и актуальность резервных копий.
Документирование: Ведите реестр IP, портов, ключевых контейнеров и топологии.

Когда обращаться в поддержку Infotecs

Если после выполнения всех шагов проблема сохраняется
При наличии ошибок вида Internal crypto module failure, License validation failed, Database corruption
При планировании миграции между версиями или перехода на VipNet Client/Office
При работе в защищённых сегментах (ГОСТ, ФСТЭК, ФСБ)

Контакты и база знаний: `https://www.infotecs.ru/support/`

Чек-лист быстрого восстановления

[ ] Пинг и трассировка до IP узла проходят
[ ] UDP 1225/1226 открыты в обе стороны
[ ] В Admin Console указаны корректные IP/порты/режим
[ ] Сертификаты валидны, ключи обменены успешно
[ ] Время синхронизировано (разница < 2 мин)
[ ] Служба перезапущена, логи чисты от критических ошибок
[ ] Конфигурация синхронизирована между узлами