Ошибка создания подписи: Цепочка сертификатов обработана, но обработка прервана на корневом сертификате, у которого отсутствует отношение доверия с поставщиком доверия. (0x800B0109)
Сертификат не действителен. Цепочка сертификатов обработана, но прервана на корневом сертификате, который не является доверенным (код ошибки 103,104).
Ошибка связана с тем, что сертификат удостоверяющего центра не установлен в списке доверенных. Что бы устранить данную ошибку, необходимо установить корневой сертификат в хранилище операционной системы.
Установка корневого сертификата должна происходить на той машине, на которой происходят криптографические операции (Подписание, Шифрование). В случае использования клиент-серверной версии, с подписанием на сервере, корневой сертификат должен устанавливаться на сервере 1С:Предприятие. Установка на сервере должна происходить под доменным пользователем, под которым добавлен сертификат пользователя.
1. В программе 1С пройти по пути: Сервис — Обмен электронными документами — Профили настроек ЭДО (зайти в профиль) — закладка «Сертификаты организации» (открыть сертификат) — Все действия — Сохранить сертификат в файл.
2. Открыть файл сертификата и перейти на закладку «Состав». Найти поле «Доступ к информации о центрах сертификации» и скопировать ссылку на сертификат Удостоверяющего Центра (ссылка должна заканчиваться на .crt или .cer):
4. Открыть файл скаченного корневого сертификата и нажать кнопку «Установить сертификат. «. В «Мастере импорта сертификатов» на этапе определения хранилища необходимо выбрать пункт «Поместить все сертификаты в следующее хранилище» и указать хранилище «Доверенные корневые центры сертификации»:
5. Если в завершении процесса установки сертификата появится предупреждение, то нужно нажать кнопку «Да»:
Цепочка сертификатов обработана, но обработка прервана на корневом сертификате 0x800b0109
Довольно часто, при настройке рабочего места для работы с ЭЦП, у пользователей возникают проблемы при построении той или иной цепочки сертификатов. Например, очень распространена ошибка 0x800b0109, которая указывает на тот факт, что «Цепочка сертификатов обработана, но обработка прервана на корневом сертификате». В статье мы кратко расскажем, по какой причине установка блокируется и как проблема решается.
Причины ошибки 0x800b0109
Наиболее часто такая ошибка связана с отсутствием сертификата удостоверяющего центра (УЦ) в списке доверенных в системе. Второй причиной может быть отсутствие удостоверяющего центра в базе аккредитованных, из-за чего сертификат блокируется. Третья причина заключается в выборе неверного пользователя, из-под которого устанавливается корневой сертификат. Плюс ко всему, проблема может выскакивать при установке дополнений и приложений, которые не имеют лицензионного сертификата и являются самоподписными.
Как исправить ошибку
При появлении предупреждения «Цепочка сертификатов обработана, но обработка прервана на корневом сертификате» первым делом нужно проверить, присутствует ли организация, выдавшая сертификат, в реестре аккредитованных. Сделать это можно через сайт e-trust.gosuslugi.ru . Поиск можно вести по названию организации или по идентификатору ключа. Будьте внимательны и принимайте во внимание сроки действия.
Дальше проверьте, присутствует ли корневой сертификат УЦ в списке доверенных сертификатов операционной системы. Если его там нет — сертификат необходимо добавить и делается это таким образом:
- На сайте своего УЦ скачиваете файл корневого сертификата;
- Открываете его и жмете «Установить сертификат»;
- Далее укажите пользователя. Если в вашем случае нужно выбрать локального пользователя — указывайте тот профиль, из-под которого выполняются все криптографические действия (шифрование, подписание).
Установка корневого сертификата в список доверенных
Вот наглядная видео инструкция:
В случае возникновения дальнейших сложностей рекомендуем обратиться в поддержку своего УЦ или криптопровайдера.
Устранение неполадок подключения типа «точка — сеть» Azure
В этой статье перечисляются распространенные проблемы подключения типа «точка — сеть», которые могут возникнуть. Кроме того, здесь рассматриваются возможные причины этих проблем и способы их устранения.
Не удалось найти сертификат
При попытке подключения к виртуальной сети Azure с помощью VPN-клиента появляется следующее сообщение об ошибке:
Не удалось найти сертификат, который был бы использован с протоколом расширенной проверки подлинности (EAP). (Ошибка 798.)
Причина
Устранить проблему можно так:
Откройте диспетчер сертификатов. Щелкните Запустить, введите управление сертификатами компьютеров и щелкните Управление сертификатами компьютеров в результатах поиска.
Убедитесь, что перечисленные ниже сертификаты находятся в правильном расположении.
При импорте сертификата клиента не выбирайте параметр Включить усиленную защиту закрытого ключа.
Не удалось установить сетевое подключение между компьютером и VPN-сервером, так как удаленный сервер не отвечает
При попытке подключения к шлюзу виртуальной сети Azure с помощью протокола IKE версии 2 в Windows вы получаете следующее сообщение об ошибке:
Не удалось установить сетевое подключение между компьютером и VPN-сервером, так как удаленный сервер не отвечает
Проблема возникает, если в версии Windows отсутствует поддержка фрагментации IKE
Решение
IKEv2 поддерживается в Windows 10 и Server 2016. Однако для использования IKEv2 необходимо установить обновления и задать значение раздела реестра локально. Версии операционной системы до Windows 10 не поддерживаются и могут использовать только SSTP.
Чтобы подготовить Windows 10 или Server 2016 для IKEv2, сделайте следующее:
Установите значение раздела реестра. Создайте ключ REG_DWORD HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRasMan IKEv2DisableCertReqPayload в реестре или задайте ему значение равное 1.
Получено непредвиденное или неправильно отформатированное сообщение
Получено непредвиденное сообщение или оно имеет неправильный формат. (Ошибка 0x80090326.)
Эта проблема возникает, если выполняется одно из следующих условий.
- Определяемые пользователем маршруты (UDR) с маршрутом по умолчанию в подсети шлюза заданы неправильно.
- Открытый ключ корневого сертификата не был передан на VPN-шлюз Azure.
- Ключ поврежден или истек срок его действия.
- Удалите UDR в подсети шлюза. Убедитесь, что UDR перенаправляет весь трафик должным образом.
- Проверьте состояние корневого сертификата на портале Azure, чтобы узнать, не отменен ли он. Если он не был отозван, попробуйте удалить корневой сертификат и повторить его передачу. Дополнительные сведения см. в разделе Создание сертификатов.
Если сертификаты уже находятся в соответствующих расположениях, попробуйте удалить эти сертификаты и установить их заново. Сертификат azuregateway-GUID.cloudapp.net находится в пакете конфигурации VPN-клиента, скачанном с портала Azure. Для извлечения файлов из пакета можно использовать архиваторы.
Произошла ошибка скачивания файла. Целевой URI не указан
Отображается следующее сообщение об ошибке:
Ошибка скачивания файла. Не указано URI назначения.
Эта проблема возникает из-за неправильного типа шлюза.
Типом VPN-шлюза должен быть VPN, а типом VPN — routebased.
Сбой настраиваемого сценария VPN Azure
Custom script (to update your routing table) failed. (Error 8007026f) (Произошел сбой настраиваемого сценария (для обновления таблицы маршрутизации). (Ошибка 8007026f)).
Это может произойти, если вы пытаетесь открыть VPN-подключение типа «сеть — точка» с помощью ярлыка.
Откройте пакет VPN напрямую, а не с помощью ярлыка.
Не удается установить VPN-клиент
Для установления отношений доверия между VPN-шлюзом и виртуальной сетью требуется дополнительный сертификат. Этот сертификат включен в пакет конфигурации VPN-клиента, который создается на портале Azure.
Извлеките содержимое пакета конфигурации VPN-клиента и найдите CER-файл. Для установки сертификата выполните следующие действия:
- Запустите mmc.exe.
- Добавьте оснастку Сертификаты.
- Выберите учетную запись Компьютер для локального компьютера.
- Перезагрузите компьютер.
- Попробуйте установить VPN-клиент.
Не удалось сохранить VPN-шлюз, так как данные являются недопустимыми
При попытке сохранить изменения для VPN-шлюза на портале Azure появляется следующее сообщение об ошибке:
Эта проблема может возникнуть, если переданный вами открытый ключ корневого сертификата содержит недопустимые знаки, например пробел.
Убедитесь, что данные в сертификате не содержат недопустимых знаков, таких как разрывы строки (возврат каретки). Значение целиком должно находиться в одной длинной строке. Ниже приведен пример содержимого сертификата.
Не удалось сохранить VPN-шлюз, так как имя ресурса является недопустимым
Эта проблема возникает, когда имя сертификата содержит недопустимые знаки, например пробел.
Ошибка 503 при скачивании файла пакета VPN
Если время существования сертификата составляет более 50 процентов, то сертификат сменяется.
Достигнуто максимальное число допустимых подключений. Общее количество подключенных клиентов можно просмотреть на портале Azure.
VPN-клиент не может получить доступ к сетевым файловым ресурсам
VPN-клиент подключился к виртуальной сети Azure. Однако он не может получить доступ к сетевым папкам.
Для доступа к файловым ресурсам используется протокол SMB. Когда VPN-клиент добавляет учетные данные сеанса при инициировании подключения, происходит сбой. После установления подключения клиент принудительно использует кэшированные учетные данные для аутентификации Kerberos. Это инициирует отправку запросов к центру распространения ключей (контроллеру домена) для получения токена. Так как клиенты подключаются через Интернет, они могут не подключиться к контроллеру домена. Следовательно, клиенты не могут выполнить отработку отказа с Kerberos на NTLM.
Единственный случай, в котором клиенту будет предложено указать учетные данные — когда у клиента есть действительный сертификат (в котором для параметра SAN указано имя участника-пользователя), выданный доменом, к которому присоединен клиент. Клиент также должен быть физически подключен к доменной сети. В этом случае клиент пытается использовать сертификат и подключиться к контроллеру домена. Затем центр распространения ключей возвращает ошибку «KDC_ERR_C_PRINCIPAL_UNKNOWN». Это вынуждает клиента выполнить отработку отказа на NTLM.
Чтобы обойти эту проблему, отключите кэширование учетных данных домена в следующем подразделе реестра:
Не удается найти VPN-подключение типа «точка — сеть» в Windows после повторной установки VPN-клиента
Вы удаляете VPN-подключение типа «точка — сеть», а затем переустанавливаете VPN-клиент. В этом случае VPN-подключение не будет успешно настроено. Вы не видите VPN-подключение в параметрах Сетевые подключения в Windows.
Когда клиент подключается к Azure с помощью VPN-подключения типа «точка — сеть», ему не удается разрешить полные доменные имена ресурсов в локальном домене.
VPN-клиент типа «точка — сеть» обычно использует DNS-серверы Azure, настроенные в виртуальной сети Azure. DNS-серверы Azure имеют приоритет перед локальными DNS-серверами, настроенными в клиенте, если метрика интерфейса Ethernet не ниже, поэтому все запросы DNS отправляются на DNS-серверы Azure. Если на DNS-серверах Azure нет записей для локальных ресурсов, запрос завершается ошибкой.
Чтобы устранить эту проблему, убедитесь, что DNS-серверы Azure, используемые в виртуальной сети Azure, могут разрешать записи DNS для локальных ресурсов. Для этого можно использовать DNS-серверы пересылки или серверы условной пересылки. Дополнительные сведения см. в разделе Разрешение имен с помощью собственного DNS-сервера.
VPN-подключение типа «точка — сеть» устанавливается, но по-прежнему не удается подключиться к ресурсам Azure
Это может происходить, если VPN-клиент не получает маршруты из VPN-шлюза Azure.
Чтобы устранить эту проблему, сбросьте VPN-шлюз Azure. Чтобы убедиться, что используются новые маршруты, клиенты VPN «точка-сеть» необходимо загрузить заново после успешной настройки пиринга виртуальной сети.
«Функции отзыва не удалось проверить отзыв, так как сервер отзыва был не в сети. (Ошибка 0x80092013
Это сообщение об ошибке появляется, если клиент не может получить доступ к http://crl3.digicert.com/ssca-sha2-g1.crl и http://crl4.digicert.com/ssca-sha2-g1.crl. Для проверки отмены сертификатов требуется доступ к этим двум сайтам. Эта проблема обычно возникает на клиенте, для которого настроен прокси-сервер. В некоторых средах в случае, если запросы не проходят через прокси-сервер, они запрещаются на пограничном межсетевом экране.
Эта ошибка возникает, если для сервера RADIUS, который использовался для аутентификации VPN-клиента, заданы неправильные параметры или шлюзу Azure не удается подключиться к серверу RADIUS.
Убедитесь, что сервер RADIUS настроен правильно. Дополнительные сведения см. в разделе Интеграция аутентификации RADIUS с сервером Многофакторной идентификации Azure AD.
«Ошибка 405» при скачивании корневого сертификата из VPN-шлюза
Корневой сертификат не установлен. Корневой сертификат установлен в хранилище доверенных сертификатов клиента.
«Удаленное подключение не удалось установить из-за сбоя использованных VPN-туннелей. (Ошибка 800
Драйвер сетевого адаптера является устаревшим.
Обновите драйвер сетевого адаптера.
- Нажмите кнопку Пуск, введите диспетчер устройств и выберите диспетчер устройств из списка результатов. Если появится запрос на ввод или подтверждение пароля администратора, введите пароль или подтвердите его.
- В категориях Сетевые адаптеры найдите сетевой адаптер, который требуется обновить.
- Дважды щелкните имя устройства, выберите Обновить драйвер и щелкните Автоматический поиск обновленных драйверов.
- Если Windows не удастся найти новый драйвер, его можно будет найти на веб-сайте изготовителя устройства и следовать представленным инструкциям.
- Перезагрузите компьютер и повторите попытку подключения.
Набор VPN-подключения <имя VPN-подключения>, состояние = платформа VPN не активировала подключение
В параметрах приложения в Windows для VPN-клиент Azure не включено разрешение «Фоновые приложения».
«Произошла ошибка скачивания файла. Целевой URI не указан
Эта ошибка возникает из-за неправильной настройки типа шлюза.
Типом VPN-шлюза Azure должен быть «VPN», а типом VPN — RouteBased.
Установщик пакета VPN не завершает установку
Причиной этой проблемы могут быть предыдущие установки VPN-клиента.
Проверьте параметры спящего режима и режима гибернации на компьютере с VPN-клиентом.
Для устранения ошибки рекомендуем переустановить все корневые сертификаты и личный сертификат участника.
расположена на клавиатуре слева, между
После нажатия комбинаций клавиш откроется окно:
2. В строке необходимо ввести текст: certmgr.msc и нажать «ОК», откроется окно:
4. Найдите нужный сертификат и откройте его.
— Выделить текст ссылки (без URL=) левой кнопкой мыши, затем скопировать выделенный текст, зажав одновременно две клавиши Ctrl и С:
— Нажать клавишу «Enter» (произойдет автоматическое скачивание сертификата).
Сертификат отобразится внизу окна.8. Нажмите «Сохранить»:
9. Откройте сертификат.
10. В появившемся окне нажмите «Открыть»:
2. Нажмите «Установить сертификат».
3. В открывшемся окне мастера импорта сертификатов укажите «Текущий пользователь» и нажмите «Далее»:
5. Укажите «Доверенные корневые центры сертификации», нажмите «ОК»:
6. Нажмите «Далее»:
7. Для завершения работы мастера импорта сертификатов нажмите «Готово»:
8. Подтвердите установку сертификата, нажав кнопку «ОК»:
II. Корневой сертификат Удостоверяющего Центра:
2. В открывшемся окне нажмите на кнопку «Обзор», чтобы выбрать контейнер для просмотра.
4. Если в контейнере присутствует сертификат, то отобразится информация о нём. Нажмите на кнопку «Установить», после чего утвердительно ответьте на уведомление о замене сертификата (если оно появится). Сертификат установлен.
5. Если кнопка «Установить» отсутствует, то в окне «Сертификат для просмотра» нажмите на кнопку «Свойства». В открывшемся окне выберите «Установить сертификат»:
6. В окне «Мастер импорта сертификатов» выберите «Далее». В следующем окне оставьте переключатель на пункте «Автоматически выбрать хранилище на основе типа сертификата» и нажмите «Далее». Сертификат будет установлен в хранилище «Личные».
7. В следующем окне выберите «Далее», затем нажмите на кнопку «Готово» и дождитесь сообщения об успешной установке.
В случае, когда ошибка только в корневом сертификате остается (код ошибки 0x800B0109):
2) Выполнить команды в терминале на установку корневого сертификата, как это сделать:
Обязательно прописать командам установки путь до сертификата (если используемая ОС Mac)
Last login: Fri Nov 18 16:55:13 on console
Certmgr 1.1 (c) «КРИПТО-ПРО», 2007-2021.
Программа для работы с сертификатами, CRL и хранилищами.
WARNING: Устаревший параметр: «-store root»