Как вписать экологический класс в птс: Экологический класс в ПТС — как изменить или вписать при повышении, для грузового и легкового авто

Содержание

Присвоение экологических классов для старых авто будет бесплатным для водителей — Экономика и бизнес

ИЖЕВСК, 12 марта. /ТАСС/. Присвоение экологических классов автомобилям, для которых он не был установлен производителем, не потребует проведения платных экспертиз водителями. Об этом заявил журналистам начальник Главного управления по обеспечению безопасности дорожного движения МВД России Михаил Черников, отвечая на вопрос ТАСС.

«Ничего не нужно будет делать», — сказал он. Так глава ГИБДД прокомментировал опасения владельцев старых автомобилей о том, что им придется за свой счет проводить экспертизы своих машин. По словам Черникова, всю эту работу ГИБДД проведет вместе с Центральным научно-исследовательским автомобильным и автомоторным институтом «НАМИ». Предполагается, что база, которая будет содержать данные об экологических классах всех автомобилей, будет готова к июню-июлю 2021 года. При этом каждый владелец авто будет уведомлен о том, к какому классу отнесена его машина.

«Там, где кто-то будет не согласен, будет в частном порядке разрешаться», — подчеркнул глава ГИБДД. По его словам, около 70% паспортов транспортных средств автомобилей в России не содержат отметки об экологическом классе. Черников также подчеркнул, что выявлять водителей, которые нарушили запрет на въезд в «экологическую зону» в Москве и Санкт-Петербурге, будут камеры.

«Вручную это администрировать бесполезно, — сказал он. — [Будет применяться] Фото- и видеофиксация автоматическая, которая четко будет состыковываться с базой регистрационной и «вытаскивать» из нее экологический класс автомобиля».

В конце января Совет при президенте РФ по развитию гражданского общества и правам человека выступил с идеей об ограничении движения так называемых неэкологичных автомобилей и предложил поделить Москву на зоны, допуск в которые будет зависеть от экологического класса автомобилей. Ограничение предложено ввести для автомобилей ниже класса «Евро-4». Правительство столицы эту инициативу поддержало.

Ранее в пресс-центре МВД сообщили ТАСС, что министерство указанную инициативу рассмотрели и концептуально поддержало ее. Кроме того, МВД рассматривало проект плана мероприятий по совершенствованию нормативно-правового и технического регулирования вопросов введения ограничения движения транспортных средств в зависимости от экологического класса, подготовленный Минтрансом России в соответствии с поручением правительства РФ. Тогда других подробностей в МВД не привели.

Заключение об экологическом классе ТС в Cибири

24-04-2017 30-01-2020 admin

Производство и ввоз автомобильного транспорта предусматривают оформление предпринимателем сертификата ТР ТС, подтверждающего соответствие автомобиля действующим в Евразийском экономическом союзе стандартам, в том числе экологическим. Такое требование является обязательным.

В ходе сертификации проводятся проверки документации предпринимателя, после завершения которых эксперты сертификационного центра делают вывод об экологическом классе транспортного средства. Далее этот класс заносится в ПТС.

Если же транспортное средство уже используется на территории нашей страны, определить его экологический класс можно с помощью оформления официального заключения.

Для чего нужно заключение об экологическом классе ТС?

Данная документация оформляется, как правило, для внесения изменений в паспорт транспортного средства. Дело в том, что зачастую экологический класс автомобиля, указанный в ПТС, не соответствует действительности (например, после внесения изменений в конструкцию авто) или вовсе отсутствует. Наличие достоверной информации, например, может позволить вам эксплуатировать автомобиль на территории, в отношении которой предусмотрены особые правила въезда. Таким образом, подтверждение экологического класса может оградить вас от уплаты предусмотренных законодательством штрафов.

Существующие экологические классы

На территории нашего государства в настоящий момент используется 5 экологических классов автомобильных двигателей (чем выше класс, тем безопаснее автомобиль).  Данная система используется и в странах Евросоюза.

Ранее для подтверждения экобезопасности транспортных средств выдавался сертификат Евро, но после вступления в силу межгосударственного техрегламента 018/2011 данный документ был упразднен.

Как оформить документацию?

Заключение об экологическом классе ТС вы можете оформить с помощью нашего центра «Гортест Сибирь». Для этого вам следует обратиться к нам любым доступным для вас способом, оставить соответствующую заявку и предоставить все данные о заявленном транспортном средстве.

После этого мы быстро проанализируем полученные сведения, сопоставим их с официальными базами и поможем оформить заключение, полностью отвечающее действующим в РФ стандартам.

Помимо заключения об экологическом классе, эксперты «Гортест Сибирь» окажут содействие в оформлении для вас документов о внесении изменений в конструкцию авто, свидетельство БКТС и прочую необходимую документацию.

Оставьте собственную заявку, воспользовавшись удобной формой на сайте!

В Москве и Санкт-Петербурге введут штрафы за въезд в запретные зоны для экологически грязных машин :: Автопортал Третий Рим

4 марта 2019

Минтранс создает «дорожную карту» по введению запретных зон для автомобилей низких экологических классов


Александр Климнов, фото автора, 4r.ru, gazelleclub.ru и mirny.ru


В Москве и Санкт-Петербурге в 2021 году могут ввести зоны, куда въезд автомобилям с моторами низких экологических классов будет запрещен. Так, что миллионы водителей, экологический класс автомобилей которых не определен (а это почти все машины выпуска до 2008 года, но только с 2011 года идет обязательная регистрация автомобилей по данному параметру) могут нарваться на новый «повышенный экологический» штраф. Впрочем, Минпромторг обещает разработать порядок упрощенного получения документов на старые «грязные» автомобили.
В еще в октябре 2018 года президентский Совет по правам человека выработал рекомендации по борьбе с загрязнением воздуха в столичном регионе и далее отправил их главе государства. Потом «мяч» из Кремля был перенаправлен на поле правительства. Соответственно, по поручению вице-премьера Максима Акимова Минтранс, МВД, Минпромторг, Минприроды, правительства Москвы и Санкт-Петербурга должны были подготовить именно к 4 марта «дорожную карту» по введению в данных мегаполисах зон, запрещенных для въезда и сквозного проезда транспортных средств с низким экологическим классом.
Естественно такой сонм ведомств со взаимными согласованиями к сроку не уложился, так что по данным Минтранса их проект все еще находится на согласовании ведомствами, но подробностей не раскрывают.
Пресс-служба департамента транспорта Москвы «Вопрос по вводу ограничений автомобилей по экоклассу – сложный, требующий внимательного изучения. Так, на первом этапе должны рассматриваться ограничения прежде всего для движения грузового транспорта и автобусов, особенно в жилых районах и природоохранных зонах». В комитете по развитию транспортной инфраструктуры Санкт-Петербурга пояснили: «Необходимо, провести дополнительные исследования на предмет установления оптимальных территориальных границ пилотной зоны. Пока нет никаких конкретных действий, мы ждем инструкций из Москвы. Это очень сложная история, много подводных камней, много всего нужно еще сделать».

Об этом же в отношении столицы говорила на своей пресс-конференции в начале февраля председатель комиссии по экологической политике Московской городской Думы Зоя Зотова: «В числе мер Правительства Москвы в области экологии транспорта: в частности закупка более экологически чистого муниципального общественного и коммунального транспорта экологического класса Евро-5, в последние годы идет очень интенсивное обновление парка такого транспорта города Москвы – закуплено свыше 6 тыс. автобусов, 575 троллейбусов и 311 трамваев.

 И, если, говорить об автобусах как о самом массовом виде транспорта, то у 5 тыс. автобусов высокого экологического класса уже выбросы оксида углерода, оксида азота и сажи находятся в рамках статистической погрешности. Кстати, у них лучше динамика и комфортность. С июня 2016 года Москва перешла на топлива уровня Евро-5, что также дало в 5 раз снизить выбросы NOx. В Москве также делается попытка применять в качестве альтернативного топлива компримированный природный газ, который позволяет снизить себестоимость эксплуатации на 15–25% и на 2–3% выбросы загрязняющих веществ. На сегодня по столице курсирует порядка 150 таких автобусов (в основном из 11-го автобусного парка, обслуживающего Северный и Северо-Восточный округа).

Далее запрет на въезд грузового транспорта в центр города в пределы ТТК – 3-го экологического класса, между ТТК и МКАД – 2-го и по полной массе в 6 утра до 22 часов запрещен проезд по МКАД и въезд в город грузовиков полной массой свыше 12 т,

а в пределы ТТК – грузоподъемностью свыше 1000 кг. Вся контролирующая система здесь отлажена. Большое внимание уделяется развитию электрического транспорта и, в частности, 85-местных электробусов, которых в прошлом году запущено по 5-ти регулярным маршрутам порядка 45 ед. и перевезено ими уже свыше 1 миллиона пассажиров. Для них смонтированы 62 зарядные станции. Так, что процесс пошел – за три года планируется, что их количество будет доведено до 900 электробусов.

Парк электромобилей по России свыше 900 машин, из которых в Москве свыше 300 ед., имеются 142 зарядных станции. Наблюдается снижение удельных выбросов автотранспортом благодаря улучшению качества и развитию сети дорог. Так, построено 800 км дорог, включая и 14 магистралей, более 250 развязок, мостов и эстакад и 255 пешеходных переходов. Есть возможности для организации движения. Проведена оптимизация парковок – появилось более 80 тыс. платных парковок, более 10 тыс. перехватывающих и 77,3 тыс. резидентских и льготных парковок».
«В проекте экологической стратегии Москвы до 2030 года выделялось три этапа организации «зон низких выбросов»: первый этап – это ограничение грузового транспорта и повышение экологического класса автобусов; второй этап – расширение этих зон, т.е. ограничение уже не только грузового и общественного транспорта, но и личного автотранспорта; третий этап – четкие требования к экологическим классам автомобилей, так уже будет информирование по маршрутам движения, по графику движения», – добавила она.

Пока же Минтранс действует согласно некоей собственной «дорожной карте», согласно которой к октябрю МВД и Минтранс выдадут на гора свои поправки к КоАП по введению нового штрафа за проезд под знаком, которым обозначается экологически чистая зона. Данный указатель появился в ПДД с июля 2018 года, но пока еще в практику не вошел нигде – его отличает цифра, размещенная в нижней части знака, с указанием экологического класса двигателя автомобилей (Евро-0, Евро-1, Евро-2, Евро-4 и т.п.), ниже которых въезд запрещен. На сегодня штраф при нарушении требований данного знака составляет ₽500, однако, Минтранс предлагает еще усилить ответственность, введя новый вид нарушения с повышенной санкцией, размер которой пока не указывает. Для этого, по словам З.Зотовой, должны быть еще разработаны соответствующие ГОСТы и поправки в целый ряд документов, причем сам пункт этих правил вступит в силу только в 2021 году, после чего таким автомобилям въезд в «чистые зоны» будет запрещен и их водителей будут штрафовать, но пока данный механизм, его технология и алгоритм не отработаны и штраф пока еще прежний в ₽500.

По ее мнению полное осуществление проекта рассчитано до 2030 года, к тому же положительная динамика по снижению вредных выбросов есть, конечно, учитывая весь комплекс проведенных мер. Поэтому самоцелью ограничение въезда экологически «грязного» автотранспорта в город не ставится. Так при увеличении парка автомобилей до 4,7 млн суммарные выбросы от них не только не увеличились, но даже снизились, Так выбросы по данным за последний год снизились: по CO2 – на 2,3%, по CO – на 2%, по взвешенным частицам – на 1,7% и доля транспорта в общем загрязнении атмосферы Москвы снизилась с 95% до 80% с небольшим. Кстати, и промышленные предприятия Москвы (включая НПЗ в Капотне) за последние 5 лет снизили вредные выбросы на 11,8%, а энергетики снизили выбросы на 33% (только малых котельных закрыто 64).
Российский парк машин, в документах которых не указаны данные об экологическом классе, т.е. в возрасте свыше 10 лет, когда данные сведения начали записывать в паспорта транспортного средства (ПТС) составляет более 20 млн или 30% (по другим оценкам до 50%) от всего автопарка. Соответственно, пока что установить нарушение таким автомобилем без экологического класса «чистой зоны» даже при фиксации камерой возможным не представляется. Отсюда и предложение Минпромторга об «упрощенном порядке» присвоения класса старым машинам.
По словам гендиректора компании «Услугиавто» Юрия Пархоменко пока что данная процедура весьма усложнена и затратна для владельца, которому чтобы вписать экологический класс в ПТС сначала необходимо обратиться в специализированную лабораторию или фирму, который, в свою очередь, за ₽3–5 тыс. выдают заключение для ГИБДД. Он поясняет: «Токсичность выхлопа уже давно не замеряют, хотя эксперты по году выпуска автомобиля, модели двигателя, базам данных производителей могут определить, какой экологический класс у машины. Например, если автомобиль из Европы, выпуска после 1997 года, двигатель будет почти наверняка не меньше «Евро-2», соответственно, упрощенный порядок» может выглядеть, например, как сводная таблица, где каждая модель получит свой класс – тогда и дополнительных экспертиз не потребуется».

Первый заместитель председателя комитета ГД по государственному строительству и законодательству, член фракции «Единая Россия», Вячеслав Лысаков утверждает, что: «Сама идея ограничений по выхлопу, может быть, и неплохая, но на практике будет извращена так, что по Москве условно старым автомобилям вообще запретят ездить. У людей не останется выбора, придется платить штрафы, а далее «плодотворную» идею эту быстро подхватят все города. Заявляется, что все это делается для защиты экологии, но по факту речь идет о новом способе зарабатывания денег. Идея Минтранса повысить штраф с этим напрямую и связана». Он резонно считает, что: «Для улучшения экологии городов нужно сначала исключить продажу контрафактного топлива и убрать с дороги чадящие автобусы и грузовики».

Выдача ПТС только в ГИБДД с 1 ноября 2020 года

Добрый день, уважаемый читатель.

В этой статье речь пойдет о приказе министерства внутренних дел Российской Федерации «Об утверждении форм документов, идентифицирующих транспортное средство, и требований к ним», который с 1 ноября 2020 года вводит новые бланки паспортов транспортных средств (ПТС).

Для начала напомню, что приказ состоит из двух больших частей. Первая часть начала действовать с 1 января 2020 года и в ней рассмотрены новые свидетельства о регистрации транспортных средств. Эти нововведения подробно описаны в отдельной статье на pddmaster.ru:

Вторая часть документа посвящена новым ПТС. Именно о них речь пойдет сегодня:

Как будет выглядеть новый паспорт транспортного средства?

В целом, формат паспорта транспортного средства остается прежним. Документ представляет собой лист формата А4.

Правая половина лицевой части заполняется при первичном оформлении ПТС, в нее вносится информация о самом автомобиле и о его производителе.

Что касается левой половины лицевой части и оборотной стороны паспорта, то они делятся на 6 одинаковых частей, в каждую из которых вносится информация о следующем собственнике автомобиля.

Так вот, формат паспорта с 1 ноября 2020 года не изменится, однако будут обновлены отдельные поля документа. Например, правая половина лицевой части будет выглядеть так:

ПАСПОРТ ТРАНСПОРТНОГО СРЕДСТВА
00 АА 000000
Особые
отметки
1. Идентификационный номер (VIN)
2. Марка, модель ТС
3. Наименование (тип ТС)
4. Категория ТС
5. Год выпуска ТС
6. Шасси (рама) №
8. Кузов (кабина, прицеп) №
9. Цвет кузова (кабины, прицепа)
10. Мощность двигателя, л.с. (кВт)
11. Рабочий объем двигателя, куб. см
12. Тип двигателя
13. Экологический класс
14.Технически допустимая максимальная масса, кг
15. Масса в снаряженном состоянии, кг
16. Изготовитель ТС (страна)
17. Одобрение типа ТС №
18. Страна вывоза ТС
19. Серия, № ТД, ТПО
20. Таможенные ограничения
21. Наименование (ф.и.о.) собственника ТС
22. Адрес
23. Наименование организации, выдавшей паспорт
24. Адрес
25. Дата выдачи паспорта

Разберемся, какие именно поля будут обновлены:

Старое название графыНовое название графы
4. Категория ТС (A, B, C, D, прицеп)4. Категория ТС
5. Год изготовления ТС5. Год выпуска ТС
14. Разрешенная максимальная масса, кг14. Технически допустимая максимальная масса, кг
15. Масса без нагрузки, кг15. Масса в снаряженном состоянии, кг
Подпись
М.П.

Поля «Год выпуска ТС», «Технически допустимая максимальная масса, кг», «Масса в снаряженном состоянии, кг» фактически просто изменили свои названия. В них будет вноситься та же самая информация, что и раньше.

Обновленное поле «4. Категория ТС» будет заполняться по новым правилам, об этом речь пойдет ниже.

Что касается полей «Подпись» и «М.П.» (место печати), в которые ставится подпись и печать должностного лица, которое оформило паспорт ТС, то эти поля в новом бланке отсутствуют.

Примечание. Не исключено, что в тексте нормативного документа допущена ошибка, то есть поля «Подпись» и «М.П.» просто забыли добавить в бланк. В пользу этого варианта говорит тот факт, что в правилах оформления ПТС есть пункты, регламентирующие заполнение этих полей. То есть самих полей нет, а правила их оформления присутствуют.

Где можно оформить паспорт транспортного средства?

2. Оформление паспорта производится подразделениями Государственной инспекции безопасности дорожного движения Министерства внутренних дел Российской Федерации, на которые возложены обязанности по предоставлению государственной услуги по регистрации автомототранспортных средств и прицепов к ним3, взамен утраченных, пришедших в негодность, а также при невозможности их дальнейшего использования вследствие заполнения всех реквизитов об изменении собственников транспортного средства по заявлению собственника транспортного средства при совершении регистрационных действий в отношении транспортного средства.

Пункт 2 приложения 3 к приказу МВД говорит о том, что с 1 ноября 2020 года новые ПТС будут оформляться только в ГИБДД.

Напомню, что до 1 ноября 2020 года ПТС, в соответствии с Постановлением «О введении паспортов транспортных средств», могут оформляться также:

  • организациями-изготовителями;
  • таможенными органами Российской Федерации.

И при беглом изучении нормативных документов у водителя может возникнуть недопонимание. Почему изготовители и таможня не могут оформлять ПТС? Неужели в эту цепочку теперь добавится ГИБДД и процедура станет сложнее?

На самом деле ответ на эти вопросы очень простой. С 1 ноября 2020 года бумажные ПТС не будут выдаваться на новые автомобили и на автомобили, ввозимые из-за рубежа. Для них станут обязательными электронные ПТС:

То есть и изготовители автомобилей, и таможенные органы будут сразу же оформлять электронные ПТС (эПТС). А бумажные ПТС будет выдавать только ГИБДД и только на автомобили, находящиеся в эксплуатации.

Отмена возможности оформления ПТС «от руки»

21. Заполнение паспорта производится с использованием принтера электронно-вычислительной машины (за исключением лазерного) или иного печатающего устройства, либо от руки разборчиво (печатными буквами).

Оформление паспорта осуществляется путем заполнения его соответствующих строк и разделов с использованием принтера электронно-вычислительной машины (за исключением лазерного) или иного печатающего устройства.

Данный пункт говорит о том, что с 1 ноября 2020 года оформить ПТС можно будет только на принтере, заполнить документ от руки будет нельзя.

Примечание. Нужно понимать, что речь идет именно об оформлении ПТС, то есть о заполнении правой половины лицевой части паспорта сотрудниками ГИБДД.

Что касается внесения информации в ПТС при смене собственника, то ее, как и раньше, можно вписать ручкой «от руки».

В принципе, это нововведение не должно привести к каким-то серьезным проблемам, т.к. сотрудники ГИБДД уже много лет вносят информацию в ПТС с помощью принтеров.

Какие сокращения допускаются в ПТС?

22. Текст, вносимый в бланки паспортов, должен быть воспроизведен разборчиво, наименования юридических лиц, фамилии, имена и отчества граждан не должны содержать сокращений, так же как адреса юридических лиц и места жительства физических лиц. При недостатке выделенного поля должны использоваться общепринятые сокращения.

3. Текст, вносимый в паспорт, должен быть воспроизведен разборчиво. Фамилии, имена и отчества (при наличии) физических лиц не должны содержать сокращений. При недостатке поля, выделенного для внесения сведений о наименовании юридического лица, адресах места нахождения юридического лица, места жительства индивидуального предпринимателя, а также места жительства (пребывания) физического лица должны использоваться общепринятые сокращения. Допускается указывать сокращенное наименование юридического лица в соответствии со сведениями, содержащимися в Едином государственном реестре юридических лиц.

В данном пункте есть несколько важных изменений:

  1. Разрешается сокращать наименование юридического лица.
  2. Разрешается сокращать место нахождения юридического лица, место жительства ИП или физического лица.
  3. При сокращении наименования юридического лица кроме общепринятых сокращений допускается использовать сокращенное наименование из ЕГРЮЛ.

Как заполнить «пустые» поля в ПТС?

При отсутствии значений каких-либо реквизитов или при невозможности их установить в соответствующих полях делается запись «отсутствует» или «не установлено». Внесение не предусмотренных настоящим Положением записей, знаков или символов в паспорта либо оставление значений реквизитов незаполненными не допускается.

При отсутствии значений каких-либо реквизитов или при невозможности их установить в соответствующих полях делается запись «отсутствует». Внесение иных записей, знаков или символов либо оставление значений реквизитов незаполненными не допускается.

Основное отличие заключается в том, что в новой редакции для «пустых» полей предусмотрено всего одно значение — «отсутствует«. Ранее в ПТС также могла вноситься фраза «не установлено», однако с 1 ноября 2020 года она применяться не будет.

Что делать, если при заполнении ПТС допущена ошибка?

Для начала напомню, что в случае перехода права собственности на автомобиль (например, при его продаже), покупатель и продавец должны совместно внести информацию о новом собственнике в ПТС:

Для внесение данных выбирается очередное свободное «окно». При этом, если при заполнении поля допущена ошибка, то имеет смысл это поле перечеркнуть крест-накрест, а для внесения нового собственника использовать еще одно поле.

Однако изменения от 1 ноября 2020 года предлагают и еще один вариант:

При ошибочном заполнении реквизитов паспорта физическими лицами на основании заключенных договоров (соглашений) о переходе (изменении) права собственности необходимые изменения и дополнения вносятся в раздел «Особые отметки» собственниками транспортных средств.

Изменения (исправления), вносимые собственниками транспортных средств из числа физических лиц, заверяются их подписями (прежнего и настоящего собственника транспортного средства).

Этот пункт говорит о том, что если при внесении нового собственника в ПТС допущена ошибка, то можно вписать правильную информацию в поле «особые отметки». При этом исправление нужно заверить подписями предшествующего и нового собственников.

Пусть ошибка допущена в поле «Дата продажи (передачи)». Вместо значения «16.06.2020» внесено значение «16.06.2002».

В этом случае, чтобы не использовать дополнительное «окно» в ПТС, нужно в поле «особые отметки» текущего «окна» указать:
«Дата продажи (передачи): 16.06.2020, исправленному верить [подпись продавца] [подпись покупателя]».

При этом неправильную дату в основном поле следует зачеркнуть.

Внесение категорий и подкатегорий в ПТС

28. В строке «4. Категория ТС (А, В, С, D, прицеп)» указывается категория, которая соответствует классификации транспортных средств 1:

A — мотоциклы, мотороллеры и другие мототранспортные средства;

B — автомобили, разрешенная максимальная масса которых не превышает 3500 кг и число сидячих мест которых, помимо сиденья водителя, не превышает восьми;

C — автомобили, за исключением относящихся к категории «D», разрешенная максимальная масса которых превышает 3500 кг;

D — автомобили, предназначенные для перевозки пассажиров и имеющие более 8 сидячих мест, помимо сиденья водителя;

прицеп — транспортное средство, предназначенное для движения в составе с транспортным средством. Этот термин включает в себя полуприцепы.

11. В строке «4. Категория ТС» указывается категория или подкатегория транспортного средства в соответствии с пунктом 1 статьи 25 Федерального закона от 10 декабря 1995 г. N 196-ФЗ «О безопасности дорожного движения», а также приложением N 1 к техническому регламенту Таможенного союза4.

4 Например: «B/M1», «C1/N2», «прицеп/O2».

Серьезным изменениям подверглись пункты, связанные с внесением в ПТС категории транспортного средства.

С 1 ноября 2020 года в этом пункте будут через дробь указываться 2 категории:

Напомню, что аналогичная информация о категории автомобиля с 1 января 2020 года вносится и в свидетельство о регистрации ТС.

Например, для самых распространенных легковых автомобилей в ПТС должна быть указана категория B/M1.

Заполнение графы «Тип двигателя»

35. В строке «12. Тип двигателя» указывается тип двигателя в зависимости от применяемого топлива.

18. В строке «12. Тип двигателя» указывается тип двигателя в зависимости от источника питания (топлива или электроэнергии).

В данном случае пункт изменился не сильно, однако новая редакция позволяет выдавать паспорта транспортных средств в том числе и на электромобили.

Заполнение графы «Экологический класс»

36. В строке «13. Экологический класс» прописью указывается один из экологических классов, которому соответствует транспортное средство.

19. В строке «13. Экологический класс» прописью и числовым значением указывается один из экологических классов, которому соответствует транспортное средство4.

4 Например: «четвертый/4».

Основное отличие состоит в том, что экологический класс теперь будет указываться не только словом, но и числом.

Заполнение граф «Подпись» и «М.П.»

30. В разделе «Подпись» проставляется подпись должностного лица подразделения Госавтоинспекции.

31. В разделе «М.П.» проставляется оттиск печати выдавшего паспорт подразделения Госавтоинспекции.

Наибольший интерес в данном случае представляет то, что графы «Подпись» и «М.П.» (место печати) отсутствуют в новом бланке паспортного средства. То есть правила заполнения полей существуют, а самих полей нет.

Судя по всему в документе была допущена ошибка. Скорее всего она будет исправлена в следующих редакциях.

В заключение хочу еще раз напомнить, что рассмотренные выше изменения вступают в силу с 1 ноября 2020 года. Начиная с этой даты на все новые транспортные средства будут выдаваться только электронные ПТС. На автомобили, находящиеся в эксплуатации, также может быть оформлен электронный ПТС, но только при желании владельца этого автомобиля.

Если же автовладелец хочет продолжить использовать традиционный бумажный ПТС, это не вызовет никаких проблем. Если бумажный ПТС закончился, то его можно заменить на еще один бумажный. В данной статье как раз и рассмотрены правила оформления новых бумажных ПТС.

При желании Вы можете самостоятельно изучить полный текст приказа министерства внутренних дел Российской Федерации «Об утверждении форм документов, идентифицирующих транспортное средство, и требований к ним»:

Удачи на дорогах!

«Как оформить двигатель от другой машины?» – Яндекс.Кью

Для того чтобы оформить двигатель (ДВС) от другой машины необходимо предварительно уточнить возможность внесения изменения в конструкцию данного транспортного средства, так как не все ДВС можно оформить. Чаще всего причиной отказа служит такой показатель ДВС как экологический класс. Экологический класс на двигатели который вы хотите поставить должен быть либо равным либо выше чем экологический класс на установленном ДВС. Для определения возможности внесения изменения в конструкцию ТС, а в вашем случае, установку другого ДВС, необходимо на почту [email protected] отправить фото/скан ПТС и написать марку и модель двигателя который вы планируете устанавливать. Наш технический эксперт в течении одного рабочего дня проверит возможность данного переоборудования и даст вам развернутый ответ. В случае положительного ответа, вам необходимо пройти процедуру регистрации (узаконивания) внесенных изменеий, а именно:
  Вы отправляете сканы ПТС, СТС, Паспорт владельца авто, описываете что вы переоборудовали.  
  Мы составляем договор, выставляем счет, оплачиваете половину, делаем заключение предварительной тех экспертизы.
Вы едите с этим заключением и с заполненным заявлением на переоборудование в гибдд (либо заполняете заявление в гибдд самостоятельно), получаете разрешение (на заполненном заявлении ГИБДДешник ставит резолюцию «разрешено» — это и есть разрешение)  на переоборудование, проводите переоборудование, если уже переоборудованы то ничего не делаете. Отправляете на скан разрешения (подписанного заявления) нам.
Вы проходите техосмотр.    
Мы готовим второй комплект документов: Протокол тех экспертизы, заявление – декларацию, прикладываем сертификаты от СТО.
Вы едите в ГИБДД на этом (переоборудованном) авто на осмотр со всеми документами: заключение предварительной тех экспертизы
-протокол тех экспертизы
-заявление декларация от СТО о проведенных работах
-сертификат от СТО
-диагностическая карта ТО
-птс
-стс
-паспорт владельца авто
Проходите осмотр авто, сдаете документы, в течении 3 дней (возможно по дольше) вам выдают Свидетельство об изменении конструкции ТС, новую СТС и делают отметку в ПТС. Перед этим необходимо оплатить гос пошлину 800 руб за новую СТС.

Артем Турбин

эксперт по переоборудованию «Авторегистр»

8 (800) 550—38—53

Транспортный налог сделают выше – Бизнес – Коммерсантъ

Минпромторг хочет с 2021 года увеличить базовую ставку транспортного налога на автомобили экологического класса Евро-3 и ниже. В министерстве уточняют, что инициатива касается только коммерческого транспорта. Сейчас на федеральном уровне такие ставки установлены только исходя из мощности двигателя, но регионы могут дифференцировать ставки по году выпуска или классу. При этом депутаты предлагают вовсе запретить эксплуатацию коммерческого транспорта ниже классов Евро-0 и Евро-1. Таких, по данным ГИБДД, как минимум 468,2 тыс. машин по всей России, без учета автомобилей, по которым нет данных об экологическом классе (2,6 млн штук грузовиков).

Минпромторг в ближайшее время отправит Минтрансу предложение резко увеличить с 2021 года базовую ставку транспортного налога для автомобилей Евро-3 и ниже, сообщил замглавы министерства Александр Морозов в ходе совещания по развитию городского электрического пассажирского транспорта. В Минтрансе воздерживаются от комментариев.

В Минпромторге “Ъ” уточнили, что в соответствии с имеющимися поручениями правительства министерство совместно с федеральными органами исполнительной власти готовит предложения по увеличению ставок транспортного налога в отношении коммерческой техники экологического класса 3 и ниже.

Ее количество, по оценке Минпромторга, превышает 3 млн штук. Такая техника ежедневно наносит непоправимый ущерб экологии и здоровью граждан РФ, считают там, а предлагаемая мера позволит повысить привлекательность новых и более экологичных транспортных средств, что в свою очередь окажет позитивное воздействия на окружающую среду.

Этот налог — региональный. Сейчас базовые ставки транспортного налога устанавливаются на федеральном уровне исходя из мощности двигателя. Также НК РФ разрешает регионам устанавливать дифференцированные ставки в отношении каждой категории транспортных средств, а «также с учетом количества лет, прошедших с года выпуска транспортных средств, и (или) их экологического класса».

Глава комитета по транспорту и строительству Госдумы Евгений Москвичев выступил с более радикальным предложением — запретить коммерческие автомобили с классом Евро-0 и Евро-1.

«Давайте скажем «нет» через два года автомобилям, которые работают на коммерческой основе, (с экологическим классом) Евро-0 и Евро-1, давайте мы их в историю сдадим, им по 35–37 лет, а мы покупаем, покупаем запчасти»,— сказал он (цитата по ТАСС).

По данным ГИБДД на конец 2018 года (последние актуальные данные), в РФ зарегистрировано почти 60,6 млн транспортных средств. Из них легковых автомобилей (всего 47,4 млн машин) класса Евро-0 — 2,1 млн штук, первого — 651,5 тыс. машин, второго — 2,6 млн машин, Евро-3 — 4,8 млн машин. При этом экологический класс не установлен у 14,3 млн автомобилей. Грузовиков в РФ зарегистрировано 6,5 млн штук. Из них для 2,6 млн машин не установлен экологический класс. К Евро-0 относятся 397,2 тыс. автомобилей, Евро-1 — почти 89 тыс. машин, Евро-2 — 576,8 тыс. штук, Евро-3 — 1 млн машин.

В КамАЗе “Ъ” сказали, что концерн против какого-либо запрета на эксплуатацию автомобилей низкого экологического класса. «Мы за экономические меры стимулирования вывода из эксплуатации таких грузовиков и создания условий безболезненного перехода эксплуатантов техники на более высокий экологический класс,— поясняют там,— а что это будет — вопрос обсуждения экспертного сообщества и заинтересованных ведомств». В КамАЗе добавляют, что поддерживают инициативу Минпромторга. В группе ГАЗ говорят, что правительство не может не реагировать на факт стремительного устаревания парка и решает проблему безопасности пассажирских перевозок и перевозок опасных грузов.

«Соллерс» также поддерживает инициативу повышения ставки транспортного налога на коммерческие автомобили класса Евро-3 и ниже, говорят в компании. Сейчас процент выбытия старого автопарка в коммерческом сегменте очень низкий — 3% в год, тогда как нормальный уровень выбытия составляет не менее 7%, поясняют там. В результате доля машин старше 10 лет в парке коммерческого транспорта превышает 70% от общего объема и остается критически высокой, что представляет собой и экологическую (объем загрязняющих выбросов), и экономическую (эксплуатация автопарка в серой зоне) проблему, отмечают в «Соллерсе». Кроме того, при использовании в частных перевозках устаревший автопарк ещё и представляет собой потенциальную угрозу безопасности для пассажиров, заключают в концерне.

С точки зрения безопасности подобные инициативы, направленные на то, чтобы так или иначе ограничить эксплуатацию «старых» автомобилей, верные, считает директор по маркетингу автодилера «Авилон» Андрей Каменский. Но он отмечает, что государству необходимо поддержать собственника, на которого ложится дополнительная нагрузка. Подобную идею непросто реализовать без специальных стимулирующих программ, которые бы помогли способствовать обновлению автопарка, поясняет господин Каменский: это может быть возобновление ранее доказавших свою эффективность госпрограмм по обновлению автомобильного парка, в рамках которых автовладельцы при сдаче старой машины получали бы скидку на новую.

Источник “Ъ” в одном из концернов поддерживает необходимость возобновления господдержки обновления парков.

«У Минпромторга всегда была позиция, что обновления парка нужно добиваться стимулирующими мерами, но вместе с тем министерство само же похоронило наиболее эффективную меру — программу обновления парка, а без неё с этой задачей они никогда не справятся»,— добавляет он.

Ольга Никитина, Иван Буранов


Таблица евро 4 автомобили


Определяем, какие автомобили соответствуют Евро-4

Нормы евро-1 были приняты еще в 1992 в странах Европы, распространившись потом на остальные страны мира. Евро норма 3 вступила в действие на территории России с 1 января 2008 года. Она предусматривала полный комплекс стандартов по безопасности автомобиля для окружающей среды. При этом все авто, «выхлоп» которых не отвечал этим правилам и не успевшим получить ПТС до начала января, были запрещены для эксплуатации. То же самое произошло в 2005 году, когда в Японии принят стандарт евро 3был: тогда японские автомобили выпуска 2004 года таможня просто не пропускала на территорию России.

1 января 2010 года в России приняли новые экологические нормы евро 4. Стандарт евро 4 автомобили российского производства поддерживают, также как и европейские. При введении более строгих норм евро 4 машины, производимые на территории РФ, будут более экологичными и безопасными. Также был определен список автомобилей евро 4, которые могут свободно импортироваться. Согласно евро 4 выбросы в атмосферу должны быть минимальными, что повлечет за собой постепенное улучшение экологической ситуации в стране.

Остается важным вопрос: авто с Евро 4 с какого года выпускаются они на территории России? Ответ тут не так уж и прост. Какие автомобили попадают под евро 4, определяет законодательство. Все авто, начиная с 2010 года, должны соответствовать стандарту Евро 4. Однако на практике оказалось, что не все отечественные авто могут это сделать сразу, поэтому они получили отсрочку на два года.

Поскольку все автомобили, которые будут ввезены на территорию РФ с 2012 года, в обязательном порядке должны будут отвечать стандарту евро 4, как узнать соответствуют они ему или нет? Это можно сделать при прохождении сертификации. В евро-4 список автомобилей обширен, но также широк и перечень того, какие автомобили соответствуют евро 4 не в полной мере. В евро-4 список машин уже вошел один из российских авто Chevrolet Niva выпуска 2009 года (после 1 декабря).

Сегодня существует таблица соответствия нормам евро 4, при помощи которых каждый может самостоятельно предварительно определить экологический класс своего автомобиля. Также таблица соответствия нормам евро-4 поможет узнать, можно ли получить евросертификат на авто. Какие авто соответствуют евро-4 можно определить и по типу двигателя (разделение на бензиновые и дизельные). Все это позволит вам выяснить, какие машины подходят под евро 4, а какие нет, и есть ли необходимость в смене автомобиля, или можно просто его усовершенствовать, подведя к евростандартам данного экологического класса. Проверка ВИН кода на Евро 4 – еще один способ самостоятельно определить принадлежность авто к экологическому классу. Сделать это можно на официальном сайте ФА по техрегулированию и метрологии.

Как из евро 3 сделать евро 4 официальным, законным способом? В Европе владельцы автомобилей уже знают, как это сделать правильно. Во-первых, улучшение авто делается только на 1 класс. Во-вторых, без завода-изготовителя сделать это невозможно, поскольку они разрабатывают рекомендации и обладают нужным оборудованием, изготавливающие запчасти вместо старых деталей для определенных моделей машин. Это производится для того, чтобы снизить токсичность выхлопных газов, увеличивая класс экологичности авто.

Таблица для определения принадлежности автомобиля Евростандартам:

Страна происхожденияГоды выпуска транспортных средств, включительно:
Не соответствующих требованиям технического регламента на момент ввоза в Российскую Федерацию (имеющих экологический класс 1 и ниже)Соответствующих требованиям технического регламента, по экологическим классам:
234
Страны ЕС* (бензиновые двигатели)до 19961997-20002001-2004с 2005
Страны ЕС* (дизельные двигатели)до 19961997-20012002-2004с 2005
СШАдо 19951996-20002001-2003с 2004
Япониядо 19971998-20082005-2010с 2011
Канададо 20002001-2003с 2004
Индиядо 20042005-2009с 2010
Малайзиядо 2002с 2003
Китайдо 20032004-2007с 2008
Кореядо 20002001-20022003-2005с 2006
Украина (кат. M)до 2005с 2006
Украина (кат. N)до 2006с 2007

Самый же простой способ определить соответствие автомобиля ЕВРО стандартам — задать вопрос специалисту и оперативно получить ответ.

Какие авто подходят под Евро-4?

Минтранском РК разъяснил порядок применения Таблицы соответствия ввозимых в Казахстан АТС и двигателей внутреннего сгорания требованиям нового экостандарта.

Как отметили в ведомстве, в настоящее время автомобили, бывшие в эксплуатации, ввозятся в Казахстан в упрощённом порядке, согласно Таблице соответствия, по которой определяется их экологический класс в зависимости от года выпуска и страны производства. К примеру, под стандарт Евро-4 подпадают авто, выпускаемые в странах Европейского союза с 2005 года, в США и Корее — с 2006 года, в Японии и России — с 2010 года, а в Китае — с 2012 года.

При этом, по словам начальника Управления автомобильного транспорта и нормативов МТК РК Селима Куанышулы, происхождение автомобиля при его регистрации в РК будет признаваться по стране, указанной в документах. К примеру, японские марки, произведённые в Америке, если в документах присутствует пометка «Сделано в США», станут считаться американскими.

— Транспортные средства, страна происхождения которых не указана в таблице, согласно техрегламенту, будут регистрироваться в следующем порядке: новые авто, в возрасте до 3 лет, станут проходить сертификацию, предъявив документ «Одобрение типа». Более старым придётся доказывать соответствие автомобиля стандарту Евро-4 на основании техпаспорта или справки от завода-изготовителя либо проходить лабораторные исследования на безопасность, — пояснил чиновник.

Селим Куанышулы также подчеркнул, что японские машины считаются соответствующими Евро-4 с 2010 года.

 

— Когда мы только разрабатывали техрегламент, в таблице присутствовали лишь экостандарты Евро-2 и Евро-3. Японские авто там отмечались как соответствующие Евро-3 с 2005 по 2010 год. Но Япония начала производить автомобили Евро-4 только в 2010 году. А изменить норматив, написав: «Япония — Евро-3: 2005 — 2009гг.», мы не могли, так как по закону любое изменение норм не должно ухудшать прежние действующие положения. Одним словом, сегодня японские машины считаются соответствующими нормам Евро-4 с 2010 года. Все без исключения.

Таблица соответствия автотранспортных средств и двигателей внутреннего сгорания в зависимости от года их выпуска требованиям технического регламента по экологическим классам-2, 3, 4 и 5

Примечания

* в Европейский союз входят Австрия, Бельгия, Болгария, Великобритания, Венгрия, Германия, Греция, Дания, Ирландия, Испания, Италия, Кипр, Латвия, Литва, Люксембург, Мальта, Нидерланды, Польша, Португалия, Румыния, Словакия, Словения, Финляндия, Франция, Чехия, Швеция и Эстония;

* настоящее приложение применяется аккредитованными органами по подтверждению соответствия при проведении процедуры подтверждения соответствия.

Способы определения ЭКО-класса автомобиля

Машины полезны для людей, однако серьезно загрязняет окружающую среду. Поскольку Россия пока не готова к массовому использованию электромобилей, то по условиям Женевской конвенции, в стране были введены определенные стандарты на выброс опасных веществ, которые входят в состав выхлопных газах.

Эти нормативные акты четко регламентируют какие автомобили можно эксплуатировать на территории РФ, а какие нет, ввиду их несоответствия европейским нормам.

Разберемся в том, какие они бывают, а узнать экологический класс транспортного средства нам поможет таблица.

Зачем нужны экологические классы?

В течение года один самый обыкновенный автомобиль потребляет более 4 тонн кислорода из окружающей среды. При этом, после переработки двигатель выбрасывает почти 800 килограмм угарного газа, 200 килограмм углерода и 40 грамм оксида азота.

Учитывая тот факт, что ежегодно количество автомобилей растет, экологическая обстановка в мире и в одном отдельно взятом крупном городе более чем угрожающая.

Мировые экологические сообщества уже давно бьют тревогу, однако, невозможно запретить использование автомобилей вообще. Поэтому на сегодняшний день все автомобили были разделены на экологические классы и обязали соответствовать нормам всех производителей машин в мире.

Понятие экологический класс подразумевает градацию всех выпущенный в мире машин на определенные категории в зависимости от того, какие вредные вещества содержатся в выхлопных газах и в испаряющемся топливе для той или иной марки и модели транспортного средства.

Опасными для здоровья человека и экологии считаются следующие:

  • угарный газ – СО;
  • окись азота – NO;
  • вредные углеводороды;
  • тяжелые металлы.

Важно понимать, что тот или иной экологический класс определяется во время прохождения таможни, а пометка об этом ставится компетентным органом в техпаспорте транспортного средства.

Стандарты автомобилей

Существует 5 стандартов, благодаря которым компетентные организации могут присваивать экологический класс транспортного средства:

  1. Евро1. Это самый первый стандарт, который контролировал количество опасных веществ в выхлопных газах и применялся он к автомобилям, работающим на бензиновых двигателях. Евро1 определял, какое количество угарного газа, углеводородов и окиси азота допустимо в автомобильных выхлопах. При этом, стандарт был далек от адекватных экологических норм.
  2. Евро2. Данный стандарт был применен на территории России в 2005 году. Он требовал снижения опасных веществ в выхлопных газах в 3 раза, по сравнению с предыдущим. Однако, он п- прежнему регулировал только машины, работающие на бензиновом типе двигателей.
  3. Евро3. Этот стандарт регулирует содержания вредных веществ от продуктов сгорания не только в транспорте с бензиновым, но и с дизельным двигателем. Также, Евро3 сокращал еще на 40% количество выпускаемых в атмосферу веществ.
  4. Евро4. Данный штамп в Европе применялся еще с 2005 года, тогда, как в России он вступил в законную силу лишь в 2010. Он требовал снижения опасных компонентов в выхлопных газах на 40% меньше, нежели в стандарте Евро3.
  5. Евро5. Последний нормы, введенные на территории Российской Федерации в 2015 году, и применяется он ко всем категориям автомобилей, в том числе и с высокой грузоподъемностью, производство и реализация которых осуществляется на территории Европейского Союза.

Для чего нужно определять экологический класс автомобиля?

Конечно, для водителей, которые предпочитают покупать новые машины в салонах или бывшие в употреблении машины на территории РФ, могут не вникать в тонкости экологического класса.

Если данная модель есть в розничной продаже, значит, автомобиль растаможен и может быть зарегистрирован. Другое дело, если частное лицо, либо компания желает приобрести автомобиль за рубежом, проходить самостоятельно таможенный контроль, платить пошлины и регистрировать его, то это очень важно.

Если автомобиль не соответствует стандартам ввоза на территорию Российской Федерации, то его невозможно будет растаможить и зарегистрировать.

Как определить, какой экологический класс у транспорта?

Экологический класс автомобиля можно узнать тремя способами:

  • с помощью паспорта транспортного средства (ПТС), поскольку производители достаточно часто делают отметку, указывающую на стандарт, в этом документе;
  • помогает сориентироваться таблица Росстандарта;
  • с помощью вин-кода.

В первом случае экологический класс может быть прописан в ПТС автомобиля в графе 13, при условии, что это документ нового образца, либо же в пункте «Дополнительные отметки».

Таблица, разработанная ведомством Росстандарта, помогает узнать, какой класс транспорта принадлежит тому или иному автомобилю. Критерии, которые необходимы для определения – это страна, где произведено авто и год его производства.

Ведомство использовало при составлении данной таблицы требования и нормативы, которые используются на территории Евросоюза, США и других стран-производителей авто.

Страна-производитель ТСГод выпуска ТС, включительно
Не соответствуют требованиям стандартов на момент ввоза РФ (Евро1 и ниже)Соответствуют требованиям стандартов по экологическим классам
Евро2Евро3Евро4
Бензин, входит в ЕСДо 19961997-20002001-20042005+
Дизель, входит в ЕСДо 19961997-20002001-20042005+
АмерикаДо 19961997-20012001-20032004+
ЯпонияДо 19971998-20042005-20102011+
КореяДо 20002001-20022003-20052006+
КанадаДо 20002001-20032004+
ИндияДо 20042005-20092010+
МалайзияДо 20022003+
Россия200620082010+
Украина2005-20062006-2007

Если в данной таблице нет необходимого вам класса, если отсутствует страна-производитель или данные можно истолковать по-разному, следует воспользоваться сайтом Росстандарта, где по вин-коду можно определить экологический класс автомобиля.

В определенной графе необходимо вписать вин-код, который есть в паспорте транспортного средства. Сервис выдаст вам следующую информацию об автомобиле: тип транспортного средства, марку и модель авто, номер разрешения на ввоз, дата выпуска и тип экологического класса.

Сертификат Евро 4

Экологические сертификаты соответствия нормам выбросов Euro4 и Euro5, удостоверяют соответствие авто и мототехники установленным нормативам технического регламента Ростехрегулирования. Соответствие требованиям к выбросам автомобильной техникой вредных и загрязняющих веществ, выпускаемой в обращении на территории РФ удостоверяет экологический сертификат соответствия.

Сертификат Евро 4 Ростест

Все авто транспортные средства, как впервые изготовленные и выпускаемые в обращение на территории РФ, а также ввозимые на таможенную территорию РФ, начиная с 1 января 2010 года, должны соответствовать экологическому стандарту не ниже Евро 4. На грузовые автомобили соответствующие экологическому классу Евро 5 предусмотрены послабления при уплате таможенных пошлин.

Действие сертификата на автомобиль о соответствии специальному техническому регламенту О требованиях к выбросам автомобильной техникой, выпускаемой в обращение на территории Российской Федерации, вредных и загрязняющих веществ распространяется на всей территории РФ.

 

Получить сертификат соответствия стандарта евро 4 и евро 5

Сертификат соответствия Евро 4, Евро 5 оформляется с целью предоставления в органы ФТС России для таможенной очистки транспортного средства и получения паспорта транспортного средства ПТС. При таможенном оформлении авто транспортных средств, отсутствие сертификата о соответствии нормам токсичных выбросов ЕВРО 4 и выше будет служить мотивированным отказом в выдаче паспорта транспортного средства ПТС. Без паспорта транспортного средства ПТС Вы не сможете поставить автомобиль на учёт в ГИБДД.

Определить экологический класс Евро 4 автомобиля по VIN

Экологический класс автомобиля определяет центр сертификации. Для определения соответствия классу Euro 4 необходимо предоставить в наш центр сертификации такую информацию как: VIN номер, наименование фирмы производителя и год выпуска транспортного средства.

ФТС России разработана таблица соответствия экологическим стандартам Евро 1,2,3,4

Таблица поможет Вам самостоятельно разобраться, какому экологическому стандарту соответствует ввозимое автотранспортное средство.  

Страна производства транспортного средства Год выпуска
Несоответствие требованиям  экологических стандартов.

Стандарт Евро 1 и ниже

Соответствие требованиям экологических стандартов
Евро 2 Евро 3 Евро 4
ЕВРО Союз -1996 1997-2000 2001-2004 2005-
США -1995 1996-2000 2001-2003 2004-
Япония -1997 1998-2004 2005-2010 2011-
Канада -2000 2001-2003 2004-
Индия -2004 2005-2009 2010-
Малайзия -2002 2003-
Китай -2003 2004-2007 2008-
Корея -2000 2001-2002 2003-2005 2006-

* Экологический стандарт Евро 3 в Евро Союзе для дизельных двигателей введён с января 2002 года.

Оформление состоит из нескольких этапов:
  1. Предоставление копий необходимых документов на e-mail или лично в офисе компании;
  2. Оформление заявления;
  3. Экспертная оценка предоставленной документации и оформление макета документа; 
  4. Предоставление заказчику на проверку макета с внесёнными данными;
  5. Подтверждение макета и предоставление копии квитанции об оплате с отметкой банка;
  6. Оформление в ФГУ РОСТЕСТ Москва и внесение в реестр Госстандарта России;
  7. Выдача готовых документов в офисе компании или отправка экспресс почтой заказчику.

Определить стоимость можно, предоставив в центр сертификации VIN номер, марку и год выпуска автомобиля. Срок оформления составляет от нескольких часов до 2х рабочих дней с момента предоставления полного пакета документов.  

Документы для получения экологических сертификатов Евро4 Евро5:  

  • Заявление от имени владельца авто на Евро 4 Евро 5;
  • Копия документа на автомобиль TITLE или BRIF, другой документ его заменяющий;
  • Копия паспорта собственника транспортного средства.
  Скачать  заявление

для физ. лиц

  • Заявление от имени владельца авто на Евро 4 Евро 5;
  • Копия документа на автомобиль TITLE или BRIF, другой документ его заменяющий;
  • Свидетельства о присвоении ИНН, ОГРН;
Скачать заявление

для юр. лиц

При оформлении заявки необходимо указать точный рабочий объём установленного двигателя. Уточнить объём двигателя Вы можете в ближайшем дилерском центре или в таможенных органах.

Необходимо предоставлять копии документа на автомобиль с двух сторон. Копия паспорта собственника транспортного средства — первая страница, страница с пропиской.

Доставка сертификатов Евро 4 по России Для клиентов оформивших сертификат в нашем центре возможно оформление экспресс доставки готовых документов. Средняя цена доставки сертификатов по России составляет 640 руб, срок 1-3 рабочих дня. Чтобы оформить доставку при заказе необходимо предоставьте контактные данные в формате: почтовый индекс, город, улица, дом, номер офиса или квартиры, ФИО и номер мобильного телефона получателя. Оплата почтовых услуг производится до передачи отправлений в курьерскую службу.

Оформленную заявку и копии документов можно предоставить лично в офисе компании или выслать на наш адрес e-mail [email protected] 

Поддержите нас в социальных сетях!

Расписание коротких курсов

— Важнейшие связи в экологии

Краткие курсы

Краткие курсы предлагают участникам возможность получить новые навыки с помощью интерактивных инструкций и практических занятий в режиме реального времени. На короткие курсы требуется предварительная запись и дополнительная плата. Краткие курсы могут включать некоторые заранее загруженные материалы, такие как слайды, предварительно записанные видео и раздаточные материалы. Эти материалы будут доступны только участникам, записавшимся на короткий курс.Большинство коротких курсов длится 3 часа. Два коротких курса (SC 1 и SC 5) включают 6 часов обучения с дополнительными 30 минутами перерыва.

Краткий курс 1

Введение в приложения байесовского и иерархического байесовского моделирования в экологии

Пятница, 6 августа 2021 г.
7:00 — 13:30 по тихоокеанскому времени

Регистрационный взнос: 35 долларов США
У этого короткого курса в настоящее время есть список ожидания — contact register @ nullesa.org, чтобы добавить свое имя!
Описание сеанса

Этот 6-часовой короткий курс включает 30-минутный перерыв посередине.

Экологи все больше полагаются на пространственные, временные или иерархические переменные данные. Современные экологические проблемы требуют синтеза множества, часто неполных источников данных, возникающих из смеси нелинейных и / или негауссовских процессов. Иерархические байесовские статистические методы — мощные инструменты для анализа разрозненных, больших и / или сложных наборов данных.

В то время как «стандартные» пакеты R становятся доступными для выполнения традиционного анализа в байесовской структуре, ключевым преимуществом байесовских методов является построение пользовательских моделей. Создаваемые пользователем модели позволяют гибко включать экспериментальный план, теорию и / или предшествующие системные знания. Создание творческой итеративной модели — это ключевой способ узнать о структуре и функционировании вашей экологической системы.

Этот краткий курс охватывает байесовское моделирование вводного уровня.Мы продемонстрируем использование JAGS (свободно доступный байесовский программный пакет) и обсудим альтернативное программное обеспечение для подбора моделей (например, Stan). Таким образом, участники должны иметь некоторое представление о R (например, циклы for, структурирование списков, индексация).

Участники разработают и внедряют байесовскую модель на основе набора примеров задач, основанных на данных. Эти примеры познакомят участников с различными структурами данных или методами анализа, необходимыми для решения экологических проблем.

К концу краткого курса участники поймут основы байесовского моделирования и будут реализовывать базовые иерархические модели. Мы предоставим справочные материалы, чтобы участники могли самостоятельно изучить эти темы. Эти материалы должны служить отправной точкой для тех, кто заинтересован в применении или дальнейшем развитии своих навыков в области байесовских методов.

Сводка сеанса

Короткий курс на полдня для ознакомления участников с байесовским статистическим выводом и построением моделей в экологии, охватывающий мотивацию, некоторые из лежащих в основе теории и практических примеров для ознакомления с некоторыми из ключевых программ.Справочные материалы для дальнейшего изучения байесовских тем после краткого курса будут предоставлены.

Организатор:
Дрю Пельтье — Университет Северной Аризоны, факультет биологических наук

Соорганизаторы:
Джессика Го — Университет Аризоны, Колледж сельского хозяйства и наук о жизни
Роберт Шрайвер — Университет Невады-Рино

Краткий курс 2

Научная политика 101: Выживание и динамика экосистемы Конгресса

Пятница, 6 августа 2021 г.
7:00 — 10:00 по тихоокеанскому времени

Регистрационный взнос: 25 долларов США

Описание сеанса

Конгресс — это отдельная экосистема с различными сообществами по обе стороны холма (Сенат и Палата представителей), разным населением внутри этих сообществ, странными мутуалистическими отношениями и соревнованием (за голоса) во избежание вымирания (проигрыша переизбрания).Этот короткий курс предоставит обзор того, как работает Конгресс, и как сформулировать послание для различных членов Конгресса. Участники короткого курса будут использовать свои собственные исследования и советы, полученные утром, чтобы составить 1-минутную презентацию для члена Конгресса. По мере того, как мы вместе разрабатываем темы для обсуждения и презентации, мы также рассмотрим ресурсы, чтобы раскрыть, что волнует вашего члена Конгресса, как связаться с ним / ним / ними, начать разговор, чтобы поделиться посланием в качестве одного из участников, и построить отношения. .После этого вам будет предложено подать 1-минутную презентацию на наш Конкурс презентаций ESA Policy Pitch Contest на YouTube, чтобы получить шанс выиграть приз!

Сводка сеанса

Вы когда-нибудь хотели встретиться с членом Конгресса, но не знали, как это сделать? Этот короткий курс проведет вас через экосистему Конгресса, чтобы предоставить вам контекст, инструменты и слова, чтобы подготовить вас к любому взаимодействию, с упором на создание 1-минутной презентации для члена Конгресса.

Организатор:
Шарлотта Леви — Массачусетский университет, Школа окружающей среды

Соорганизаторы:
Эмили Грейвс — Калифорнийский университет, Дэвис, экологическая наука и политика
Кэролайн Э.Ридли — Агентство по охране окружающей среды США, Центр общественного здравоохранения и оценки окружающей среды
Сара М. Андерсон — Лесная служба Министерства сельского хозяйства США
Тереза ​​Бернхэм — Государственный университет Сан-Диего
Скайлар Байер — Грант штата Мэн

Краткий курс 3

NEON Биоразнообразие: исследование и работа с данными NEON по организмам

Пятница, 6 августа 2021 г.
7:00 — 10:00 по тихоокеанскому времени

Регистрационный взнос: 25 долларов США

Описание сеанса

Национальная сеть экологических обсерваторий (NEON) предоставляет открытые экологические данные из 81 населенного пункта США.Данные NEON охватывают широкий спектр предметных областей в области экологии, включая наблюдения за организмом, биогеохимию, дистанционное зондирование и микрометеорологию. Этот короткий курс будет посвящен данным о биоразнообразии NEON. Инструкция будет включать в себя обзор всего объема данных NEON по организмам, прежде чем будет содержать кодовую инструкцию о том, как преобразовать данные NEON по организмам в стандартизованные форматы для использования с различными пакетами R, обычно используемыми для расчета стандартных показателей биоразнообразия. Примеры включают разнообразие альфа, бета и гаммы в стиле Йоста (2007) с использованием пакетов для вегетарианцев и / или iNEXT; изменчивость альфа, бета и гаммы с использованием пакета ltmc; и посвящения с использованием веганского пакета.Кроме того, участники узнают о совместимости с форматом данных ecocomDP, разработанном Environmental Data Initiative (EDI), и инструментах обнаружения и визуализации данных, доступных в пакете ecocomDP (https://github.com/EDIorg/ecocomDP). В конце короткого курса участники будут зарезервированы для работы с данными NEON по своему выбору с присутствующими инструкторами, чтобы ответить на любые вопросы, возникающие при работе с отдельными наборами данных. Для участия в кратком курсе требуется базовое знакомство с R.

Этот короткий курс не дает ни общего обзора данных NEON, ни деталей различных способов доступа к данным NEON. Если вас интересуют эти темы, мы рекомендуем пройти краткий курс «Навыки работы с NEON данными: доступ к данным NEON и работа с ними» вместо этого или в дополнение к нему.

Сводка сеанса

Этот короткий курс предоставит участникам обзор продуктов данных NEON о биоразнообразии, инструкции о том, как импортировать данные в сеанс R, и руководство о том, как преобразовать импортированные данные в форматы, которые можно использовать в стандартных визуализациях и анализе экологических данных сообщества. .

Организатор:
Эрик Р. Сокол — Бателле, Национальная сеть экологических обсерваторий (NEON)

Соорганизатор:
Донал С. О’Лири — Национальная сеть экологических обсерваторий, образование

Краткий курс 4

Стратегии включения разнообразия, равноправия, интеграции и социальной справедливости в учебные программы по экологии

Пятница, 6 августа 2021 г.
7:00 — 10:00 по тихоокеанскому времени

Регистрационный взнос: 25 долларов США

Описание сеанса

Включение и рассмотрение человеческого измерения экологии в курсах бакалавриата и магистратуры лучше готовит студентов к решению сложных экологических проблем, с которыми мы сталкиваемся в антропоцене.Исследования в области экологии показывают, что выделение вклада людей из всех слоев общества в наши курсы говорит студентам о том, что их различные точки зрения, культуры, языки и самобытность вносят ценный вклад в экологию. Но как мы можем вдумчиво интегрировать компоненты экологии социальной справедливости в наши курсы? Учитывая недавние призывы обсудить взаимосвязь социальной справедливости и науки, это обвинение, с которым в настоящее время сталкиваются все педагоги.

В этом коротком курсе участники осмысленно интегрируют инклюзивную педагогику и социальную справедливость в свои учебные планы, отработают программу, включающую инклюзивные учебные планы, и уйдут с осязаемыми планами уроков, которые исследуют пересечение социальной справедливости и экологии.Этот интерактивный виртуальный короткий курс будет включать активное участие с использованием комнат для обсуждения, опросы, опросы, индивидуальные мероприятия и изучение ресурсов, которые будут предоставлены. Преподаватели моделируют короткий пример урока по экологии, который также затрагивает социальные вопросы, затем участники будут иметь возможность работать в небольших группах, чтобы поделиться идеями и подходами для включения человеческого измерения экологии в уроки и учебные программы. У участников будет возможность присоединиться к рассылке людей, работающих в области инклюзивной педагогики.

После этого короткого курса участники смогут:

  • Опишите элементы инклюзивной педагогики
  • Объясните, почему инклюзивная педагогика важна в экологии
  • Интегрировать инклюзивные педагогические практики в свои курсы
Сводка сеанса

В этом коротком курсе участники получат опыт описания элементов инклюзивной педагогики и ее важности, а также практики включения элементов социальной справедливости в свои уроки и учебные программы.

Организатор:
А.М. Арамати Каспер — Государственный университет Колорадо,

Соорганизаторы:
Мэллори М. Райс — Государственный университет Сан-Франциско
Эллисон Солсбери — Дендрарий Мортона
Лаура Нуньес — UW-Мэдисон

Краткий курс 5

Количественный анализ экологии растительных сообществ с использованием R

Пятница, 6 августа 2021 г.
10:30 — 17:00 по тихоокеанскому времени

Регистрационный взнос: 35 долларов США

Описание сеанса

Этот 6-часовой короткий курс включает 30-минутный перерыв посередине.

Эта сессия познакомит участников с фундаментальными и избранными передовыми аналитическими подходами, обычно используемыми в экологии растительных сообществ. Темы включают как одномерный, так и многомерный подходы, в частности: расчет показателей разнообразия сообществ, меры расстояния и несходства, преобразования и применения прямых и / или косвенных ординаций, кластерный анализ, анализ видов-индикаторов, непараметрические многомерные статистические тесты для различий между группами. , и визуализация данных.Слушатели краткосрочного курса будут использовать один базовый набор данных в интерактивном формате, чтобы практиковать аналитические методы с использованием R (https://www.r-project.org/), статистического программного обеспечения с открытым исходным кодом, которое широко и все чаще используется экологами. Участникам будут представлены различные пакеты и функции R, а все данные, код и вспомогательные документы будут доступны до начала короткого курса для улучшения обучения. Все участники, которые ранее не использовали R, предварительно пройдут краткое руководство.Краткий курс организован исполнительным комитетом Секции растительности, а организационный комитет представляет экологов разного пола, уровня подготовки, этапов карьеры (от студента до доцента) и пути карьерного роста (от академика до правительства). Одна из целей состоит в том, чтобы предоставить возможность студентам и экологам-экологам, начинающим карьеру, из разных слоев общества получить важные количественные навыки, которые ускорят их профессиональное развитие. Таким образом, Секция растительности покроет расходы на короткий курс для 5-10 студентов и участников, начинающих карьеру (в зависимости от стоимости заключительного краткосрочного курса), и будет отдавать приоритет средствам для кандидатов из групп, которые в настоящее время недопредставлены в области экологии.

Сводка сеанса

Этот курс исследует передовые методы в R, которые позволят участникам ответить на важные вопросы экологии растительного сообщества. Мы будем исследовать виды, черты, филогении, пространственные закономерности и экологические реакции сообществ, используя одномерные и многомерные подходы. Сюда входят показатели разнообразия, ординация, кластеризация, филогенетический анализ и анализ признаков, а также визуализация данных.

Организатор:
Кайл Палмквист — Университет Маршалла, факультет биологических наук

Соорганизаторы:
Мартин Довчак — Государственный университет Нью-Йорка Колледж наук об окружающей среде и лесного хозяйства, Департамент экологической биологии
Сэмюэл Джордан — Государственный университет Аризоны, Школа наук о жизни
Лиза Клеснер — Лесная служба США, Национальный лес Уэйна
Роберт Дж. Смит — Лесная служба США, Тихоокеанская Северо-Западная исследовательская станция

Управление экологическими данными для эффективного использования и повторного использования

Пятница, 6 августа 2021 г.
10:30 — 13:30 по тихоокеанскому времени

Регистрационный взнос: 25 долларов США

Описание сеанса

В то время как аспиранты, изучающие экологию, изучают методы сбора и анализа экологических данных, меньше внимания уделяется управлению и эффективному использованию полученных данных.Этот набор навыков становится все более важным по мере изменения ландшафта исследований. Исследователи все чаще участвуют в сотрудничестве между сетями, многим финансовым агентствам требуются планы управления данными, журналы требуют, чтобы данные и код были доступны, а общество все больше ожидает воспроизводимости исследований. Экологи могут максимизировать продуктивность своей исследовательской программы, обладая хорошими навыками работы с данными, поскольку они могут эффективно и действенно делиться своими данными и другими исследовательскими продуктами с научным сообществом и потенциально извлекать выгоду из повторного использования своих данных другими.

Цель этого короткого курса — познакомить слушателей с набором практических инструментов для организации и обмена данными на всех этапах исследовательского цикла. Целевая аудитория — ученые, начинающие свою карьеру, но она открыта для любого исследователя, которому было бы полезно развить лучшие навыки управления данными. Темы будут включать организацию данных, документирование данных и важность правильных методов управления данными для обмена данными, совместной работы и повторного использования данных. Краткий курс представляет собой интерактивную комбинацию презентации, обсуждения и занятий.Для работы над упражнениями участники должны принести свой ноутбук.

Сводка сеанса

Научитесь организовывать и обмениваться данными на всех этапах исследовательского цикла. Темы включают организацию данных, документирование данных и важность правильных методов управления данными для обмена данными, совместной работы и повторного использования данных.

Организатор:
Жанетт Кларк — Калифорнийский университет, Санта-Барбара, NCEAS, Arctic Data Center

Соорганизаторы:
Эмбер Бадден — Калифорнийский университет, Санта-Барбара, NCEAS
Мэтью Б.Джонс — Калифорнийский университет, Санта-Барбара, NCEAS
Эрин Маклин — Арктический центр данных

Краткий курс 7

Использование вычислительных данных в вашем классе бакалавриата

Пятница, 6 августа 2021 г.
14:00 — 17:00 по тихоокеанскому времени

Регистрационный взнос: 25 долларов США

Описание сеанса

Биологические науки и науки об окружающей среде были быстро и фундаментально преобразованы последними технологическими достижениями, включая увеличение вычислительной мощности, сенсорные технологии, общедоступное программное обеспечение и данные, а также возможность подключения к Интернету.Эти достижения вместе с требованиями, которые мы предоставляем нашим студентам с техническими навыками для навигации по данным и технологиям в 21 веке, требуют интеграции вычислительных наук о данных в наши учебные классы для студентов и аспирантов. Однако многие инструкторы не чувствуют себя квалифицированными или подготовленными для преподавания таких материалов либо из-за отсутствия технических навыков, либо из-за педагогической подготовки, что ограничивает полезность уже разработанных вычислительных курсов или лабораторных модулей. Этот короткий курс «Обучение учителей» будет включать в себя как техническую подготовку по фундаментальным навыкам работы с данными, включая R и Markdown, так и педагогическую подготовку по передаче этих навыков в классе и лаборатории.Работая с примерами науки о данных в режиме реального времени, участники будут воспринимать материал как учащийся и выработать стратегии, позволяющие включить эти навыки в свои собственные курсы и научить их. Участники также изучат и отрабатывают педагогические методы, такие как обратное проектирование, чтобы представить, как наука о данных может быть интегрирована в их курсы. Цель состоит в том, чтобы вооружить преподавателей техническими инструментами и стратегиями обучения, которые они затем могут с уверенностью адаптировать к своим собственным учебным целям и потребностям учреждения.

Краткое описание занятия:
Этот короткий курс «Обучение учителей» будет включать техническую подготовку по основным навыкам работы с данными и педагогическую подготовку для обучения и передачи этих навыков в вашем собственном классе и лаборатории.

Организатор:
Мэтью Э. Айелло-Ламменс — Университет Пейс, исследования окружающей среды и науки

Соорганизаторы:
Сара Супп — Университет Денисон, аналитика данных
Наупака Циммерман — Университет Сан-Франциско, биология
Эндрю Дж.Керкхофф — Кеньон Колледж, Биологический факультет

Краткий курс 8

Соединение данных об образцах экологии и естествознания: использование общедоступных инструментов, порталы данных Symbiota

Пятница, 6 августа 2021 г.
14:00 — 17:00 по тихоокеанскому времени

Регистрационный взнос: 25 долларов США

Описание сеанса

Для лучшего понимания биоразнообразия в быстро меняющемся мире жизненно важно налаживание связей между научными дисциплинами.Одна из таких ключевых связей — между экологами и коллекциями образцов естественной истории (Alba et al. 2021). В этом коротком курсе мы стремимся восполнить этот пробел, обучая участников получать доступ, использовать и систематизировать данные образцов естественной истории (например, образцы гербария, конных насекомых, консервированных млекопитающих и рыб, образцы грибов и водорослей), которые размещены в публичных местах. доступные онлайн-порталы, использующие программную платформу Symbiota. В этом практическом кратком курсе участники узнают (1) где получить доступ к данным об образцах естественной истории, (2) как искать и загружать данные об образцах, включая фенологические и другие данные о признаках, если они доступны, (3) как читать и интерпретировать загруженные данные, которые хранятся в соответствии со стандартом Darwin Core, (4) как создавать и редактировать контрольные списки исследований на портале данных и (5) как управлять и отправлять данные о ваших собственных коллекциях ваучеров на соответствующие порталы коллекций для архивирования .

Мы планируем охватить темы 1–4 за первые 90 минут короткого курса. Последние 90 минут краткого курса не являются обязательными и будут охватывать тему 5 и дополнительные вопросы или темы по желанию.

Сводка сеанса

Научитесь получать доступ, систематизировать и использовать данные образцов естественной истории с онлайн-порталов, которые используют систему управления контентом Symbiota (например, SEINet, NEON Biorepository, SCAN, CCh3). Участники научатся находить и загружать данные, создавать и редактировать контрольные списки исследований и отправлять данные в коллекции.

Организатор:
Кейтлин Пирсон — Калифорнийский политехнический государственный университет, биология

Соорганизаторы:
Дженн М. Йост — Калифорнийский политехнический государственный университет, биология
Эдвард Э. Гилберт — Университет штата Аризона, факультет наук о жизни
Нико М. Франц — Университет штата Аризона, факультет наук о жизни

Регистрационные данные — Важнейшие связи в экологии

Регистрационный взнос на конференцию покрывает онлайн-доступ ко всем компонентам # ESA2021, за исключением коротких курсов, которые требуют отдельной дополнительной платы.Доступ к материалам собрания будет доступен для всех зарегистрированных участников до июля 2022 года. Для всех семинаров и краткосрочных курсов требуется предварительная регистрация. Предварительная запись на семинары бесплатна . Сборы за регистрацию конференции помогают нам покрыть расходы, связанные с предоставлением сложных технологий, лицензионными сборами, технической поддержкой и планированием конференции, которые необходимы для организации и проведения # ESA2021.

Политика возврата и отмены

  • Письменный запрос об отмене должен быть отправлен регистратору ESA по электронной почте.При возврате средств взимается комиссия в размере 50 долларов США. Возврат средств будет произведен ПОСЛЕ конференции.
  • Крайний срок отмены: 15 июля 2021 г. (после этой даты возврат средств невозможен).

Посещая мероприятие ESA, вы соглашаетесь добровольно соблюдать наш Кодекс поведения для мероприятий.

Часто задаваемые вопросы по регистрации

Я зарегистрировался до того, как меня уведомили о гранте на регистрацию, и я только что узнал, что меня одобрили для финансирования. Что мне делать?

Пожалуйста, напишите регистратору @ nullesa.org, чтобы запросить возврат. Этот процесс может занять несколько дней, поэтому проявите терпение.

Когда я вхожу в систему и заполняю регистрационную форму, я вижу неправильную скорость регистрации (т. Е. Не участник, когда я являюсь участником, который недавно присоединился или продлил подписку). Что мне делать?

Это, скорее всего, означает, что ваш профиль в ESA не отражает ваш текущий статус членства в ESA. Если вы присоединились или продлили регистрацию в тот же день, попробуйте выйти и снова войти в систему.Если это не решит проблему, напишите нам по адресу [email protected], и мы рассмотрим это за вас.

Могу ли я зарегистрировать кого-нибудь еще для встречи?

Вы можете зарегистрировать другого человека, но для этого потребуется войти в его учетную запись и использовать его учетные данные. Если у них нет профиля в ESA, вы можете сделать его для них и зарегистрироваться с этой учетной записи.

После ответа на вопросы в регистрационной форме у меня возникли проблемы с переходом к следующему шагу.Что мне делать?

Нажмите «Сохранить ответы», и вы сможете перейти к следующему шагу и завершить регистрацию.

Я хотел бы вернуться к своей форме регистрации на собрание, чтобы обновить некоторую информацию. Как я могу это сделать?

Войдите в свою учетную запись ESA. Нажмите «Доступ к учетной записи», затем наведите указатель мыши на «Ежегодное собрание» и нажмите «Мои квитанции о мероприятиях». В разделе «Событие» нажмите «Виртуальная встреча ESA 2021», затем нажмите «Изменить информацию о регистранте».Не забудьте сохранить ответы, когда закончите, нажав «Обновить ответы».

Семинар / короткий курс, к которому я хочу присоединиться, заполнен, что я могу сделать?

Если семинар или короткий курс, к которому вы хотите присоединиться, заполнены, вы можете написать по электронной почте: [email protected], чтобы попасть в список ожидания. Если вы выйдете из списка ожидания, вы получите уведомление. Если вы не выйдете, все семинары будут записаны и опубликованы после их завершения для просмотра другими зарегистрировавшимися лицами, и будут доступны в течение многих месяцев после собрания.

Мне нужна квитанция для регистрации. Где я могу это найти?

Войдите в свою учетную запись ESA. Нажмите «Доступ к учетной записи», наведите указатель мыши на «Ежегодное собрание» и нажмите «Мои квитанции о мероприятиях». Вы должны увидеть номер заказа. Щелкните по нему, а затем вы сможете загрузить квитанцию ​​в формате PDF, щелкнув символ PDF.

Обнаружение вторжений в сеть

| SANS SEC503

SEC503 — один из самых важных курсов, которые вы пройдете в своей карьере в области информационной безопасности. Хотя прошлые студенты описывают это как самый сложный урок, который они когда-либо посещали, они также говорят нам, что это был самый полезный урок.Этот курс не для людей, которые просто хотят разобраться в предупреждениях, генерируемых готовой системой обнаружения вторжений (IDS). Это для людей, которые хотят глубоко понять, что происходит в их сети сегодня, и которые подозревают, что прямо сейчас происходят очень серьезные вещи, о которых им не сообщает ни один из их инструментов. Если вы хотите иметь возможность находить в своей сети действия нулевого дня до раскрытия информации, это определенно для вас.

Что отличает этот курс от любого другого обучения, так это то, что мы используем восходящий подход к обучению обнаружению сетевых вторжений и сетевой криминалистике.Вместо того, чтобы начинать с инструмента и обучать вас тому, как использовать этот инструмент в различных ситуациях, этот курс научит вас, как и почему протоколы TCP / IP работают именно так. Потратив первые два дня на изучение того, что мы называем «Пакеты как второй язык», мы добавляем общие протоколы приложений и общий подход к исследованию и пониманию новых протоколов. С таким глубоким пониманием того, как работают сетевые протоколы, мы обращаем наше внимание на наиболее широко используемые в отрасли инструменты для применения этих глубоких знаний.В результате вы покинете этот класс с четким пониманием того, как инструментировать вашу сеть, и возможностью выполнять подробный анализ и реконструкцию инцидентов.

Уже сами по себе эти преимущества делают это обучение полностью стоящим. Что делает курс таким важным, каким мы его считаем (и студенты говорят нам, что это так), так это то, что мы заставляем вас развивать навыки критического мышления и применять их к этим глубоким основам. Это приводит к более глубокому пониманию практически всех технологий безопасности, используемых сегодня.

Обеспечение безопасности вашего сайта в сегодняшней опасной среде сложнее, чем когда-либо прежде. Сфера безопасности постоянно меняется от того, что когда-то было защитой только по периметру, к защите незащищенных и мобильных систем, которые почти всегда подключены, а иногда и уязвимы. Поэтому очень востребованы сотрудники, разбирающиеся в вопросах безопасности, которые могут помочь обнаружить и предотвратить вторжения. Наша цель в SEC503: Углубленное обнаружение вторжений — познакомить вас с основными знаниями, инструментами и методами для защиты ваших сетей с пониманием и осведомленностью.Тренинг подготовит вас к тому, чтобы применить свои новые навыки и знания на практике сразу после возвращения в живую среду.

Марк Твен сказал: «Легче обмануть людей, чем убедить их, что их обманули». Слишком много решений IDS / IPS предоставляют упрощенную оценку трафика: красный / зеленый, хорошая / плохая, и слишком много неподготовленных аналитиков принимают эту обратную связь как абсолютную истину. Этот курс подчеркивает теорию о том, что должным образом обученный аналитик использует предупреждение IDS в качестве отправной точки для изучения трафика, а не в качестве окончательной оценки.SEC503 передает философию, согласно которой аналитик должен иметь доступ и способность изучать предупреждения, чтобы придать им смысл и контекст. Вы научитесь исследовать и реконструировать деятельность, чтобы определить, заслуживает ли она внимания или является ложным признаком.

Этот курс предоставляет технические знания, понимание и практическое обучение, необходимое для уверенной защиты вашей сети. Вы узнаете о теории, лежащей в основе TCP / IP, и о наиболее часто используемых протоколах приложений, таких как DNS и HTTP, чтобы вы могли разумно исследовать сетевой трафик на наличие признаков вторжения.Вы получите много практических занятий по освоению различных инструментов, включая tcpdump, Wireshark, Snort, Zeek, tshark и SiLK. Ежедневные практические упражнения, подходящие для всех уровней опыта, подкрепляют материал учебника, так что вы можете перенести знания на выполнение. Вечерние сессии и упражнения Bootcamp заставят вас усвоить теорию, которую вы изучали в течение дня, и сразу же применить ее к реальным проблемам. Базовые упражнения включают вспомогательные подсказки, в то время как расширенные варианты обеспечивают более сложный опыт для студентов, которые, возможно, уже знают материал или быстро усвоили новый материал.

Виртуальная машина (ВМ) снабжена инструментами торговли. Он дополнен демонстрационными PCAP, содержащими сетевой трафик. Это позволяет вам следить за учебным материалом и демонстрациями на своем ноутбуке. PCAP также предоставляют хорошую библиотеку сетевого трафика для использования при просмотре материала, особенно для сертификации GCIA, связанной с этим курсом.

SEC503 лучше всего подходит для студентов, которые следят за своей сетью и защищают ее, например, для аналитиков безопасности, хотя этот курс также может пригодиться другим.Студенты варьируются от опытных аналитиков до новичков с некоторым опытом работы в TCP / IP. Обратите внимание, что образ VMware, используемый в классе, является дистрибутивом Linux, поэтому мы настоятельно рекомендуем вам потратить некоторое время на ознакомление со средой Linux, в которой для ввода используется командная строка, а также на изучение некоторых основных команд UNIX, прежде чем переходить к учебный класс.

Вы узнаете

  • Как анализировать трафик, проходящий через ваш сайт, чтобы избежать повторного взлома! заголовок
  • Как идентифицировать потенциально вредоносные действия, для которых IDS не опубликовала сигнатуры
  • Как разместить, настроить и настроить вашу IDS / IPS для максимального обнаружения
  • Практическое обнаружение, анализ и сетевое судебное расследование с различными инструменты с открытым исходным кодом
  • TCP / IP и общие протоколы приложений, чтобы получить представление о вашем сетевом трафике, позволяя отличать нормальный трафик от аномального
  • Преимущества использования фреймворков анализа трафика на основе сигнатур, потока и гибридного трафика для улучшения обнаружения

У вас будет возможность

  • Настроить и запустить Snort с открытым исходным кодом и написать сигнатуры Snort
  • Настроить и запустить Bro с открытым исходным кодом, чтобы обеспечить платформу анализа гибридного трафика
  • Понимание уровней компонентов TCP / IP для определения нормального и аномальный трафик
  • Используйте инструменты анализа трафика с открытым исходным кодом для выявления признаков вторжения
  • C не осознают необходимость использования сетевой криминалистики для исследования трафика с целью выявления возможного вторжения
  • Используйте Wireshark для вырезания подозрительных файловых вложений
  • Напишите фильтры tcpdump для выборочного исследования определенного признака трафика
  • Создавайте пакеты с помощью Scapy
  • Используйте открытый исходный код инструмент сетевого потока SiLK для поиска аномалий поведения сети
  • Используйте свои знания сетевой архитектуры и аппаратного обеспечения для настройки размещения датчиков IDS и отслеживания трафика от сети

Практическое обучение по SEC503 должно быть одновременно доступным и сложным для новички и опытные ветераны.Для каждого упражнения есть два разных подхода. Первый содержит рекомендации и подсказки для тех, у кого меньше опыта, а второй не содержит рекомендаций и предназначен для тех, у кого больше опыта. Кроме того, для продвинутых учеников, которые хотят получить особенно сложную головоломку, для каждого упражнения доступен дополнительный дополнительный кредитный вопрос. Примеры практических упражнений включают следующее:

  • День 1: Практическое занятие: Введение в Wireshark
  • День 2: Практическое занятие: написание фильтров tcpdump
  • День 3: Практическое занятие: теория уклонения от IDS / IPS
  • День 4: Практическое занятие: правила Snort
  • День 5: Практическое занятие: Анализ трех отдельных сценариев инцидентов
  • День 6: Практическое занятие: Весь день посвящен задаче NetWars: версия IDS

Что вы получите

  • Электронное учебное пособие с материалами каждого раздела
  • Электронная рабочая тетрадь с практическими упражнениями и вопросами
  • Электронная шпаргалка по TCP / IP
  • Аудиофайлы MP3 полной лекции курса

Важно! Принесите свою собственную систему, настроенную согласно этим инструкциям!

Для полноценного участия в этом курсе требуется правильно настроенная система.Если вы внимательно не прочитаете и не будете следовать этим инструкциям, вы, скорее всего, выйдете из класса неудовлетворенным, потому что вы не сможете участвовать в практических упражнениях, которые необходимы для этого курса. Поэтому мы настоятельно рекомендуем вам использовать систему, отвечающую всем требованиям, предъявляемым к курсу.

Вам нужно будет запустить образ Linux VMware, предоставленный во время учебного мероприятия, на своем ноутбуке для практических упражнений, которые будут выполняться в классе. Некоторое знакомство и комфорт с Linux и ввод команд через командную строку облегчат вам практические упражнения.

Операционная система хоста: последняя версия Windows 10, macOS 10.15.x или новее или Linux, которая также может устанавливать и запускать продукты виртуализации VMware, описанные ниже. Примечание. Системы Apple, использующие процессор M1, не могут выполнять необходимую виртуализацию в настоящее время и не могут использоваться для этого курса. Перед занятием необходимо полностью обновить операционную систему хоста, чтобы убедиться, что у вас установлены правильные драйверы и исправления для использования новейших устройств USB 3.0.Те, кто использует хост Linux, также должны иметь доступ к разделам exFAT с помощью соответствующего ядра или модулей FUSE. Вы также должны иметь 8 ГБ ОЗУ или больше для правильной работы виртуальной машины в классе в дополнение к не менее 60 ГБ свободного места на жестком диске.

Загрузите и установите VMware Workstation Pro 15.5.x, VMware Player 15.5.x или Fusion 11.5.x или более поздние версии до начала занятий. Если у вас нет лицензионной копии VMware Workstation или Fusion, вы можете загрузить бесплатную 30-дневную пробную копию от VMware.VMware вышлет вам серийный номер с ограниченным сроком действия, если вы зарегистрируетесь для участия в пробной версии на их веб-сайте.

Другое программное обеспечение виртуализации, такое как VirtualBox и Hyper-V, не подходит из-за проблем совместимости и устранения неполадок, с которыми вы можете столкнуться во время занятий.

VMware Workstation Pro и VMware Player в Windows 10 несовместимы с технологиями Windows 10 Credential Guard и Device Guard. Пожалуйста, отключите эти возможности на время занятия, если они включены в вашей системе, следуя инструкциям в этом документе.

Обязательные требования к оборудованию ноутбука

  • x86- или x64-совместимый процессор 2,4 ГГц или выше
  • USB-порт
  • ОЗУ 8 ГБ или больше
  • 60 ГБ свободного места на жестком диске
  • Последняя версия Windows 10, macOS 10.15. x или новее, или Linux, который также может устанавливать и запускать продукты виртуализации VMware, описанные ниже.
  • VMWare Workstation, Fusion или Player, как указано выше
  • Wireless Ethernet 802.11 B / G / N / AC

Не приносите портативный компьютер с конфиденциальными данными, хранящимися на нем.SANS не несет ответственности за кражу или взлом вашего ноутбука.

Принеся правильное оборудование и заранее подготовившись, вы сможете извлечь максимум из того, что вы узнаете, и получить массу удовольствия.

Материалы вашего курса теперь будут доступны для загрузки. Медиа-файлы для занятий могут быть большими, некоторые — от 40 до 50 ГБ. У вас должно быть достаточно времени для завершения загрузки. Интернет-соединения и скорость сильно различаются и зависят от множества различных факторов. Поэтому невозможно дать оценку времени, которое потребуется для загрузки ваших материалов.Начните загрузку мультимедийных материалов для вашего курса, как только получите ссылку. Материалы курса вам понадобятся сразу же в первый день занятий. Если вы дождетесь ночи, когда класс начнет загрузку, ваша загрузка может закончиться неудачей.

SANS начала предоставление печатных материалов в формате PDF. Кроме того, некоторые классы используют электронную книгу в дополнение к PDF-файлам. Количество классов, использующих электронные книги, будет быстро расти. В этой новой среде мы обнаружили, что второй монитор и / или планшет могут быть полезны, если материалы урока будут видны, пока инструктор ведет презентацию или вы работаете над лабораторными упражнениями.

Подземные резервуары для хранения — Департамент экологии штата Вашингтон

Наша программа по подземным резервуарам для хранения (UST) является одной из крупнейших программ предотвращения загрязнения окружающей среды. Ежегодно под землей хранится чуть более 3 миллиардов галлонов топлива. Мы проводим проверки соответствия и предоставляем техническую помощь, чтобы помочь владельцам резервуаров предотвратить утечки и разливы.

Обзор программы

Мы регулируем более 8 500 резервуаров на более чем 3 400 объектах, включая автозаправочные станции, промышленные и коммерческие объекты, а также государственные объекты.Мы следим за тем, чтобы эти резервуары и связанные с ними системы трубопроводов были установлены, управлялись и контролировались, чтобы предотвратить выбросы в окружающую среду.

Программа ЕСН штата Вашингтон утверждена на федеральном уровне. Это означает, что к системе UST в этом штате применяется закон штата, а не федеральный. От нас на федеральном уровне требуется проверять резервуары не реже одного раза в три года.

Найди это быстро

Годовая плата
Плата за каждый подземный резервуар для хранения составляет:

Источники и причины выбросов

Ознакомьтесь с нашими данными об источниках и причинах выбросов из систем UST в Вашингтоне.

Прочие резервуары для хранения

Вы должны сообщать в отдел экологии о любых разливах или утечках нефти или опасных веществ, независимо от того, регулируем ли мы резервуар или нет. Немедленно сообщайте о выбросах, влияющих на воду, или о разливах опасных материалов .

Наземные резервуары для хранения

Экология не регулирует большинство наземных резервуаров для хранения (AST). В этих резервуарах обычно хранятся нефтепродукты (например, топочный мазут, пропан или дизельное топливо) или другие потенциально опасные химические вещества.Местные пожарные агентства, округа и / или города регулируют и разрешают AST, за двумя исключениями:

Некоторые AST подпадают под федеральные постановления, в том числе:

Емкости для жидкого топлива для дома

Мы не регулируем установку резервуаров для жидкого топлива в жилых домах, подземных или надземных. За информацией о резервуарах для жидкого топлива в доме обращайтесь в Агентство по страхованию ответственности за загрязнение (1-800-822-3905).

% PDF-1.4 % 16152 0 объект> эндобдж xref 16152 605 0000000016 00000 н. 0000025627 00000 н. 0000025847 00000 п. 0000025877 00000 п. 0000025924 00000 п. 0000025962 00000 п. 0000026373 00000 п. 0000026509 00000 п. 0000026646 00000 п. 0000026750 00000 п. 0000026858 00000 п. 0000029917 00000 н. 0000031099 00000 п. 0000032277 00000 н. 0000032470 00000 п. 0000032652 00000 п. 0000032725 00000 п. 0000033911 00000 п. 0000034132 00000 п. 0000044774 00000 п. 0000113380 00000 н. 0000114236 00000 п. 0000114715 00000 н. 0000114832 00000 н. 0000115311 00000 н. 0000115428 00000 н. 0000115907 00000 н. 0000116024 00000 н. 0000116503 00000 н. 0000116619 00000 н. 0000116682 00000 н. 0000116806 00000 н. 0000116896 00000 н. 0000116996 00000 н. 0000117151 00000 н. 0000117243 00000 н. 0000117336 00000 н. 0000117457 00000 н. 0000117633 00000 н. 0000117778 00000 н. 0000117891 00000 н. 0000118083 00000 н. 0000118180 00000 н. 0000118294 00000 н. 0000118474 00000 н. 0000118609 00000 н. 0000118723 00000 н. 0000118886 00000 н. 0000119043 00000 н. 0000119158 00000 н. 0000119333 00000 н. 0000119471 00000 н. 0000119585 00000 н. 0000119760 00000 н. 0000119920 00000 н. 0000120034 00000 н. 0000120174 00000 н. 0000120337 00000 н. 0000120454 00000 н. 0000120568 00000 н. 0000120745 00000 н. 0000120849 00000 н. 0000120974 00000 н. 0000121139 00000 н. 0000121311 00000 н. 0000121425 00000 н. 0000121579 00000 н. 0000121676 00000 н. 0000121790 00000 н. 0000121954 00000 н. 0000122108 00000 н. 0000122222 00000 н. 0000122391 00000 н. 0000122546 00000 н. 0000122660 00000 н. 0000122849 00000 н. 0000122980 00000 н. 0000123094 00000 н. 0000123271 00000 н. 0000123423 00000 п. 0000123537 00000 н. 0000123732 00000 н. 0000123888 00000 н. 0000124002 00000 н. 0000124132 00000 н. 0000124290 00000 н. 0000124392 00000 н. 0000124516 00000 н. 0000124674 00000 н. 0000124815 00000 н. 0000124928 00000 н. 0000125092 00000 н. 0000125184 00000 н. 0000125297 00000 н. 0000125452 00000 н. 0000125594 00000 н. 0000125707 00000 н. 0000125866 00000 н. 0000126010 00000 н. 0000126124 00000 н. 0000126288 00000 н. 0000126390 00000 н. 0000126504 00000 н. 0000126675 00000 н. 0000126816 00000 н. 0000126929 00000 н. 0000127099 00000 н. 0000127246 00000 н. 0000127358 00000 н. 0000127522 00000 н. 0000127695 00000 н. 0000127808 00000 н. 0000127997 00000 н. 0000128146 00000 н. 0000128258 00000 н. 0000128380 00000 н. 0000128521 00000 н. 0000128632 00000 н. 0000128727 00000 н. 0000128868 00000 н. 0000128942 00000 н. 0000129044 00000 н. 0000129149 00000 н. 0000129268 00000 н. 0000129428 00000 н. 0000129536 00000 н. 0000129642 00000 н. 0000129796 00000 н. 0000129909 00000 н. 0000130012 00000 н. 0000130175 00000 н. 0000130267 00000 н. 0000130408 ​​00000 н. 0000130517 00000 н. 0000130647 00000 н. 0000130753 00000 п. 0000130867 00000 н. 0000130967 00000 н. 0000131071 00000 н. 0000131197 00000 н. 0000131367 00000 н. 0000131469 00000 н. 0000131569 00000 н. 0000131742 00000 н. 0000131870 00000 н. 0000131998 00000 н. 0000132124 00000 н. 0000132293 00000 н. 0000132377 00000 н. 0000132526 00000 н. 0000132623 00000 н. 0000132727 00000 н. 0000132829 00000 н. 0000132971 00000 н. 0000133140 00000 н. 0000133238 00000 н. 0000133359 00000 п. 0000133498 00000 н. 0000133635 00000 н. 0000133754 00000 н. 0000133872 00000 н. 0000133994 00000 н. 0000134121 00000 н. 0000134245 00000 н. 0000134331 00000 н. 0000134513 00000 н. 0000134621 00000 н. 0000134737 00000 н. 0000134903 00000 н. 0000135004 00000 н. 0000135109 00000 н. 0000135291 00000 н. 0000135373 00000 п. 0000135546 00000 н. 0000135643 00000 н. 0000135763 00000 н. 0000135904 00000 н. 0000136084 00000 н. 0000136182 00000 н. 0000136284 00000 н. 0000136399 00000 н. 0000136519 00000 н. 0000136638 00000 н. 0000136773 00000 н. 0000136919 00000 н. 0000137045 00000 н. 0000137177 00000 н. 0000137295 00000 н. 0000137393 00000 н. 0000137489 00000 н. 0000137628 00000 н. 0000137763 00000 н. 0000137894 00000 н. 0000138027 00000 н. 0000138190 00000 н. 0000138300 00000 н. 0000138410 00000 н. 0000138586 00000 н. 0000138683 00000 н. 0000138802 00000 н. 0000138971 00000 н. 0000139076 00000 н. 0000139199 00000 н. 0000139337 00000 н. 0000139428 00000 н. 0000139521 00000 н. 0000139660 00000 н. 0000139804 00000 н. 0000139930 00000 н. 0000140100 00000 н. 0000140214 00000 н. 0000140320 00000 н. 0000140452 00000 н. 0000140643 00000 п. 0000140746 00000 н. 0000140850 00000 н. 0000141022 00000 н. 0000141124 00000 н. 0000141234 00000 н. 0000141387 00000 н. 0000141508 00000 н. 0000141613 00000 н. 0000141800 00000 н. 0000141905 00000 н. 0000142008 00000 н. 0000142183 00000 п. 0000142285 00000 н. 0000142386 00000 п. 0000142570 00000 н. 0000142670 00000 н. 0000142770 00000 н. 0000142890 00000 н. 0000143009 00000 п. 0000143133 00000 п. 0000143270 00000 н. 0000143399 00000 н. 0000143522 00000 н. 0000143640 00000 н. 0000143756 00000 н. 0000143882 00000 н. 0000144010 00000 н. 0000144133 00000 п. 0000144252 00000 н. 0000144368 00000 н. 0000144488 00000 н. 0000144603 00000 н. 0000144724 00000 н. 0000144852 00000 н. 0000145013 00000 н. 0000145112 00000 н. 0000145220 00000 н. 0000145392 00000 н. 0000145522 00000 н. 0000145641 00000 п. 0000145818 00000 н. 0000145918 00000 н. 0000146019 00000 п. 0000146182 00000 п. 0000146285 00000 н. 0000146393 00000 н. 0000146584 00000 н. 0000146687 00000 н. 0000146786 00000 н. 0000146956 00000 п. 0000147075 00000 п. 0000147188 00000 н. 0000147310 00000 н. 0000147492 00000 н. 0000147591 00000 н. 0000147691 00000 п. 0000147819 00000 п. 0000147969 00000 н. 0000148107 00000 н. 0000148237 00000 н. 0000148364 00000 н. 0000148487 00000 н. 0000148656 00000 н. 0000148751 00000 н. 0000148870 00000 н. 0000148989 00000 н. 0000149104 00000 н. 0000149219 00000 п. 0000149339 00000 н. 0000149444 00000 н. 0000149569 00000 н. 0000149731 00000 н. 0000149853 00000 п. 0000149987 00000 н. 0000150145 00000 н. 0000150246 00000 н. 0000150359 00000 н. 0000150502 00000 н. 0000150621 00000 н. 0000150745 00000 н. 0000150870 00000 н. 0000151057 00000 н. 0000151191 00000 н. 0000151301 00000 н. 0000151462 00000 н. 0000151566 00000 н. 0000151690 00000 н. 0000151810 00000 н. 0000151961 00000 н. 0000152047 00000 н. 0000152197 00000 н. 0000152299 00000 н. 0000152492 00000 н. 0000152596 00000 н. 0000152718 00000 н. 0000152879 00000 н. 0000152982 00000 н. 0000153080 00000 н. 0000153194 00000 н. 0000153306 00000 н. 0000153420 00000 н. 0000153536 00000 н. 0000153649 00000 н. 0000153759 00000 н. 0000153854 00000 н. 0000153961 00000 н. 0000154136 00000 н. 0000154267 00000 н. 0000154369 00000 н. 0000154474 00000 н. 0000154578 00000 н. 0000154731 00000 н. 0000154851 00000 н. 0000154966 00000 н. 0000155076 00000 н. 0000155189 00000 н. 0000155303 00000 н. 0000155413 00000 н. 0000155596 00000 н. 0000155697 00000 н. 0000155796 00000 н. 0000155953 00000 н. 0000156084 00000 н. 0000156179 00000 н. 0000156365 00000 н. 0000156485 00000 н. 0000156612 00000 н. 0000156746 00000 н. 0000156912 00000 н. 0000157026 00000 н. 0000157149 00000 н. 0000157285 00000 н. 0000157436 00000 н. 0000157550 00000 н. 0000157661 00000 н. 0000157776 00000 н. 0000157889 00000 н. 0000158020 00000 н. 0000158147 00000 н. 0000158260 00000 н. 0000158364 00000 н. 0000158476 00000 н. 0000158596 00000 н. 0000158716 00000 н. 0000158846 00000 н. 0000158983 00000 н. 0000159107 00000 н. 0000159235 00000 н. 0000159390 00000 н. 0000159528 00000 н. 0000159645 00000 н. 0000159762 00000 н. 0000159902 00000 н. 0000160074 00000 н. 0000160172 00000 н. 0000160274 00000 н. 0000160475 00000 н. 0000160583 00000 н. 0000160692 00000 п. 0000160843 00000 н. 0000160969 00000 н. 0000161082 00000 н. 0000161206 00000 н. 0000161309 00000 н. 0000161419 00000 н. 0000161552 00000 н. 0000161688 00000 н. 0000161811 00000 н. 0000161931 00000 н. 0000162057 00000 н. 0000162173 00000 н. 0000162299 00000 н. 0000162475 00000 н. 0000162581 00000 н. 0000162686 00000 н. 0000162816 00000 н. 0000162983 00000 н. 0000163081 00000 н. 0000163174 00000 н. 0000163363 00000 н. 0000163470 00000 н. 0000163582 00000 н. 0000163761 00000 н. 0000163858 00000 н. 0000163960 00000 н. 0000164083 00000 н. 0000164195 00000 н. 0000164309 00000 н. 0000164431 00000 н. 0000164554 00000 н. 0000164673 00000 н. 0000164788 00000 н. 0000164905 00000 н. 0000165028 00000 н. 0000165144 00000 н. 0000165249 00000 н. 0000165357 00000 н. 0000165478 00000 н. 0000165593 00000 н. 0000165706 00000 н. 0000165828 00000 н. 0000165955 00000 н. 0000166081 00000 н. 0000166197 00000 н. 0000166379 00000 н. 0000166506 00000 н. 0000166607 00000 н. 0000166775 00000 н. 0000166879 00000 н. 0000166993 00000 н. 0000167179 00000 н. 0000167280 00000 н. 0000167412 00000 н. 0000167560 00000 н. 0000167688 00000 н. 0000167793 00000 н. 0000167930 00000 н. 0000168071 00000 н. 0000168185 00000 н. 0000168286 00000 н. 0000168404 00000 н. 0000168551 00000 н. 0000168652 00000 н. 0000168790 00000 н. 0000168966 00000 н. 0000169069 00000 н. 0000169170 00000 н. 0000169281 00000 н. 0000169410 00000 н. 0000169539 00000 н. 0000169698 00000 н. 0000169807 00000 н. 0000169922 00000 н. 0000170048 00000 н. 0000170177 00000 н. 0000170292 00000 н. 0000170404 00000 н. 0000170520 00000 н. 0000170639 00000 п. 0000170757 00000 н. 0000170873 00000 н. 0000171003 00000 н. 0000171142 00000 н. 0000171300 00000 н. 0000171430 00000 н. 0000171550 00000 н. 0000171708 00000 н. 0000171829 00000 н. 0000171949 00000 н. 0000172078 00000 н. 0000172223 00000 н. 0000172384 00000 н. 0000172485 00000 н. 0000172580 00000 н. 0000172715 00000 н. 0000172833 00000 н. 0000172949 00000 н. 0000173087 00000 н. 0000173215 00000 н. 0000173351 00000 н. 0000173471 00000 н. 0000173609 00000 н. 0000173737 00000 н. 0000173872 00000 н. 0000174011 00000 н. 0000174155 00000 н. 0000174315 00000 н. 0000174473 00000 н. 0000174574 00000 н. 0000174679 00000 н. 0000174820 00000 н. 0000174945 00000 н. 0000175111 00000 п. 0000175216 00000 н. 0000175323 00000 н. 0000175498 00000 п. 0000175589 00000 н. 0000175768 00000 н. 0000175872 00000 н. 0000175974 00000 н. 0000176162 00000 н. 0000176273 00000 н. 0000176385 00000 н. 0000176510 00000 н. 0000176622 00000 н. 0000176735 00000 н. 0000176892 00000 н. 0000177008 00000 н. 0000177100 00000 н. 0000177261 00000 н. 0000177367 00000 н. 0000177473 00000 н. 0000177610 00000 н. 0000177739 00000 н. 0000177888 00000 н. 0000178016 00000 н. 0000178154 00000 н. 0000178284 00000 н. 0000178422 00000 н. 0000178526 00000 н. 0000178647 00000 н. 0000178825 00000 н. 0000178922 00000 н. 0000179036 00000 н. 0000179212 00000 н. 0000179311 00000 н. 0000179419 00000 н. 0000179562 00000 н. 0000179701 00000 н. 0000179890 00000 н. 0000179989 00000 н. 0000180108 00000 н. 0000180291 00000 п. 0000180393 00000 п. 0000180547 00000 н. 0000180679 00000 н. 0000180847 00000 н. 0000180946 00000 н. 0000181045 00000 н. 0000181209 00000 н. 0000181293 00000 н. 0000181438 00000 н. 0000181537 00000 н. 0000181711 00000 н. 0000181806 00000 н. 0000181931 00000 н. 0000182080 00000 н. 0000182183 00000 н. 0000182288 00000 н. 0000182464 00000 н. 0000182562 00000 н. 0000182691 00000 н. 0000182817 00000 н. 0000182969 00000 н. 0000183085 00000 н. 0000183222 00000 н. 0000183358 00000 н. 0000183491 00000 н. 0000183618 00000 н. 0000183758 00000 н. 0000183888 00000 н. 0000184019 00000 н. 0000184150 00000 н. 0000184284 00000 н. 0000184393 00000 н. 0000184513 00000 н. 0000184632 00000 н. 0000184750 00000 н. 0000184860 00000 н. 0000184999 00000 н. 0000185139 00000 н. 0000185322 00000 н. 0000185453 00000 н. 0000185586 00000 н. 0000185765 00000 н. 0000185879 00000 н. 0000185979 00000 н. 0000186094 00000 н. 0000186277 00000 н. 0000186376 00000 н. 0000186481 00000 н. 0000186595 00000 н. 0000186705 00000 н. 0000186819 00000 н. 0000186930 00000 н. 0000187052 00000 н. 0000187167 00000 н. 0000187285 00000 н. 0000187475 00000 н. 0000187569 00000 н. 0000187669 00000 н. 0000187805 00000 н. 0000187967 00000 н. 0000188067 00000 н. 0000188165 00000 н. 0000188294 00000 н. 0000188427 00000 н. 0000188561 00000 н. 0000188689 00000 н. 0000188810 00000 н. 0000188955 00000 н. 0000189088 00000 н. 0000189209 00000 н. 0000189354 00000 н. 0000189488 00000 н. 0000189585 00000 н. 0000189694 00000 н. 0000189812 00000 н. 0000189923 00000 н. 00001

00000 н. 0000012396 00000 п. трейлер ] >> startxref 0 %% EOF 16756 0 obj> поток x} t 螙 $ Mh> S (5Ҧ @ 6 @ Z (Z1JEԂuZTyA «* j թ J QX ݯ kku] {

TCP / IP

TCP / IP (протокол управления передачей / Интернет-протокол) — это телекоммуникационный протокол, обычно используемый для связи между распределенными системами.TCP / IP позволяет компьютерам общаться друг с другом и хорошо зарекомендовал себя на платформах UNIX и ПК.

IP-адрес сервера связи для z / OS (TCP / IP)

Если вы используете IP-адрес сервера связи для z / OS, требуются соответствующие полномочия OMVS для идентификаторов входа, под которыми работают серверы TCP / IP. Создайте логонид TCP / IP и необходимые учетные данные OMVS, введя следующие команды:

 

КОМПЛЕКТ КРЫШКИ ВСТАВИТЬ ИМЯ TCPIP (TCP / IP ЛОГОНИД STC) ГРУППА STC (OMVSGRP) UID (0) HOME (/) УСТАНОВИТЬ ПРОФИЛЬ (ГРУППУ) DIV (OMVS) ВСТАВИТЬ OMVSGRP GID (nn)

Поступали отчеты, указывающие на то, что для использования команды lpr потребовалось наличие у пользователя полномочий суперпользователя.Это связано с тем, что для параметра RESTRICTLOWPORTS в TCP / IP установлено значение YES. Это заставляет команду lpr использовать порт ниже 1024, требуя полномочий суперпользователя. Установите для этого параметра значение NO, чтобы удалить требование суперпользователя.

TCP / IP использует класс SERVAUTH для защиты различных ресурсов TCP / IP от несанкционированного доступа. Класс SERVAUTH защищает пять функций:

  • Доступ к стеку

    Управляет тем, какие пользователи могут получить доступ к стеку TCP / IP, используя созданное имя ресурса, подобное EZB.STACKACCESS.sysname.tcpipid.
  • Net Access

    Управляет тем, какие пользователи могут получить доступ к отдельным сетям, используя созданное имя ресурса, подобное EZB.NETACCESS.sysname.tcpipid.netname.
  • Доступ к порту

    Управляет тем, какие пользователи могут использовать порты TCP и UPD, используя созданное имя ресурса, подобное EZB.PORTACCESS.sysname.tcpipid.portname.
  • Доступ Netstat

    Управляет доступом к выходным данным команды Netstat из сред оболочки TSO и z / OS UNIX System Services с использованием созданного имени ресурса, аналогичного EZB.NETSTAT.sysname.tcpname.netstatoption.
  • TN3270

    Управляет тем, какие пользователи могут использовать защищенные порты, используя созданное имя ресурса, подобное EZB.TN3270.sysname.tcpipid.PORTnnnn.
  • где sysname — это имя системы:

    tcpipid — это имя запущенной задачи TCPI / IP.
    • имя сети — это сеть, указанная в файле PROFILE.TCPIP.
    • имя порта — имя порта, определенное в ПРОФИЛЕ.Файл TCPIP
    • nnnn — номер порта с ведущими нулями.
    Ресурсы ДОСТУПА К СТЕКУ проверяются автоматически, в то время как три других типа ресурсов требуют активации с помощью настроек в файле PROFILE.TCPIP. Дополнительную информацию см. В Руководстве по настройке IP-конфигурации

    z / OS

    . Пользователи, пытающиеся использовать TCP / IP через защищенный запрос доступа, должны иметь доступ для чтения к конкретному проверяемому ресурсу. Чтобы разрешить доступ к любому или всем этим ресурсам, создайте и сохраните правило ресурса с соответствующими записями правила.Например, следующее правило разрешит USERA доступ ко всем ресурсам класса SERVAUTH:
     

    УСТАНОВИТЬ РЕСУРС (SER) СОСТАВИТЬ * $ KEY (EZB) ТИП (SER) NETACCESS.- UID (usera_uid) СЕРВИС (ЧТЕНИЕ) РАЗРЕШИТЬ STACKACCESS.- UID (usera_uid) СЕРВИС (ЧТЕНИЕ) РАЗРЕШИТЬ PORTACCESS.- UID (usera_uid) СЕРВИС (ЧТЕНИЕ) РАЗРЕШИТЬ TN3270.- UID (usera_uid) СЕРВИС (ЧТЕНИЕ) РАЗРЕШИТЬ NETSTAT.- UID (usera_uid) СЕРВИС (ЧТЕНИЕ) РАЗРЕШИТЬ МАГАЗИН

    Выбранный код типа основан на значении, установленном для CLASMAP по умолчанию для SERVAUTH.Вы можете изменить код типа, создав свои собственные локальные записи CLASMAP, используя следующие команды:

     

    КОМПЛЕКТ УПРАВЛЕНИЯ (GSO) ВСТАВИТЬ CLASMAP.SERVAUTH RESOURCE (SERVAUTH) RSRCTYPE (type_code) ENTITYLN (64)

    Правила ресурса SERVAUTH должны быть резидентными. Вы устанавливаете это, определяя код типа как резидентный в записи INFODIR GSO. Следующие команды являются примером этого с использованием кода типа SER по умолчанию:

     

    КОМПЛЕКТ УПРАВЛЕНИЯ (GSO) ИЗМЕНИТЬ ТИПЫ ИНФОРМАЦИИ (R-RSER)

    Чтобы немедленно активировать эти изменения, введите следующие команды:

     

    F ACF2, ОБНОВИТЬ (ВСЕ) F ACF2, ПЕРЕСТРОЙКА (SER)

Для защиты IPv4-адреса с помощью

CA ACF2

(или любого внешнего продукта безопасности) необходимо, чтобы установленный продукт TCP / IP передавал пакет адреса IPv4.Однако не все продукты поставщиков TCP / IP передают эту информацию. Продукт IBM TCP / IP действительно передает адрес IPv4. Защита адреса

IPv4 недоступна, если продукт TCP / IP не передает пакет адреса IPv4.

Переданный пакет IPv4 генерируется с исходного IPv4-адреса пользователя. Таким образом, эти пакеты IPv4 часто не похожи на стандартные имена LU. Каждый узел адреса IPv4 транслируется в символьное представление шестнадцатеричного значения узла. Например, IPv4-адрес 141.202.201.56 появится как терминал 8DCAC938. Шестнадцатеричное значение 141 — 8D, шестнадцатеричное значение 202 — CA и т. Д.

CA ACF2

предоставляет два механизма для реализации безопасности адреса IPv4. Стандартный адрес IPv4 преобразуется в шестнадцатеричные пары. Если вы хотите ограничить вход определенного пользователя в систему только через определенный IPv4-адрес, используйте ограничение источника для логонид. Например:
 

КОМПЛЕКТ КРЫШКИ ИЗМЕНИТЬ ИСТОЧНИК пользователя (8DCAC938), эквивалентный 141.202.201.56

Если вы хотите разрешить более одного IPv4-адреса или диапазона IPv4-адресов, используйте ограничение исходной группы.Добавьте каждый допустимый источник или используйте маскировку. Например, чтобы разрешить использование всех адресов IPv4, начиная с 141.202 и 141.201.201.55, введите:

 

УСТАНОВИТЬ XREF (SGP) ВСТАВИТЬ IPGROUP ВКЛЮЧИТЬ (8DCA **** 8DC9C937) УСТАНОВИТЬ КРЫШКУ ИЗМЕНИТЬ ИСТОЧНИК пользователя (IPGROUP)

Чтобы немедленно активировать изменения в записях внешних ссылок, введите:

 

F ACF2, NEWXREF, ТИП (SGP)

Обработка адресов IPv6 влияет на текущую обработку адресов IPv4, которые передаются в

CA ACF2

в виде преобразованных шестнадцатеричных пар.Вы не можете указать IPv6-адрес в качестве физического источника ввода в логонидах, правилах доступа и правилах ресурсов, как это можно сделать с IPv4-адресом, поскольку в z / OS V1R5 TERMID больше не используется в качестве идентификатора источника для пользователей, пытающихся получить доступ к системе и ресурсам через порты входа на основе IPv6. Поэтому, если вы реализуете адресацию IPv6 и IPv4 в своей системе, чтобы гарантировать, что ограничения источника продолжают работать должным образом в существующих логониде, правилах доступа и правилах ресурсов, которые указывают физический источник ввода IPv4 в одной или нескольких записях X (SGP) , вы должны добавить к этим записям слово SERVAUTH.Записи логонид, которые указывают физический источник ввода в поле SOURCE, также должны быть изменены, чтобы указать имя записи исходной группы, в которой были определены физические источники ввода и слово SERVAUTH.

В системе XE43, которая использует адресацию IPv4 и IPv6, слово SERVAUTH добавляется к существующей записи X (SGP), IPV4GTSA:

 

ACF установить x (sgp) XREF изменить ipv4gtsa include (servauth) добавить XE43 / IPV4GTSA ПОСЛЕДНЕЕ ИЗМЕНЕНИЕ M1ADMN 29.06.05-16: 33 ВКЛЮЧИТЬ (A69LO907 SERVAUTH) ИСТОЧНИК

Существующая запись X (SGP) IPV4GTSA указана как ИСТОЧНИК в логониде IPUSR05.Следовательно, пользователю IPUSR05 будет разрешен доступ к системе только через терминал IPv4, A69LO907.

 

ACF УСТАНОВИТЬ КРЫШКУ Крышка l ipusr05 IPUSR05 SHS IPUSR05 ТЕСТ АДМИНИСТРАТОРА ПОЛЬЗОВАТЕЛЯ X1111 КОМПАНИЯ (И) ОТДЕЛ () IDNUM () УРОВЕНЬ (И) РАСПОЛОЖЕНИЕ () OLDLID () ПОЛОЖЕНИЕ () ПРОЕКТ () САЙТ (H) ... ПРЕФИКС ОГРАНИЧЕНИЙ (IPUSR05) ИСТОЧНИК (IPV4GTSA) LID

Кроме того, запись X (SGP) IPV4GTSA указывается как ИСТОЧНИК в записи правила ресурсов TEST1.TEST.RESOURCE.NAME. Следовательно, пользователю IPUSR16 разрешен доступ на ЧТЕНИЕ или ОБНОВЛЕНИЕ к ресурсу TEST1.TEST.RESOURCE.NAME в классе FACILITY только через терминал IPv4 A69LO907.

 

ACF УСТАНОВИТЬ РЕСУРС (FAC) РЕСУРС DECOMP TEST1 ACF75052 ТЕСТ ПРАВИЛА РЕСУРСОВ1, СОХРАНЕННЫЙ M1ADMN 29.06.05-16: 38 $ KEY (TEST1) ТИП (FAC) КОНТРОЛЬНАЯ РАБОТА.RESOURCE.NAME UID (-IPUSR16) ИСТОЧНИК (IPV4GTSA) СЕРВИС (ЧТЕНИЕ, ОБНОВЛЕНИЕ) РАЗРЕШИТЬ ACF75051 ОБЩАЯ ДЛИНА ЗАПИСИ = 278 БАЙТОВ, ИСПОЛЬЗУЕТСЯ 6 ПРОЦЕНТОВ РЕСУРС

IPv6 — это новая версия IP, разработанная как преемник IPv4. Поскольку IPv6 увеличивает размер IP-адреса с 32 до 128 бит, физический IPv6-адрес не может быть преобразован в шестнадцатеричный парный формат и должен обрабатываться иначе, чем IPv4-адрес.

TERMID в вызове RACROUTE REQUEST = VERIFY больше не будет использоваться в качестве идентификатора источника, когда порт входа на основе IPv6 пытается получить доступ к системе, ресурсу или набору данных.Вместо этого IBM создала новый тип SESSION, IP, и новый класс порта входа (POE), SERVAUTH. Новое ключевое слово SERVAUTH в вызове VERIFY RACROUTE указывает адрес идентификатора сервера, через который пользователь пытается получить доступ к системе. Адрес указывает на поле длиной 1 байт, за которым следует 64-байтовая область данных, которая содержит имя ресурса в классе SERVAUTH. Это имя ресурса — это имя зоны безопасности доступа к сети, которая содержит IPv6-адрес пользователя.Сопоставления зон безопасности определяются в блоке параметров NETACCESS в профиле TCP / IP.

Ниже приведен пример профиля TCP / IP:

 

NETACCESS 9.24.104.0/24 ЗОНА 1 9.24.104.119/32 ЗОНА 2 ENDNETACCESS

Имя зоны доступа к сети, которой сопоставлены указанные выше IP-адреса, имеет следующий формат:

 

EZB.NETACCESS.sysname.stackname.zone

Разрешение входа в систему и доступа к ресурсам с IPv6-адреса с использованием

CA ACF2

требует, во-первых, создания правила ресурса для зоны сетевой безопасности, в которой отображается IPv6-адрес пользователя.Следующее правило ресурса

CA ACF2

позволит пользователю USERA получить доступ к системе с IPv6-адреса 9.24.104.119/32 в ZONE2.
 

установить ресурс (ser) РЕСУРС компилировать * $ key (ezb) тип (ser) netaccess .-. zone2 uid (usera) сервис (чтение) разрешить магазин

Помимо создания правил ресурсов, необходимо также создать и активировать следующую запись SAFDEF для обработки запросов SAF AUTH, поступающих от ACF9CSFV.

 

акф. ACF установить контроль (gso) КОНТРОЛЬ Вставьте safdef.acf9csfv id (acf9csfv) режим (глобальный) racroute (reqstor = acf9csfv запрос = авторизация) XE69 / SAFDEF.ACF9CSFV ПОСЛЕДНЕЕ ИЗМЕНЕНИЕ M1ADMN 08/01 / 04-11: 14 FUNCRET (4) FUNCRSN (0) ID (ACF9CSFV) РЕЖИМ (ГЛОБАЛЬНЫЙ) RACROUTE (REQSTOR = ACF9CSFV REQUEST = AUTH RETCODE (4) КОНТРОЛЬ f acf2, обновить (safdef) ACF79507 ОБРАБОТКА GSO ЗАВЕРШЕНА БЕЗ ОШИБКИ УПРАВЛЕНИЕ

Если указанная выше запись SAFDEF не создана и не активирована в системе

CA ACF2

с активным MLS или без него, система не будет защищена от портов входа на основе IPv6.В дополнение к проверке правил ресурсов в классе SERVAUTH, MLS также может использоваться для дальнейшего ограничения входа пользователей в систему и доступа с IPv6-адреса. Администратор должен создать соответствующую запись скомпилированного профиля

CA ACF2

Security Seclabel, которая классифицирует имя зоны доступа к сети и сопоставленный с ней IPv6-адрес, а также назначает ему метку безопасности. Как только это будет сделано и MLS активен в системе, проверка метки безопасности будет выполнена при входе в систему, чтобы гарантировать, что метка безопасности пользователя эквивалентна метке безопасности ресурса SERVAUTH.В противном случае пользователю будет отказано в доступе к системе через сервер. Если проверка метки защиты прошла успешно, затем выполняется проверка правила, чтобы в конечном итоге разрешить или отклонить запрос доступа. Следующая запись скомпилированного профиля

CA ACF2

SECLABEL позволит USERA получить доступ к системе с IPv6-адреса 9.24.104.119/32, который находится в ZONE2, только если метка безопасности, с которой USERA входит в систему, эквивалентна LABEL2 (метка безопасности для безопасность сети ZONE2) и проверка правила ресурса также разрешает доступ.
 

set p (seclabel) div (профиль) ПРОФИЛЬ компилировать * $ ключ (ezb) $ rtype (ser) netaccess .-. zone2 seclabel (метка2) магазин

Для получения дополнительной информации о том, как защитить ресурсы SERVAUTH в системе

CA ACF2

MLS, см.

Реализация многоуровневого планирования безопасности

.

Справочное руководство для OpenVPN 2.4

Шифруйте и аутентифицируйте все пакеты канала управления с помощью ключа из ключевого файла . (Дополнительные сведения см. В —tls-auth .)

Шифрование (и аутентификация) пакетов канала управления:

  • обеспечивает большую конфиденциальность, скрывая сертификат, используемый для TLS-соединения
  • затрудняет идентификацию трафика OpenVPN как такового
  • обеспечивает пост-квантовую безопасность «бедняков» от злоумышленников, которые никогда не узнают предварительный общий ключ (т.е. отсутствие прямой секретности).

В отличие от —tls-auth , —tls-crypt * не * требует от пользователя установки —key-direction .16 (65536) пакетов (чтобы быть консервативным), и (повторные) переговоры происходят каждую минуту для каждого пользователя (24/7), это ограничивает время жизни ключа tls-crypt до 8171 года, разделенного на количество пользователей. Таким образом, установка с 1000 пользователями должна менять ключ не реже одного раза в восемь лет. (И установка с 8000 пользователей каждый год.)

Если возникнут IV-коллизии, это может привести к снижению безопасности —tls-crypt до той же безопасности, что и при использовании —tls-auth . То есть канал управления по-прежнему получает преимущества от дополнительной защиты от активных атак типа «злоумышленник в середине» и DoS-атак, но больше не может предлагать дополнительную конфиденциальность и постквантовую безопасность в дополнение к тому, что предлагает сам TLS.

—askpass [файл] Получите пароль сертификата из консоли или файл перед тем, как демонизировать.

Для тех, кто заботится о безопасности, можно защитить свой закрытый ключ паролем. Конечно, это означает, что каждый раз, когда запускается демон OpenVPN, вы должны быть там, чтобы ввести пароль. Параметр —askpass позволяет запускать OpenVPN из командной строки. Он запросит у вас пароль перед тем, как демонизировать. Чтобы защитить закрытый ключ паролем, вы должны опустить параметр -nodes при использовании инструмента командной строки openssl для управления сертификатами и закрытыми ключами.

Если указан файл , считайте пароль из первой строки файла . Имейте в виду, что хранение вашего пароля в файле в определенной степени делает недействительной дополнительную безопасность, обеспечиваемую использованием зашифрованного ключа.

—auth-nocache Не кэшировать —askpass или —auth-user-pass имя пользователя / пароли в виртуальной памяти.

Если указано, эта директива заставит OpenVPN немедленно забыть введенные имя пользователя / пароль после их использования.В результате, когда OpenVPN требует имя пользователя / пароль, он запрашивает ввод со стандартного ввода, что может быть несколько раз в течение сеанса OpenVPN.

При использовании —auth-nocache в сочетании с файлом пользователя / пароля и —chroot или —daemon обязательно используйте абсолютный путь.

Эта директива не влияет на имя пользователя / пароль —http-proxy . Он всегда кешируется.

—auth-token token Этот параметр нельзя использовать напрямую в каких-либо файлах конфигурации, а лучше использовать этот параметр из сценария —client-connect или —plugin , который подключается к OPENVPN_PLUGIN_CLIENT_CONNECT или звонки OPENVPN_PLUGIN_CLIENT_CONNECT_V2.Эта опция предоставляет возможность заменить пароль клиента на токен аутентификации в течение срока службы клиента OpenVPN.

Каждый раз, когда соединение согласовывается и запускается сценарий —auth-user-pass-verify или —plugin , использующий ловушку OPENVPN_PLUGIN_AUTH_USER_PASS_VERIFY, он передает этот токен в качестве пароля вместо пароля пользователя. при условии. Маркер аутентификации может быть сброшен только путем полного переподключения, когда сервер может передать новые параметры клиенту.Пароль, введенный пользователем, никогда не сохраняется после установки токена аутентификации. Если сторона сервера OpenVPN отклоняет токен аутентификации, клиент получит AUTH_FAIL и отключится.

Цель этого состоит в том, чтобы использовать двухфакторные методы аутентификации, такие как HOTP или TOTP, без необходимости извлекать новый код OTP каждый раз при повторном согласовании соединения. Другой вариант использования — кэширование данных аутентификации на клиенте без необходимости кэширования пароля пользователя в памяти в течение всего сеанса.

Чтобы использовать эту функцию, сценарий —client-connect или —plugin должен поместить

  push «маркер аутентификации UNIQUE_TOKEN_VALUE»
  

в файл / буфер для данных динамической конфигурации. Затем это заставит сервер OpenVPN передать это значение клиенту, который заменит локальный пароль на UNIQUE_TOKEN_VALUE.

—tls-verify cmd Запустите команду cmd , чтобы проверить имя X509 ожидающего TLS-соединения, которое в противном случае прошло все другие тесты сертификации (за исключением отзыва с помощью директивы —crl-verify ; тест отзыва происходит после теста —tls-verify ).

cmd должен вернуть 0, чтобы разрешить квитирование TLS, или 1, чтобы не удалось.

cmd состоит из пути к сценарию (или исполняемой программе), за которым могут следовать аргументы. Путь и аргументы могут быть заключены в одинарные или двойные кавычки и / или экранированы с помощью обратной косой черты и должны быть разделены одним или несколькими пробелами.

При выполнении cmd два аргумента добавляются после любых аргументов, указанных в cmd , как показано ниже:

cmd certificate_depth subject

Эти аргументы представляют собой, соответственно, текущую глубину сертификата и общее имя X509 (cn) партнера.

Эта функция полезна, если одноранговый узел, которому вы хотите доверять, имеет сертификат, подписанный центром сертификации, который также подписал много других сертификатов, где вы не обязательно хотите доверять всем из них, а скорее выбирайте, какой одноранговый сертификат вы примете. Эта функция позволяет вам написать сценарий, который будет проверять имя X509 на сертификате и решать, следует ли его принять. Для простого Perl-скрипта, который будет проверять поле общего имени в сертификате, см. Файл verify-cn в дистрибутиве OpenVPN.

Дополнительные параметры, передаваемые как переменные среды, см. В разделе «Переменные среды» ниже.

—tls-export-cert directory Хранить сертификаты, которые клиенты используют при подключении к этому каталогу. Это будет сделано до вызова —tls-verify. Сертификаты будут использовать временное имя и будут удалены при возврате скрипта tls-verify. Имя файла, используемое для сертификата, доступно через переменную среды peer_cert. —x509-username-field [ext:] fieldname Поле в X.509, который будет использоваться в качестве имени пользователя (по умолчанию = CN). Обычно эта опция указывается с , имя поля , как одно из следующих:

—x509-username-field: emailAddress
—x509-username-field ext: subjectAltName

В первом примере в качестве имени пользователя используется значение атрибута emailAddress в поле «Тема» сертификата. Во втором примере префикс ext: используется для обозначения того, что в расширении X.509 fieldname «subjectAltName» будет выполняться поиск поля rfc822Name (электронная почта), которое будет использоваться в качестве имени пользователя.В случаях, когда в ext: fieldname указано несколько адресов электронной почты, выбирается последнее вхождение.

Когда используется эта опция, опция —verify-x509-name будет соответствовать выбранному имени поля вместо общего имени.

Поддерживаются только расширения SubjectAltName и IssueAltName X.509.

Обратите внимание: Эта опция имеет функцию, которая преобразует полностью строчные имя поля в символы верхнего регистра, e.g., ou -> OU. Имя поля в смешанном регистре или имя поля с префиксом ext: будет оставлено как есть. Эта функция автоматического преобразования в верхний регистр устарела и будет удалена в следующем выпуске.

—verify-x509-name тип имени Принимать соединения, только если имя хоста X.509 равно имени . Удаленный хост также должен пройти все другие тесты проверки.

Какое имя X.509 сравнивается с именем , зависит от настройки типа.Тип может быть «subject» для соответствия полному DN субъекта (по умолчанию), «name» для соответствия RDN субъекта или «name-prefix» для соответствия префиксу RDN субъекта. Какое RDN проверяется как имя, зависит от параметра —x509-username-field . Но по умолчанию используется общее имя (CN), например сертификат с DN субъекта «C = KG, ST = NA, L = Bishkek, CN = Server-1» будет соответствовать:

—verify-x509-name ‘C = KG, ST = NA, L = Bishkek, CN = Server-1’ и —verify-x509-name Имя сервера-1 или вы можете использовать — verify-x509-name Префикс имени сервера , если вы хотите, чтобы клиент принимал соединения только с «Сервером-1», «Сервером-2» и т. д.

—verify-x509-name — полезная замена опции —tls-verify для проверки удаленного хоста, поскольку —verify-x509-name работает в среде —chroot без любые зависимости.

Использование префикса имени является полезной альтернативой управлению списком отзыва сертификатов (CRL) на клиенте, поскольку он позволяет клиенту отклонять все сертификаты, кроме сертификатов, связанных с назначенными серверами.

ПРИМЕЧАНИЕ. Проверяйте префикс имени только в том случае, если вы используете OpenVPN с настраиваемым сертификатом CA, который находится под вашим контролем.Никогда не используйте эту опцию с типом «имя-префикс», если ваши клиентские сертификаты подписаны третьей стороной, например коммерческим веб-центром сертификации.

—x509-track attribute Сохранить одноранговое значение атрибута X509 в среде для использования плагинами и интерфейсом управления. Добавьте «+» к атрибуту , чтобы сохранить значения из полной цепочки сертификатов. Значения будут закодированы как X509_ <глубина> _ <атрибут> = <значение>. Можно определить несколько параметров —x509-track для отслеживания нескольких атрибутов. —ns-cert-type client | server УСТАРЕЛО Этот параметр будет удален в OpenVPN 2.5. Вместо этого используйте более современный эквивалент —remote-cert-tls . Эта опция будет удалена в OpenVPN 2.5.

Требовать, чтобы сертификат однорангового узла был подписан с явным nsCertType обозначением «клиент» или «сервер».

Это полезная опция безопасности для клиентов, гарантирующая, что хост, к которому они подключаются, является назначенным сервером.

См. Сценарий easy-rsa / build-key-server для примера того, как сгенерировать сертификат с полем nsCertType , установленным на «сервер».

Если в поле nsCertType сертификата сервера установлено значение «server», то клиенты могут проверить это с помощью —ns-cert-type server.

Это важная мера безопасности для защиты от атаки «злоумышленник в середине», когда авторизованный клиент пытается подключиться к другому клиенту, выдавая себя за сервер. Атаку легко предотвратить, попросив клиентов проверить сертификат сервера с помощью любого из —ns-cert-type, —verify-x509-name, или —tls-verify.

—remote-cert-ku [v …] Требовать, чтобы сертификат однорангового узла был подписан с явным использованием ключа .

Если присутствует в сертификате, значение keyUsage проверяется библиотекой TLS во время установления связи TLS. Указание этой опции без аргументов требует наличия этого расширения (чтобы библиотека TLS проверила его).

Если также указан список v … , поле keyUsage должно иметь , по крайней мере, таких же битов, как и биты в одно из значений, представленных в списке v…

Значения использования ключей в списке должны быть закодированы в шестнадцатеричной системе, например «—remote-cert-ku a0»

—remote-cert-eku oid Требовать, чтобы сертификат однорангового узла был подписан с явным использованием расширенного ключа .

Это полезный параметр безопасности для клиентов, гарантирующий, что хост, к которому они подключаются, является назначенным сервером.

Расширенное использование ключа должно быть закодировано в нотации oid или символическом представлении OpenSSL.

—remote-cert-tls client | server Требовать, чтобы сертификат однорангового узла был подписан с явным использованием ключа и расширенным использованием ключа на основе правил TLS RFC3280.

Это полезный параметр безопасности для клиентов, гарантирующий, что хост, к которому они подключаются, является назначенным сервером. Или наоборот; для сервера, чтобы убедиться, что могут подключаться только хосты с сертификатом клиента.

Параметр —remote-cert-tls client эквивалентен —remote-cert-ku —remote-cert-eku «Проверка подлинности веб-клиента TLS»

Параметр —remote-cert-tls server эквивалентен параметру —remote-cert-ku —remote-cert-eku «Проверка подлинности веб-сервера TLS»

Это важная мера безопасности для защиты от атаки «злоумышленник в середине», когда авторизованный клиент пытается подключиться к другому клиенту, выдавая себя за сервер.Атаку легко предотвратить, попросив клиентов проверить сертификат сервера с помощью любого из —remote-cert-tls, —verify-x509-name, или —tls-verify.

—crl-verify crl [‘dir’] Проверить сертификат узла по файлу crl в формате PEM.

CRL (список отзыва сертификатов) используется, когда определенный ключ скомпрометирован, но общая PKI все еще не повреждена.

Предположим, у вас есть PKI, состоящая из CA, корневого сертификата и ряда клиентских сертификатов.Предположим, портативный компьютер, содержащий клиентский ключ и сертификат, был украден. Добавив украденный сертификат в файл CRL, вы можете отклонить любое соединение, которое пытается его использовать, сохраняя при этом общую целостность PKI.

Единственный раз, когда потребуется перестроить всю PKI с нуля, будет, если будет скомпрометирован сам ключ корневого сертификата.

Если указан необязательный флаг dir , включите другой режим, где crl — это каталог, содержащий файлы, названные отозванными серийными номерами (файлы могут быть пустыми, содержимое никогда не читается).Если клиент запрашивает соединение, где серийный номер сертификата клиента (десятичная строка) является именем файла, присутствующего в каталоге, он будет отклонен.

Примечание. Поскольку файл crl (или каталог) читается каждый раз, когда одноранговый узел подключается, при отказе от привилегий root с помощью —user, убедитесь, что у этого пользователя достаточно прав для чтения файла.

Информация о библиотеке SSL:

— показать шифры
(автономный) Показать все алгоритмы шифрования для использования с параметром —cipher .
—шоу-дайджесты
(автономный) Показать все алгоритмы обзора сообщений для использования с параметром —auth .
—show-tls
(автономный) Показать все шифры TLS, поддерживаемые криптографической библиотекой. OpenVPN использует TLS для защиты канала управления, по которому происходит обмен ключами, которые используются для защиты фактического трафика VPN. Шифры TLS будут отсортированы от наивысшего предпочтения (наиболее безопасного) до наименьшего. Имейте в виду, что то, может ли набор шифров в этом списке действительно работать, зависит от конкретной настройки обоих одноранговых узлов (например,г. оба одноранговых узла должны поддерживать шифр, и набор шифров ECDSA не будет работать, если вы используете сертификат RSA и т. д.).
— демонстрационные двигатели
(автономный) Показать доступные в настоящее время аппаратные механизмы криптоускорения, поддерживаемые библиотекой OpenSSL.
— кривые
(автономный) Показать все доступные эллиптические кривые для использования с опцией —ecdh-curve .

Сгенерировать случайный ключ:

Используется только для режима шифрования статического ключа без TLS.

—genkey
(автономный) Создает случайный ключ, который будет использоваться в качестве общего секрета, для использования с опцией —secret . Этот файл должен быть предоставлен одноранговому узлу по уже существующему защищенному каналу, например scp
— секретный файл
Записать ключ в файл .

Режим конфигурации постоянного туннеля TUN / TAP:

Доступно с Linux 2.4.7+. Эти параметры включают автономный режим OpenVPN, который можно использовать для создания и удаления постоянных туннелей.

—mktun
(автономный) Создайте постоянный туннель на платформах, которые их поддерживают, например Linux. Обычно туннели TUN / TAP существуют только в течение того периода времени, когда они открыты приложением. Эта опция использует возможность драйвера TUN / TAP создавать постоянные туннели, которые живут через несколько экземпляров OpenVPN и умирают только тогда, когда они удаляются или машина перезагружается. Одно из преимуществ постоянных туннелей состоит в том, что они устраняют необходимость в отдельных —up и —down , чтобы запустить соответствующие команды ifconfig и route .Эти команды могут быть помещены в тот же сценарий оболочки, который запускает или завершает сеанс OpenVPN.

Еще одно преимущество заключается в том, что открытые соединения через туннель на основе TUN / TAP не будут сброшены при перезапуске однорангового узла OpenVPN. Это может быть полезно для обеспечения бесперебойного подключения через туннель в случае сброса DHCP общедоступного IP-адреса однорангового узла (см. Параметр —ipchange выше).

Одним из недостатков постоянных туннелей является сложность автоматической настройки их значения MTU (см. Выше —link-mtu и —tun-mtu ).

На некоторых платформах, таких как Windows, туннели TAP-Win32 по умолчанию постоянны.

—rmtun
(автономный) Удалить постоянный туннель.
—dev tunX | кран X
Устройство TUN / TAP
— пользователь-пользователь
Необязательный пользователь, который может быть владельцем этого туннеля.
—групповая группа
Необязательная группа, которая будет владельцем этого туннеля.

Параметры для Windows:

— путь к win-sys
Задайте путь к системному каталогу Windows, который будет использоваться при поиске системных исполняемых файлов, таких как маршрут .exe и netsh.exe. По умолчанию, если эта директива не указана, OpenVPN будет использовать переменную среды SystemRoot. Этот параметр изменил поведение в OpenVPN 2.3. Ранее вам приходилось определять —win-sys env для использования переменной среды SystemRoot, в противном случае по умолчанию использовалось значение C: \ WINDOWS. Больше нет необходимости использовать ключевое слово env , и оно будет просто проигнорировано. Предупреждение регистрируется, когда оно обнаруживается в файле конфигурации.
— метод ip-win32
При использовании —ifconfig в Windows установите IP-адрес и сетевую маску адаптера TAP-Win32, используя метод . Не используйте эту опцию, если вы также не используете —ifconfig. manual — Не устанавливать IP-адрес или сетевую маску автоматически. Вместо этого выведите на консоль сообщение, в котором пользователю нужно настроить адаптер вручную и указать IP / маску сети, которую OpenVPN ожидает установить для адаптера.

динамический [смещение] [время аренды] — Автоматически устанавливает IP-адрес и сетевую маску, отвечая на сообщения запроса DHCP, генерируемые ядром. Этот режим, вероятно, является самым «чистым» решением для настройки свойств TCP / IP, поскольку он использует хорошо известный протокол DHCP.Однако есть два предварительных условия для использования этого режима: (1) в свойствах TCP / IP для адаптера TAP-Win32 должно быть установлено значение «Получать IP-адрес автоматически», и (2) OpenVPN должен запрашивать IP-адрес в подсеть для использования в качестве адреса виртуального DHCP-сервера. По умолчанию в режиме —dev tap OpenVPN будет использовать обычно неиспользуемый первый адрес в подсети. Например, если ваша подсеть 192.168.4.0 сетевая маска 255.255.255.0, то OpenVPN примет IP-адрес 192.168.4.0 для использования в качестве адреса виртуального DHCP-сервера.В режиме —dev tun OpenVPN заставит DHCP-сервер маскироваться, как если бы он исходил от удаленной конечной точки. Необязательный параметр смещения — это целое число, которое составляет> -256 и <256 и по умолчанию равно -1. Если смещение положительное, DHCP-сервер маскируется под IP-адрес по сетевому адресу + смещение. Если смещение отрицательное, DHCP-сервер маскируется под IP-адрес по широковещательному адресу + смещение. Команду Windows ipconfig / all можно использовать, чтобы показать, какой, по мнению Windows, адрес DHCP-сервера.OpenVPN «потребует» этот адрес, поэтому убедитесь, что вы используете бесплатный адрес. При этом разные экземпляры OpenVPN, включая разные концы одного и того же соединения, могут использовать один и тот же адрес виртуального DHCP-сервера. Параметр lease-time Параметр управляет временем аренды DHCP-назначения, предоставленного адаптеру TAP-Win32, и указывается в секундах. Обычно предпочтительнее использовать очень долгое время аренды, поскольку это предотвращает потерю маршрутов, включающих адаптер TAP-Win32, при переходе системы в спящий режим.Срок аренды по умолчанию — один год.

netsh — Автоматическая установка IP-адреса и сетевой маски с помощью команды «netsh» командной строки Windows. Этот метод работает правильно в Windows XP, но не в Windows 2000.

ipapi — Автоматическая установка IP-адреса и сетевой маски с помощью Windows IP Helper API. У этого подхода нет идеальной семантики, хотя тестирование показало, что на практике он работает нормально. Если вы используете эту опцию, лучше всего оставить свойства TCP / IP для адаптера TAP-Win32 в их состоянии по умолчанию, т.е.е. «Получить IP-адрес автоматически».

adaptive — (по умолчанию) Сначала попробуйте использовать метод dynamic и переключитесь на netsh , если согласование DHCP с адаптером TAP-Win32 не удается в течение 20 секунд. Известно, что такие сбои происходят, когда определенные сторонние пакеты брандмауэра, установленные на клиентском компьютере, блокируют согласование DHCP, используемое адаптером TAP-Win32. Обратите внимание, что при отказе netsh свойства TCP / IP адаптера TAP-Win32 будут сброшены с DHCP на статические, и это приведет к тому, что будущие запуски OpenVPN с использованием адаптивного режима будут использовать netsh немедленно, а не пытаться динамический первый.Чтобы «отвязать» адаптивный режим от использования netsh, запустите OpenVPN хотя бы один раз, используя динамический режим , чтобы восстановить свойства TCP / IP адаптера TAP-Win32 до конфигурации DHCP.

— маршрут-метод м
Какой метод m использовать для добавления маршрутов в Windows? adaptive (по умолчанию) — сначала попробуйте API помощника IP. Если это не удается, вернитесь к команде оболочки route.exe.
ipapi — Использовать вспомогательный API IP.
exe — Вызов команды оболочки route.exe.
—dhcp-option type [parm]
Установить расширенные свойства TCP / IP TAP-Win32, необходимо использовать с —ip-win32 dynamic или —ip-win32 adaptive. Эта опция может использоваться для установки дополнительных свойств TCP / IP на адаптере TAP-Win32 и особенно полезна для настройки клиента OpenVPN для доступа к серверу Samba через VPN. DOMAIN name — Установить DNS-суффикс для конкретного соединения.

DNS-адрес — Установите IPv4- или IPv6-адрес основного сервера доменных имен. Повторите эту опцию, чтобы установить адреса вторичных DNS-серверов.

Примечание. DNS-серверы IPv6 в настоящее время настраиваются с помощью netsh (существующий код DHCP может выполнять только IPv4 DHCP, и этот протокол разрешает только адреса IPv4 в любом месте). Параметр будет помещен в среду, поэтому сценарий —up может сработать с ним при необходимости.

Адрес WINS — Установите адрес основного сервера WINS (NetBIOS через сервер имен TCP / IP).Повторите эту опцию, чтобы установить адреса вторичных WINS-серверов.

Адрес NBDD — Установка адреса первичного сервера NBDD (NetBIOS через сервер распространения дейтаграмм TCP / IP) Повторите эту опцию, чтобы установить адреса вторичных серверов NBDD.

Адрес NTP — Установите адрес основного сервера NTP (протокол сетевого времени). Повторите эту опцию, чтобы установить адреса вторичных NTP-серверов.

Тип NBT — Установить NetBIOS поверх типа узла TCP / IP. Возможные варианты: 1 = b-узел (широковещательная рассылка), 2 = p-узел (двухточечные запросы имени к серверу WINS), 4 = m-узел (широковещательный и затем запрос сервера имен), и 8 = h-узел (запрос сервера имен, затем широковещательная передача).

NBS scope-id — Установить NetBIOS через область TCP / IP. ID области NetBIOS предоставляет расширенную службу именования для модуля NetBIOS через TCP / IP (известного как NBT). Основная цель идентификатора области действия NetBIOS — изолировать трафик NetBIOS в одной сети только для тех узлов с тем же идентификатором области действия NetBIOS. ID области NetBIOS — это символьная строка, добавляемая к имени NetBIOS. Идентификаторы области NetBIOS на двух хостах должны совпадать, в противном случае два хоста не смогут обмениваться данными.ID области NetBIOS также позволяет компьютерам использовать одно и то же имя компьютера, поскольку у них разные идентификаторы области. Идентификатор области становится частью имени NetBIOS, что делает имя уникальным. (Это описание областей NetBIOS любезно предоставлено [email protected])

DISABLE-NBT — Отключить Netbios-over-TCP / IP.

Обратите внимание, что если —dhcp-option передается через —push клиенту, отличному от Windows, параметр будет сохранен в среде клиента до вызова сценария up под именем «foreign_option_ {n}» «.

— тап-сон n
Заставить OpenVPN перейти в спящий режим на n секунд сразу после установки состояния адаптера TAP-Win32 на «подключен». Этот параметр предназначен для использования для устранения проблем с —ifconfig и —ip-win32 параметры, и используется для того, чтобы дать адаптеру TAP-Win32 время подойти до того, как к нему будут применены операции Windows IP Helper API.
—show-net-up
Вывести представление OpenVPN на системную таблицу маршрутизации и список сетевых адаптеров в системный журнал или файл журнала после того, как адаптер TUN / TAP был запущен и все маршруты были добавлены.
— блок-снаружи-DNS
Заблокируйте DNS-серверы на других сетевых адаптерах, чтобы предотвратить утечку DNS. Эта опция предотвращает доступ любого приложения к TCP или UDP-порту 53, кроме порта внутри туннеля. Он использует платформу фильтрации Windows (WFP) и работает в Windows Vista или более поздних версиях. Этот параметр считается неизвестным на платформах, отличных от Windows, и не поддерживается в Windows XP, что приводит к фатальной ошибке. Вы можете использовать —setenv opt или —ignore-unknown-option (не подходит для Windows XP), чтобы игнорировать указанную ошибку.Обратите внимание, что отправка неизвестных параметров с сервера не вызывает фатальных ошибок.
—dhcp-обновление
Попросите Windows продлить аренду адаптера TAP при запуске. Этот параметр обычно не нужен, поскольку Windows автоматически запускает повторное согласование DHCP на адаптере TAP, когда он появляется, однако, если вы установите для свойства Media Status адаптера TAP-Win32 значение «Всегда подключен», вам может понадобиться этот флаг.
—dhcp-release
Попросите Windows освободить аренду адаптера TAP при завершении работы.Этот параметр сейчас не действует, поскольку он включен по умолчанию, начиная с OpenVPN 2.4.1.
—регистр-DNS
Запустите ipconfig / flushdns и ipconfig / registerdns при инициализации соединения. Известно, что это заставляет Windows распознавать заданные DNS-серверы.
— пауза-выход
Выведите на консоль сообщение «нажмите любую клавишу для продолжения» перед выходом из программы OpenVPN. Этот параметр автоматически используется проводником Windows, когда OpenVPN запускается в файле конфигурации с помощью меню проводника, вызываемого правой кнопкой мыши.
— событие выхода службы [0 | 1]
Следует использовать, когда OpenVPN автоматически запускается другой программой в таком контексте, что невозможно взаимодействие с пользователем через дисплей или клавиатуру. В общем, конечным пользователям никогда не нужно явно использовать эту опцию, поскольку она автоматически добавляется оболочкой службы OpenVPN, когда заданная конфигурация OpenVPN запускается как служба. exit-event — это имя глобального объекта события Windows, и OpenVPN будет постоянно отслеживать состояние этого объекта события и завершать работу, когда он получает сигнал.

Второй параметр указывает начальное состояние exit-event и обычно по умолчанию равен 0.

Несколько процессов OpenVPN могут выполняться одновременно с одним и тем же параметром exit-event . В любом случае управляющий процесс может сигнализировать о событии выхода, заставляя все такие процессы OpenVPN завершиться.

При выполнении процесса OpenVPN с использованием директивы —service у OpenVPN, вероятно, не будет окна консоли для вывода сообщений о состоянии / ошибках, поэтому полезно использовать —log или —log-append для записать эти сообщения в файл.

— адаптеры для шоу
(автономный) Показать доступные адаптеры TAP-Win32, которые можно выбрать с помощью параметра —dev-node . В системах, отличных от Windows, команда ifconfig предоставляет аналогичные функции.
—allow-nonadmin [TAP-адаптер]
(автономный) Установите TAP-адаптер , чтобы разрешить доступ из неадминистративных учетных записей. Если TAP-адаптер опущен, все адаптеры TAP в системе будут настроены так, чтобы разрешать доступ без прав администратора.Параметр доступа без прав администратора будет сохраняться только в течение времени, в течение которого объект устройства TAP-Win32 и драйвер остаются загруженными, и его необходимо будет повторно включить после перезагрузки или если драйвер выгружается и перезагружается. Эту директиву может использовать только администратор.
—show-valid-subnets
(автономный) Показать допустимые подсети для эмуляции —dev tun . Поскольку драйвер TAP-Win32 экспортирует интерфейс Ethernet в Windows, и поскольку устройства TUN по своей природе являются двухточечными, для драйвера TAP-Win32 необходимо наложить определенные ограничения на выбор адреса конечной точки TUN.А именно, конечные точки точка-точка, используемые в эмуляции устройства TUN, должны быть двумя средними адресами подсети / 30 (сетевая маска 255.255.255.252).
—show-net
(автономный) Показывает представление OpenVPN таблицы маршрутизации системы и списка сетевых адаптеров.

PKCS # 11 Автономные опции:

—show-pkcs11-ids [поставщик] [cert_private]
(автономный) Показать список объектов токенов PKCS # 11. Укажите cert_private как 1, если сертификаты хранятся как частные объекты.Если в системе присутствует p11-kit, аргумент provider является необязательным; если он опущен, будет запрошен модуль p11-kit-proxy.so по умолчанию.
Опция —verb может использоваться ДО этой опции для получения отладочной информации.

Параметры автономной отладки:

—show-gateway [v6target]
(автономный) Показать текущий шлюз IPv4 и IPv6 по умолчанию и интерфейс к шлюзу (если данный протокол включен).Если в качестве аргумента передается адрес IPv6, сообщается маршрут IPv6 для этого хоста.

Параметры, связанные с IPv6

Существуют следующие варианты поддержки туннелирования IPv6 в одноранговом режиме и режиме клиент-сервер. Все параметры смоделированы по аналогии с IPv4, поэтому здесь также применимы более подробные пояснения (за исключением —topology , который не влияет на IPv6).

—ifconfig-ipv6 ipv6addr / биты ipv6remote
настроить IPv6-адрес ipv6addr / бит на устройстве tun.Второй параметр используется в качестве цели маршрута для —route-ipv6 , если шлюз не указан.
—route-ipv6 ipv6addr / bits [шлюз] [метрика]
настроить маршрутизацию IPv6 в системе для отправки указанной сети IPv6 в туннель OpenVPN. Параметр шлюза используется только для маршрутов IPv6 через устройства с ответвлением, и если он отсутствует, используется поле ipv6remote из —ifconfig-ipv6 .
—сервер-ipv6 ipv6addr / бит
удобная функция для одновременного включения нескольких параметров, связанных с IPv6, а именно —ifconfig-ipv6, —ifconfig-ipv6-pool и —push tun-ipv6 Допускается, только если « —mode server » или « —server ».Размещение директивы —tun-ipv6 выполняется для старых клиентов, которым требуется явное указание параметра —tun-ipv6 в своей конфигурации.
—ifconfig-ipv6-pool ipv6addr / bits
Укажите пул адресов IPv6 для динамического назначения клиентам. Пул начинается с адреса ipv6addr и соответствует смещению, определенному от начала пула IPv4.
—ifconfig-ipv6-push ipv6addr / биты ipv6remote
для конфигурации статического интерфейса IPv6 ccd / для каждого клиента, подробности см. В —client-config-dir и —ifconfig-push .
—iroute-ipv6 ipv6addr / бит
для конфигурации статического маршрута IPv6 ccd / для каждого клиента, см. —iroute для получения дополнительных сведений о том, как настроить и использовать это, и как взаимодействуют —iroute и —route .

OpenVPN экспортирует ряд переменных среды для использования в пользовательских сценариях.

Порядок выполнения сценария

— вверх
Выполняется после привязки сокета TCP / UDP и открытия TUN / TAP.
—tls-verify
Выполняется, когда у нас есть еще ненадежный удаленный узел.
—ipchange
Выполняется после аутентификации соединения или изменения удаленного IP-адреса.
— подключение к клиенту
Выполняется в режиме —mode server сразу после аутентификации клиента.
— маршрут до
Выполняется после аутентификации соединения либо сразу после, либо через некоторое количество секунд после, как определено параметром —route-delay .
— маршрут до конца вниз
Выполняется прямо перед удалением маршрутов.
— клиент-разъединитель
Выполняется в режиме —mode server при завершении работы экземпляра клиента.
— вниз
Выполняется после закрытия TCP / UDP и TUN / TAP.
— адрес обучения
Выполняется в режиме —mode server всякий раз, когда IPv4-адрес / маршрут или MAC-адрес добавляются во внутреннюю таблицу маршрутизации OpenVPN.
—auth-user-pass-verify
Выполняется в режиме —mode server при новых клиентских подключениях, когда клиент еще не является доверенным.

Типы строк и преобразование

В некоторых случаях OpenVPN выполнит переназначение символов в строках. По сути, любые символы за пределами набора разрешенных символов для каждого типа строки будут преобразованы в подчеркивание (‘_’).

Q: Почему необходимо переназначение строк?

A: Это важная функция безопасности для предотвращения злонамеренного кодирования строк из ненадежных источников, которые будут передаваться в качестве параметров сценариям, сохраняться в среде, использоваться как общее имя, преобразовываться в имя файла и т. Д.

Q: Можно ли отключить переопределение строк?

A: Да, с помощью параметра —no-name-remapping , однако это следует рассматривать как расширенный вариант.

Вот краткое изложение текущих типов строк OpenVPN и разрешенного класса символов для каждой строки:

X509 Имена: Буквенно-цифровые символы, подчеркивание (‘_’), тире (‘-‘), точка (‘.’), В (‘@’), двоеточие (‘:’), косая черта (‘/’), и равно (‘=’). Буквенно-цифровой символ определяется как символ, который заставляет функцию isalnum () библиотеки C возвращать истину.

Общие имена: Буквенно-цифровые символы, подчеркивание (‘_’), тире (‘-‘), точка (‘.’) И (‘@’).

—auth-user-pass username: То же, что и Common Name, с одним исключением: начиная с OpenVPN 2.0.1, имя пользователя передается в плагин OPENVPN_PLUGIN_AUTH_USER_PASS_VERIFY в исходной форме, без переназначения строк.

—auth-user-pass password: Любой «печатный» символ, кроме CR или LF. Printable определяется как символ, который заставляет функцию isprint () библиотеки C возвращать истину.

—client-config-dir имя файла как производное от обычного имени или имени пользователя: Буквенно-цифровое, подчеркивание (‘_’), тире (‘-‘) и точка (‘.’), Кроме «.» или «..» как отдельные строки. Начиная с версии v2.0.1-rc6, также был добавлен символ at (‘@’) для совместимости с классом символов общего имени.

Имена переменных среды: Буквенно-цифровые символы или знак подчеркивания (‘_’).

Значения переменных окружающей среды: Любой печатный символ.

Во всех случаях символы в строке, которые не являются членами допустимого класса символов для этого типа строки, будут переназначены на подчеркивание (‘_’).

Переменные окружающей среды

После установки переменная сохраняется бесконечно до тех пор, пока она не будет сброшена новым значением или перезапуском,

Начиная с OpenVPN 2.0-beta12, в серверном режиме переменные среды, установленные OpenVPN, ограничены в соответствии с клиентскими объектами, с которыми они связаны, поэтому не должно быть никаких проблем со скриптами, имеющими доступ к устаревшим, ранее установленным переменным, которые относятся к разным клиентские экземпляры.

получено_байт
Общее количество байтов, полученных от клиента во время сеанса VPN.Устанавливается перед выполнением сценария —client-disconnect .
bytes_sent
Общее количество байтов, отправленных клиенту во время сеанса VPN. Устанавливается перед выполнением сценария —client-disconnect .
общее_имя
Общее имя X509 аутентифицированного клиента. Устанавливается перед выполнением сценариев —client-connect, —client-disconnect, и —auth-user-pass-verify .
конфигурация
Имя первого файла —config .Устанавливается при запуске программы и сбрасывается при SIGHUP.
демон
Устанавливается в «1», если указана директива —daemon , или в «0» в противном случае. Устанавливается при запуске программы и сбрасывается при SIGHUP.
daemon_log_redirect
Устанавливается в «1», если указаны директивы —log или —log-append , или «0» в противном случае. Устанавливается при запуске программы и сбрасывается при SIGHUP.
дев
Фактическое имя устройства TUN / TAP, включая номер устройства, если он существует.Устанавливается перед выполнением сценария —up или —down .
dev_idx
В Windows — индекс устройства адаптера TUN / TAP (для использования в вызовах netsh.exe, которые иногда просто не работают с именами интерфейсов). Устанавливается перед выполнением сценария —up или —down .
foreign_option_ {n}
Параметр, переданный через —push клиенту, который изначально не поддерживает его, например, —dhcp-option в системе, отличной от Windows, будет записан в эту последовательность переменных среды до —up выполнение скрипта.
ifconfig_broadcast
Широковещательный адрес для сегмента виртуального Ethernet, полученный из параметра —ifconfig при использовании —dev tap . Устанавливается перед вызовом OpenVPN команд ifconfig или netsh (версия ifconfig для Windows), что обычно происходит до выполнения сценария —up .
ifconfig_ipv6_local
Локальный IPv6-адрес конечной точки VPN, указанный в опции —ifconfig-ipv6 (первый параметр).Устанавливается перед вызовом OpenVPN команд ifconfig или netsh (версия ifconfig для Windows), что обычно происходит до выполнения сценария —up .
ifconfig_ipv6_netbits
Длина префикса сети IPv6 на интерфейсе VPN. Получено из параметра / nnn адреса IPv6 в опции —ifconfig-ipv6 (первый параметр). Устанавливается перед вызовом OpenVPN команд ifconfig или netsh (версия ifconfig для Windows), что обычно происходит до выполнения сценария —up .
ifconfig_ipv6_remote
IPv6-адрес удаленной конечной точки VPN, указанный в опции —ifconfig-ipv6 (второй параметр). Устанавливается перед вызовом OpenVPN команд ifconfig или netsh (версия ifconfig для Windows), что обычно происходит до выполнения сценария —up .
ifconfig_local
IP-адрес локальной конечной точки VPN, указанный в опции —ifconfig (первый параметр).Устанавливается перед вызовом OpenVPN команд ifconfig или netsh (версия ifconfig для Windows), что обычно происходит до выполнения сценария —up .
ifconfig_remote
IP-адрес удаленной конечной точки VPN, указанный в опции —ifconfig (второй параметр) при использовании —dev tun . Устанавливается перед вызовом OpenVPN команд ifconfig или netsh (версия ifconfig для Windows), что обычно происходит до выполнения сценария —up .
ifconfig_netmask
Маска подсети сегмента виртуального Ethernet, которая указывается вторым параметром в —ifconfig , когда используется —dev tap . Устанавливается перед вызовом OpenVPN команд ifconfig или netsh (версия ifconfig для Windows), что обычно происходит до выполнения сценария —up .
ifconfig_pool_local_ip
Локальный виртуальный IP-адрес для туннеля TUN / TAP, взятый из директивы —ifconfig-push , если она указана, или в противном случае из пула ifconfig (управляется директивой файла конфигурации —ifconfig-pool ).Устанавливается только для туннелей —dev tun . Этот параметр устанавливается на сервере до выполнения сценариев —client-connect и —client-disconnect .
ifconfig_pool_netmask
Виртуальная сетевая маска IP для туннеля TUN / TAP, взятая из директивы —ifconfig-push , если она указана, или в противном случае из пула ifconfig (управляется директивой файла конфигурации —ifconfig-pool ). Только для — dev tap туннели .Этот параметр устанавливается на сервере до выполнения сценариев —client-connect и —client-disconnect .
ifconfig_pool_remote_ip
Удаленный виртуальный IP-адрес для туннеля TUN / TAP, взятый из директивы —ifconfig-push , если она указана, или в противном случае из пула ifconfig (управляется директивой файла конфигурации —ifconfig-pool ). Этот параметр устанавливается на сервере до выполнения сценариев —client-connect и —client-disconnect .
ссылка_mtu
Максимальный размер пакета (не включая заголовок IP) данных туннеля в транспортном режиме туннеля UDP. Устанавливается перед выполнением сценария —up или —down .
местный
Параметр —local . Устанавливается при запуске программы и сбрасывается при SIGHUP.
локальный_порт
Номер или имя локального порта, заданное параметром —port или —lport. Устанавливается при запуске программы и сбрасывается при SIGHUP.
пароль
Пароль, предоставленный подключающимся клиентом. Устанавливается перед выполнением сценария —auth-user-pass-verify , только если указан модификатор via-env , и удаляется из среды после возврата сценария.
прото
Параметр —proto . Устанавливается при запуске программы и сбрасывается при SIGHUP.
удаленный_ {n}
Параметр —remote .Устанавливается при запуске программы и сбрасывается при SIGHUP.
удаленный_порт_ {n}
Номер удаленного порта, заданный параметром —port или —rport. Устанавливается при запуске программы и сбрасывается при SIGHUP.
route_net_gateway
Ранее существовавший IP-шлюз по умолчанию в системной таблице маршрутизации. Устанавливается перед выполнением сценария —up .
route_vpn_gateway
Шлюз по умолчанию, используемый параметрами —route , как указано либо в параметре —route-gateway , либо вторым параметром в —ifconfig , если указано —dev tun .Устанавливается перед выполнением сценария —up .
route_ {parm} _ {n}
Набор переменных, которые определяют каждый добавляемый маршрут и устанавливаются перед выполнением сценария —up . parm может быть одним из «сеть», «сетевая маска», «шлюз» или «метрика».

n — номер маршрута OpenVPN, начиная с 1.

Если сеть или шлюз являются разрешаемыми именами DNS, будут записаны их трансляции IP-адресов, а не их имена, как указано в командной строке или файле конфигурации.

route_ipv6_ {parm} _ {n}
Набор переменных, которые определяют каждый добавляемый маршрут IPv6 и устанавливаются перед выполнением сценария —up . parm будет одним из «сеть» или «шлюз» («маска сети» содержится как «/ nnn» в route_ipv6_network_ {n}, в отличие от IPv4, где она передается в отдельной переменной среды).

n — номер маршрута OpenVPN, начиная с 1.

Если сеть или шлюз являются разрешаемыми именами DNS, будут записаны их трансляции IP-адресов, а не их имена, как указано в командной строке или файле конфигурации.

peer_cert
Имя временного файла, содержащего сертификат клиента при подключении. Полезно вместе с —tls-verify
script_context
Установите в положение «инициализация» или «перезапуск» перед выполнением сценария вверх / вниз. Для получения дополнительной информации см. Документацию для —up.
тип_скрипта
Перед выполнением любого сценария в этой переменной устанавливается тип выполняемого сценария. Это может быть одно из следующих значений: up, down, ipchange, route-up, tls-verify, auth-user-pass-verify, , client-connect, client-disconnect, или learn-address. Устанавливается перед выполнением любого скрипта.
сигнал
Причина выхода или перезапуска. Может быть одним из sigusr1, sighup, sigterm, sigint, inactive (контролируется опцией —inactive ), ping-exit (контролируется опцией —ping-exit ), ping-restart ( управляется опцией —ping-restart ), connection-reset (запускается при сбросе TCP-соединения), ошибка , или unknown (неизвестный сигнал).Эта переменная устанавливается непосредственно перед выполнением сценария отключения.
time_ascii
Временная метка подключения клиента, отформатированная в виде удобочитаемой строки времени. Устанавливается перед выполнением сценария —client-connect .
time_duration
Продолжительность (в секундах) клиентского сеанса, который сейчас отключается. Устанавливается перед выполнением сценария —client-disconnect .
время_unix
Временная метка подключения клиента, отформатированная как целочисленное значение даты / времени unix.Устанавливается перед выполнением сценария —client-connect .
tls_digest_ {n} / tls_digest_sha256_ {n}
Содержит отпечаток сертификата SHA1 / SHA256, где n — уровень проверки. Устанавливается только для TLS-подключений. Устанавливается перед выполнением сценария —tls-verify .
tls_id_ {n}
Серия полей сертификата от удаленного узла, где n — уровень проверки. Устанавливается только для TLS-подключений.Устанавливается перед выполнением сценария —tls-verify .
tls_serial_ {n}
Серийный номер сертификата от удаленного узла, где n — уровень проверки. Устанавливается только для TLS-подключений. Устанавливается перед выполнением сценария —tls-verify . Это десятичная строка типа «933971680», которая подходит для выполнения последовательных запросов OCSP (с OpenSSL не добавляйте «0x» к строке). Если что-то пойдет не так при чтении значения из сертификата, оно будет пустой строкой, поэтому ваш код должен это проверить.См. Пример в сценарии contrib / OCSP_check / OCSP_check.sh.
tls_serial_hex_ {n}
Аналогично tls_serial_ {n} , но в шестнадцатеричной форме (например, «12: 34: 56: 78: 9A»).
тун_мту
MTU устройства TUN / TAP. Устанавливается перед выполнением сценария —up или —down .
доверенный_ip (или доверенный_ip6)
Фактический IP-адрес подключающегося клиента или однорангового узла, который был аутентифицирован.Устанавливается перед выполнением сценариев —ipchange, —client-connect, и —client-disconnect . Если используются конечные точки ipv6 (udp6, tcp6), вместо этого будет установлено значение trust_ip6 .
доверенный_порт
Фактический номер порта подключающегося клиента или однорангового узла, который был аутентифицирован. Устанавливается перед выполнением сценариев —ipchange, —client-connect, и —client-disconnect .
untrusted_ip (или untrusted_ip6)
Фактический IP-адрес подключающегося клиента или однорангового узла, который еще не прошел аутентификацию.Иногда используется для nmap подключающегося хоста в сценарии —tls-verify , чтобы убедиться, что он правильно защищен брандмауэром. Устанавливается перед выполнением сценариев —tls-verify и —auth-user-pass-verify . Если используются конечные точки ipv6 (udp6, tcp6), вместо этого будет установлено значение untrusted_ip6 .
untrusted_port
Фактический номер порта подключающегося клиента или однорангового узла, который еще не прошел аутентификацию. Устанавливается перед выполнением сценариев —tls-verify и —auth-user-pass-verify .
имя пользователя
Имя пользователя, предоставленное подключающимся клиентом. Устанавливается перед выполнением сценария —auth-user-pass-verify , только если указан модификатор via-env .
X509_ {n} _ {subject_field}
Поле темы X509 из сертификата удаленного узла, где n — уровень проверки. Устанавливается только для TLS-подключений. Устанавливается перед выполнением сценария —tls-verify . Эта переменная похожа на tls_id_ {n} , за исключением того, что предметные поля компонента X509 разделены, и для значений этих полей не происходит переназначения строк (за исключением переназначения управляющих символов на «_»).Например, следующие переменные могут быть установлены на сервере OpenVPN с использованием образца сертификата клиента в образце ключей (client.crt). Обратите внимание, что уровень проверки — 0 для сертификата клиента и 1 для сертификата CA.
  [email protected]
X509_0_CN = Тестовый клиент
X509_0_O = OpenVPN-ТЕСТ
X509_0_ST = NA
X509_0_C = КГ
[email protected]
X509_1_O = OpenVPN-ТЕСТ
X509_1_L = БИШКЕК
X509_1_ST = NA
X509_1_C = кг
  

OpenVPN позволяет включать файлы в основную конфигурацию для —ca, —cert, —dh, —extra-certs, —key, —pkcs12, —secret, —crl-verify, Параметры —http-proxy-user-pass, —tls-auth и —tls-crypt .

Каждый встроенный файл начинается строкой и заканчивается строкой

Вот пример использования встроенного файла

  
----- НАЧАТЬ СЕРТИФИКАТ -----
[...]
----- КОНЕЦ СЕРТИФИКАТА -----

  

При использовании функции встроенного файла с —pkcs12 встроенный файл должен иметь кодировку base64. Кодирование файла .p12 в base64 может быть выполнено, например, с OpenSSL, запустив openssl base64 -in input.п12

SIGHUP
Заставить OpenVPN закрыть все TUN / TAP и сетевые соединения, перезапустить, перечитать файл конфигурации (если есть) и снова открыть TUN / TAP и сетевые соединения.
SIGUSR1
Подобно SIGHUP, , за исключением того, что не перечитывать файл конфигурации и, возможно, не закрывать и повторно открывать устройство TUN / TAP, перечитывать файлы ключей, сохранять локальный IP-адрес / порт или сохранять последний аутентифицированный удаленный IP-адрес / port на основе параметров —persist-tun, —persist-key, —persist-local-ip, и —persist-remote-ip соответственно (см. выше).Этот сигнал также может быть внутренне сгенерирован условием тайм-аута, определяемым опцией —ping-restart .

Этот сигнал в сочетании с —persist-remote-ip, может быть отправлен, когда основные параметры сетевого интерфейса хоста изменяются, например, когда хост является клиентом DHCP и ему назначается новый IP-адрес. См. —ipchange выше для получения дополнительной информации.

SIGUSR2
Заставляет OpenVPN отображать текущую статистику (в файл системного журнала, если используется —daemon , или stdout в противном случае).
SIGINT, SIGTERM
Заставляет OpenVPN корректно завершать работу.

Если вы используете Linux 2.4.7 или выше, вероятно, у вас уже установлен драйвер TUN / TAP. Если да, то вам еще нужно сделать несколько вещей:

Сделать устройство: mknod / dev / net / tun c 10 200

Драйвер нагрузки: modprobe tun

Перед запуском этих примеров у вас должен быть установлен OpenVPN на двух машинах с сетевым подключением между ними.Если вы еще не установили OpenVPN, обратитесь к файлу INSTALL, включенному в дистрибутив OpenVPN.

Настройка TUN / TAP:

Если вы используете Linux 2.4 или выше, создайте узел устройства tun и загрузите модуль tun:

mknod / dev / net / tun c 10 200
modprobe tun

Если вы устанавливали из RPM, шаг mknod можно пропустить, потому что установка RPM сделает это за вас.

Поддерживаются только Linux 2.4 и новее.

Для других платформ обратитесь к файлу INSTALL по адресу https://openvpn.net/community-resources/the-standard-install-file-included-in-the-source-distribution/ для получения дополнительной информации.

Настройка межсетевого экрана:

Если между двумя машинами существуют брандмауэры, они должны быть настроены на пересылку порта UDP 1194 в обоих направлениях. Если у вас нет контроля над брандмауэрами между двумя компьютерами, вы все равно можете использовать OpenVPN, добавив —ping 15 к каждой из команд openvpn , используемых ниже в примерах (это приведет к тому, что каждый одноранговый узел будет отправлять UDP ping своему удаленному узлу каждые 15 секунд, что заставит многие межсетевые экраны с отслеживанием состояния пересылать пакеты в обоих направлениях без явного правила межсетевого экрана).

Если вы используете брандмауэр на базе Linux iptables, вам может потребоваться ввести следующую команду, чтобы разрешить входящие пакеты на устройстве TUN:

iptables -A ВВОД -i tun + -j ПРИНЯТЬ

См. Раздел «Межсетевые экраны» ниже для получения дополнительной информации о настройке межсетевых экранов для использования с OpenVPN.

Настройка адреса VPN:

В нашем примере две наши машины будут называться bob.example.com и alice.example.com. Если вы создаете VPN через Интернет, замените bob.example.com и alice.example.com на имя хоста в Интернете или IP-адрес, который каждая машина будет использовать для связи друг с другом через Интернет.

Теперь выберем конечные точки туннеля. Конечные точки туннеля — это частные IP-адреса, которые имеют значение только в контексте VPN. Каждая машина будет использовать конечную точку туннеля другой машины для доступа к ней через VPN. В нашем примере конечная точка туннеля для bob.example.com будет 10.4.0.1, а для alice.example.com — 10.4.0.2.

После того, как VPN установлена, вы, по сути, создали безопасный альтернативный путь между двумя хостами, который адресуется с помощью конечных точек туннеля. Вы можете контролировать, какой сетевой трафик проходит между узлами (а) через VPN или (б) независимо от VPN, выбирая, использовать ли (а) адрес конечной точки VPN или (б) общедоступный интернет-адрес для доступа к удаленному хозяин. Например, если вы находитесь на bob.example.com и вы хотите подключиться к alice.example.com через ssh без использования VPN (поскольку ssh имеет собственную встроенную защиту), вы должны использовать команду ssh alice.example.com. Однако в том же сценарии вы также можете использовать команду telnet 10.4.0.2 для создания сеанса telnet с alice.example.com через VPN, который будет использовать VPN для защиты сеанса, а не ssh.

Вы можете использовать любой адрес для конечных точек туннеля, но убедитесь, что это частные адреса (например, те, которые начинаются с 10 или 192.168) и что они не являются частью какой-либо существующей подсети в сетях любого однорангового узла, если вы не используете мост. Если вы используете адрес, который является частью вашей локальной подсети для любой из конечных точек туннеля, вы получите странный цикл обратной связи.

Пример 1: Простой туннель без защиты

На боб:

openvpn —remote alice.example.com —dev tun1 —ifconfig 10.4.0.1 10.4.0.2 —verb 9

На Алисе:

openvpn — удаленный боб.example.com —dev tun1 —ifconfig 10.4.0.2 10.4.0.1 —verb 9

Теперь проверьте, работает ли туннель, отправив эхо-запрос через туннель.

На боб:

пинг 10.4.0.2

На Алисе:

пинг 10.4.0.1

Параметр —verb 9 дает подробный вывод, аналогичный программе tcpdump . Опустите параметр —verb 9 , чтобы OpenVPN работал тихо.

Пример 2: Туннель со статическим ключом безопасности (т. Е. С использованием предварительно общего секрета)

Сначала создайте статический ключ на бобе.

openvpn —genkey —secret ключ

Эта команда создаст файл случайных ключей с именем key (в формате ascii). Теперь скопируйте ключ на алису через безопасный носитель, например, с помощью программы scp .

На боб:

openvpn — удаленная алиса.example.com —dev tun1 —ifconfig 10.4.0.1 10.4.0.2 —verb 5 —secret key

На Алисе:

openvpn —remote bob.example.com —dev tun1 —ifconfig 10.4.0.2 10.4.0.1 —verb 5 —secret key

Теперь проверьте, работает ли туннель, отправив эхо-запрос через туннель.

На боб:

пинг 10.4.0.2

На Алисе:

пинг 10.4.0.1

Пример 3: Туннель с полной безопасностью на основе TLS

Для этого теста мы обозначим bob как TLS-клиент и alice как TLS-сервер. Обратите внимание, что обозначение клиента или сервера имеет значение только для подсистемы TLS. Это не имеет отношения к одноранговой модели связи OpenVPN на основе UDP.

Сначала создайте отдельную пару сертификат / ключ для bob и alice (см. Выше, где обсуждается —cert для получения дополнительной информации). Затем создайте параметры Диффи-Хеллмана (см. Выше, где обсуждается —dh для получения дополнительной информации). Вы также можете использовать включенные тестовые файлы client.crt, client.key, server.crt, server.ключ и ca.crt. Файлы .crt — это сертификаты / открытые ключи, файлы .key — это закрытые ключи, а ca.crt — это центр сертификации, который подписал и client.crt, и server.crt. Для параметров Diffie Hellman вы можете использовать включенный файл dh2024.pem. Обратите внимание, что все сертификаты и ключи клиента, сервера и центра сертификации, включенные в дистрибутив OpenVPN, полностью небезопасны и должны использоваться только для тестирования.

На боб:

openvpn — удаленная алиса.example.com —dev tun1 —ifconfig 10.4.0.1 10.4.0.2 —tls-client —ca ca.crt —cert client.crt —key client.key —reneg-sec 60 —verb 5

На Алисе:

openvpn —remote bob.example.com —dev tun1 —ifconfig 10.4.0.2 10.4.0.1 —tls-server —dh dh2024.pem —ca ca.crt —cert server.crt —key server.key —reneg-sec 60 —verb 5

Теперь проверьте, работает ли туннель, отправив эхо-запрос через туннель.

На боб:

пинг 10.4.0.2

На Алисе:

пинг 10.4.0.1

Обратите внимание на параметр —reneg-sec 60 , который мы использовали выше. Это сообщает OpenVPN о необходимости повторного согласования ключей канала данных каждую минуту. Поскольку мы использовали выше —verb 5 , вы будете видеть информацию о статусе при каждом новом согласовании ключа.

Для производственных операций интервал повторного согласования ключей в 60 секунд, вероятно, слишком частый. Опустите параметр —reneg-sec 60 , чтобы использовать интервал повторного согласования ключей OpenVPN по умолчанию, равный одному часу.

Маршрутизация:

Предполагая, что вы можете пропинговать через туннель, следующим шагом будет маршрутизация реальной подсети через защищенный туннель. Предположим, что у bob и alice есть по два сетевых интерфейса каждый, один из которых подключен к Интернету, а другой — к частной сети. Наша цель — безопасно соединить обе частные сети. Предположим, что частная подсеть Боба — 10.0.0.0/24, а подсеть Алисы — 10.0.1.0/24.

Во-первых, убедитесь, что переадресация IP включена на обоих узлах. В Linux включите маршрутизацию:

эхо 1> / proc / sys / net / ipv4 / ip_forward

и включите пересылку пакетов TUN через межсетевой экран:

iptables -A ВПЕРЕД -i tun + -j ПРИНЯТЬ

В кабине:

добавление маршрута -net 10.0.1.0 сетевая маска 255.255.255.0 gw 10.4.0.2

На Алисе:

route add -net 10.0.0.0 netmask 255.255.255.0 gw 10.4.0.1

Теперь любая машина в подсети 10.0.0.0/24 может получить доступ к любой машине в подсети 10.0.1.0/24 через безопасный туннель (или наоборот).

В производственной среде вы можете поместить команду (ы) маршрута в сценарий и выполнить с параметром —up .

Использование в

OpenVPN одного порта UDP делает его довольно дружественным к брандмауэрам.Вы должны добавить запись в правила вашего брандмауэра, чтобы разрешить входящие пакеты OpenVPN. В Linux 2.4+:

iptables -A INPUT -p udp -s 1.2.3.4 —dport 1194 -j ПРИНЯТЬ

Это разрешит входящие пакеты на порт UDP 1194 (порт UDP по умолчанию OpenVPN) от однорангового узла OpenVPN в 1.2.3.4.

Если вы используете аутентификацию пакетов на основе HMAC (по умолчанию в любом из безопасных режимов OpenVPN), наличие фильтра брандмауэра на адресе источника можно считать необязательным, поскольку аутентификация пакета HMAC является гораздо более безопасным методом проверки подлинности пакета. источник.В таком случае:

iptables -A ВВОД -p udp —dport 1194 -j ПРИНЯТЬ

будет адекватным и не сделает хост негибким по отношению к его одноранговому узлу, имеющему динамический IP-адрес.

OpenVPN также хорошо работает с межсетевыми экранами с отслеживанием состояния. В некоторых случаях вам может не потребоваться добавлять какие-либо статические правила в список брандмауэра, если вы используете брандмауэр с отслеживанием состояния, который знает, как отслеживать UDP-соединения. Если вы укажете —ping n, OpenVPN будет гарантированно отправлять пакет своему партнеру не реже одного раза в n секунд.Если n меньше тайм-аута соединения брандмауэра с отслеживанием состояния, вы можете поддерживать соединение OpenVPN неограниченное время без явных правил брандмауэра.

Вам также следует добавить правила брандмауэра, чтобы разрешить входящий IP-трафик на устройствах TUN или TAP, например:

iptables -A ВВОД -i tun + -j ПРИНЯТЬ

для разрешения входных пакетов от устройств tun,

iptables -A ВПЕРЕД -i tun + -j ПРИНЯТЬ

, чтобы разрешить пересылку входных пакетов от устройств tun на другие хосты в локальной сети,

iptables -A INPUT -i tap + -j ACCEPT

, чтобы разрешить ввод пакетов от устройств с ответвлением, и

iptables -A ВПЕРЕД -i tap + -j ПРИНЯТЬ

, чтобы разрешить пересылку входных пакетов от устройств с ответвлениями на другие хосты в локальной сети.

Эти правила безопасны, если вы используете аутентификацию пакетов, поскольку никакие входящие пакеты не будут приходить на виртуальное устройство TUN или TAP, если они сначала не пройдут тест аутентификации HMAC.

https://community.openvpn.net/openvpn/wiki/FAQ

Более подробное руководство по настройке OpenVPN в производственных условиях см. В OpenVPN HOWTO по адресу https://openvpn.net/community-resources/how-to/

Описание базового протокола OpenVPN см. На странице https: // openvpn.сеть / ресурсы сообщества / протокол openvpn /

Веб-сайт

OpenVPN находится по адресу https://openvpn.net/

Перейдите сюда, чтобы загрузить последнюю версию OpenVPN, подписаться на списки рассылки, прочитать архивы списков рассылки или просмотреть репозиторий SVN.

Сообщайте обо всех ошибках команде OpenVPN .

Этот продукт включает программное обеспечение, разработанное OpenSSL Project ( http://www.

Author:

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *