Изменения документа Настройка https для PERCo-Web

Редактировал(а) PROSTO:СКУД 2026/10/30 12:30

От 5.1 до 6.1

От версии 1.1

отредактировано PROSTO:СКУД
на 2026/09/30 09:35

Изменить комментарий: К данной версии нет комментариев

К версии 5.1

отредактировано PROSTO:СКУД
на 2026/10/30 12:29

Изменить комментарий: К данной версии нет комментариев

Необработанный
Обработанный

Сводка

Свойства страницы (2 изменено, 0 добавлено, 0 удалено)

Подробности

Свойства страницы

Родительский документ

@@ -1,1 +1,1 @@
--Main.AllDocs
++Интеграция-со-СКУД.PERCo-Web.WebHome

Содержимое

@@ -1,133 +1,127 @@
--# Подключение ПРОСТО:СКУД к PERCo-Web по HTTPS
++~{~{box title="~*~*Быстрый переход по пунктам инструкции~*~*"}}
++~{~{toc start="1" depth="2" numbered="false"/}}
++~{~{/box}}
--Инструкция для администратора PERCo-Web и сервера 1С. Пример ниже использует IP-адрес `192.168.12.22`; перед выполнением замените его на адрес своего сервера.
++Инструкция предназначена для администратора PERCo-Web и сервера 1С. В примерах используется адрес ##192.168.12.22##. Замените его на адрес своего сервера PERCo-Web.
--## 1. Определите адрес подключения
++== 1. Подготовка ==
--Адрес, указанный в настройках интеграции 1С, должен совпадать с адресом в сертификате PERCo-Web:
++Адрес в настройках подключения 1С должен совпадать с адресом в сертификате PERCo-Web:
--- Если 1С подключается по IP, сертификат должен содержать этот IP в поле **Subject Alternative Name (SAN)** как `IP Address`.
--- Если 1С подключается по имени, сертификат должен содержать это имя в SAN как `DNS Name`.
++* При подключении по IP сертификат должен содержать этот IP в поле Subject Alternative Name (SAN) как ##IP Address##.
++* При подключении по имени сертификат должен содержать это имя в SAN как ##DNS Name##.
--Одного поля `CN` недостаточно для надёжной проверки адреса. [Правила проверки HTTPS-сертификата](https://www.rfc-editor.org/rfc/rfc9110.html#section-4.3.5)
++Если подходящий сертификат и закрытый ключ уже имеются в файлах ##.crt## и ##.key##, переходите к разделу 3.
--Если у вас уже есть подходящий сертификат и закрытый ключ в файлах `.crt` и `.key`, переходите к разделу 3.
++Для создания собственного сертификата потребуется OpenSSL. Команды ниже выполняются в PowerShell на Windows. Запускайте их по порядку, каждую строку отдельно.
--## 2. Создайте сертификат с помощью OpenSSL
++== 2. Создание сертификата с помощью OpenSSL ==
--Команды выполняются в **PowerShell на Windows**. OpenSSL можно запустить на отдельном компьютере администратора. Выполняйте команды по порядку, **каждую строку отдельно**.
++Укажите IP сервера PERCo-Web и создайте папку для файлов:
--Укажите IP PERCo-Web и создайте новую папку:
--
--```powershell
++{{code language="powershell"}}
  $PercoIP = "192.168.12.22"
--```
--
--```powershell
  $CertDir = Join-Path $env:USERPROFILE ("perco-tls-" + (Get-Date -Format "yyyyMMdd-HHmmss"))
--```
--
--```powershell
  New-Item -ItemType Directory -Path $CertDir
--```
--
--```powershell
  Set-Location -LiteralPath $CertDir
--```
++{{/code}}
--Создайте внутренний удостоверяющий центр (УЦ). OpenSSL запросит пароль для файла `ca.key`:
++Создайте внутренний удостоверяющий центр (УЦ). OpenSSL предложит задать пароль для закрытого ключа ##ca.key##. Сохраните этот пароль.
--```powershell
++{{code language="powershell"}}
  Set-Content -Path .\ca.cnf -Encoding ascii -Value @('[req]','distinguished_name = dn','x509_extensions = v3_ca','[dn]','CN = PERCo Internal Root CA','[v3_ca]','basicConstraints = critical,CA:TRUE,pathlen:0','keyUsage = critical,keyCertSign,cRLSign','subjectKeyIdentifier = hash')
--```
--
--```powershell
  openssl req -x509 -newkey rsa:3072 -sha256 -days 3650 -keyout ca.key -out ca.crt -config ca.cnf -extensions v3_ca -subj "/CN=PERCo Internal Root CA"
--```
++{{/code}}
--Создайте ключ и запрос на сертификат сервера:
++Создайте ключ и запрос на сертификат PERCo-Web:
--```powershell
++{{code language="powershell"}}
  openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:3072 -out perco.key
--```
--
--```powershell
  openssl req -new -sha256 -key perco.key -out perco.csr -subj "/CN=$PercoIP"
--```
++{{/code}}
--Добавьте IP в SAN и выпустите сертификат. При выпуске снова потребуется пароль от `ca.key`:
++Добавьте IP-адрес в SAN и подпишите сертификат. OpenSSL запросит пароль от ##ca.key##.
--```powershell
++{{code language="powershell"}}
  Set-Content -Path .\server.ext -Encoding ascii -Value @('[v3_server]','basicConstraints = critical,CA:FALSE','keyUsage = critical,digitalSignature,keyEncipherment','extendedKeyUsage = serverAuth',"subjectAltName = IP:$PercoIP",'subjectKeyIdentifier = hash','authorityKeyIdentifier = keyid,issuer')
--```
--
--```powershell
  openssl x509 -req -in perco.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out perco.crt -days 397 -sha256 -extfile server.ext -extensions v3_server
--```
++{{/code}}
--Проверьте сертификат:
++Проверьте выпущенный сертификат:
--```powershell
++{{code language="powershell"}}
  openssl verify -CAfile ca.crt -purpose sslserver -verify_ip $PercoIP perco.crt
--```
++openssl x509 -in perco.crt -noout -ext subjectAltName -fingerprint -sha256
++{{/code}}
--Ожидаемый результат — `perco.crt: OK`. Проверка SAN:
++Первая команда должна вывести ##perco.crt: OK##, вторая — нужный ##IP Address##.
--```powershell
--openssl x509 -in perco.crt -noout -ext subjectAltName -fingerprint -sha256
--```
++|=Файл|=Назначение
++|##perco.crt##|Сертификат сервера PERCo-Web
++|##perco.key##|Закрытый ключ сервера PERCo-Web
++|##ca.crt##|Сертификат внутреннего УЦ для доверия на сервере 1С
++|##ca.key##|Закрытый ключ внутреннего УЦ; хранить отдельно, не загружать в PERCo-Web или на сервер 1С
--В выводе должен быть нужный `IP Address`. Использованные расширения сертификата описаны в [документации OpenSSL](https://docs.openssl.org/3.0/man5/x509v3_config/).
++== 3. Установка сертификата в PERCo-Web ==
--## 3. Установите сертификат в PERCo-Web
++Откройте **Менеджер PERCo-Web → Настройки → HTTPS и сертификаты**.
--Откройте **Менеджер PERCo-Web → Настройки → HTTPS и сертификаты**:
++1. В поле сертификата выберите ##perco.crt##.
++1. В поле ключа выберите соответствующий ##perco.key##.
++1. Нажмите **Сохранить** и включите **HTTPS**.
++1. Проверьте назначенный порт HTTPS — обычно ##443##.
++1. На вкладке **Мониторинг** перезапустите **Web-сервер** PERCo-Web.
--1. В поле сертификата выберите `perco.crt`.
--2. В поле ключа выберите соответствующий `perco.key`.
--3. Нажмите **Сохранить** и включите **HTTPS**.
--4. Проверьте, что для HTTPS назначен нужный порт, обычно `443`.
--5. На вкладке **Мониторинг** перезапустите **Web-сервер**. Если после этого порт 443 продолжает отдавать прежний сертификат, перезагрузите сервер PERCo-Web в согласованное время.
++**Важно:** после загрузки новых файлов если ранее уже были настроен доступ через 443 порт, сервер может продолжать выдавать прежний сертификат до перезапуска. Чтобы это исправить, перезагрузите сервер PERCo-Web в согласованное время.
--Поля загрузки сертификата и ключа описаны в [руководстве PERCo-Web](https://ru.percoweb.com/help/server_db.htm). **Не загружайте в PERCo-Web файл `ca.key`.**
++[[Описание настроек HTTPS в документации PERCo-Web>>https://ru.percoweb.com/help/server_db.htm]]
--## 4. Настройте доверие на сервере 1С
++== 4. Настройка доверия на сервере 1С ==
--Если использован внутренний УЦ из раздела 2, скопируйте **только `ca.crt`** на компьютер, где выполняется обмен 1С. В клиент-серверной базе это сервер 1С; при наличии кластера выполните шаг на каждом узле, который может выполнять обмен.
++При использовании внутреннего УЦ скопируйте ##ca.crt## на компьютер, где выполняется обмен с 1С. Для клиент-серверной базы это сервер 1С. Если обмен может выполняться на нескольких узлах кластера, установите сертификат УЦ на каждом таком узле.
--Запустите PowerShell от администратора и укажите фактический путь к скопированному файлу:
++Запустите PowerShell **от имени администратора** и замените путь на фактический:
--```powershell
++{{code language="powershell"}}
  Import-Certificate -FilePath "C:\путь\к\ca.crt" -CertStoreLocation Cert:\LocalMachine\Root
--```
++{{/code}}
--Для просмотра хранилища нажмите **Win + R** и выполните `certlm.msc`. Сертификат УЦ должен появиться в **Доверенные корневые центры сертификации → Сертификаты**. [Документация Microsoft](https://learn.microsoft.com/en-us/powershell/module/pki/import-certificate?view=windowsserver2025-ps)
++Для просмотра установленных сертификатов нажмите **Win + R**, введите ##certlm.msc## и откройте **Доверенные корневые центры сертификации → Сертификаты**. Там должен находиться сертификат ##PERCo Internal Root CA##.
--Если в PERCo-Web установлен сертификат от уже доверенного УЦ, отдельный импорт может не потребоваться.
++Если сертификат PERCo-Web выпущен УЦ, которому сервер 1С уже доверяет, отдельный импорт не требуется.
--## 5. Проверьте действующий сертификат и подключение
++== 5. Проверка действующего HTTPS-сертификата ==
--После перезапуска PERCo-Web проверьте **не файл на диске, а сертификат, который реально выдаёт порт 443**:
++Сначала посмотрите отпечаток созданного файла:
--```powershell
--'' | openssl s_client -connect "${PercoIP}:443" -noservername -showcerts 2>$null | openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName
--```
++{{code language="powershell"}}
++openssl x509 -in .\perco.crt -noout -fingerprint -sha256 -ext subjectAltName
++{{/code}}
--Сравните его SHA-256 отпечаток с отпечатком `perco.crt`. Они должны совпадать. В нашем случае именно эта проверка обнаружила, что после загрузки нового файла PERCo-Web продолжал выдавать старый сертификат до перезагрузки.
++Затем проверьте сертификат, который **реально выдаёт порт 443**. Укажите фактический IP PERCo-Web:
--На сервере 1С проверьте HTTPS без отключения проверки сертификата:
++{{code language="powershell"}}
++'' | openssl s_client -connect 192.168.12.22:443 -noservername -showcerts 2>$null | openssl x509 -noout -fingerprint -sha256 -ext subjectAltName
++{{/code}}
--```powershell
--curl.exe -v --noproxy "*" "https://${PercoIP}:443/api/system/auth"
--```
++Отпечатки должны совпасть. Если они разные, PERCo-Web продолжает выдавать старый сертификат либо на порту 443 отвечает другой HTTPS-сервис.
--Ответ HTTP `401` или `405` для этого тестового `GET` допустим: он означает, что HTTPS-соединение установлено и сервер ответил. После этого в настройках интеграции 1С укажите тот же IP, порт `443`, включите защищённое соединение и повторите подключение.
++На сервере 1С проверьте подключение без отключения проверки сертификата:
--| Ошибка | Что проверить |
--| :-- | :-- |
--| `SEC_E_WRONG_PRINCIPAL`, «Главное конечное имя неверно» | IP или имя отсутствует в SAN; PERCo-Web выдаёт прежний сертификат |
--| «Удаленный узел не прошел проверку» | Доверие к УЦ, срок и цепочку сертификата, доступ к проверке отзыва, настройки прокси |
--| HTTP `401` | Учётные данные PERCo-Web |
--| HTTP `405` при тесте через `curl.exe` | Для `/api/system/auth` нужен `POST`; проверка HTTPS уже прошла |
++{{code language="powershell"}}
++curl.exe -v --noproxy "*" https://192.168.12.22:443/api/system/auth
++{{/code}}
--**Хранение ключей:** `perco.key` необходим Web-серверу PERCo-Web. `ca.key` — закрытый ключ внутреннего УЦ; храните его отдельно и не передавайте на сервер 1С или в PERCo-Web.
++Ответ HTTP ##401## или ##405## для этой проверки допустим: команда отправляет GET-запрос, а цель проверки — убедиться, что HTTPS-соединение установлено и сертификат принят.
++
++После этого в настройках интеграции 1С укажите тот же адрес, порт ##443##, включите защищённое соединение и повторите подключение к PERCo-Web.
++
++== 6. Возможные ошибки ==
++
++|=Сообщение|=Что проверить
++|##SEC_E_WRONG_PRINCIPAL##, «Главное конечное имя неверно»|Адрес отсутствует в SAN или порт 443 выдаёт прежний сертификат
++|«Удаленный узел не прошел проверку»|Доверие к УЦ, срок и цепочку сертификата, проверку отзыва, настройки прокси
++|HTTP ##401##|Учётные данные PERCo-Web
++|HTTP ##405## при тесте через ##curl.exe##|Для ресурса требуется POST; HTTPS-соединение уже прошло проверку
++
++**Хранение ключей:** файл ##perco.key## нужен Web-серверу PERCo-Web. Файл ##ca.key## храните отдельно в защищённом месте.

Изменения документа Настройка https для PERCo-Web

Сводка

Подробности

Навигация

Быстрый переход: