Запуск сервиса безопасности

start

Выполняет запуск сервиса безопасности vpngate вручную. Обычно эта команда не требуется, запуск сервиса осуществляется через команду deploy.

Остановка сервиса безопасности

stop

Остановка сервиса безопасности vpngate вручную.

Остановка работы системы

power off

Отключение питания аппаратного комплекса.

Перезагрузка системы

reboot

Перезагрузка аппаратного комплекса.

Запуск процедуры инициализации

initialize role_network

Запуск процедуры инициализации программного комплекса на Шлюзе КВ. Эта команда запускается только один раз. При попытке запустить инициализацию еще раз, будет выдано сообщение об ошибке.

Возможность переинициализации существует, но с использованием ручного вызова скрипта со специальными параметрами.

Смена пароля текущего пользователя

Для смены пароля пользователя необходимо ввести старый (текущий) пароль этого пользователя. При вводе пароля можно нажать на Ctrl+C для отмены операции.

Для пользователей время смены пароля записывается в файл.

change user password

Сменить пароль текущего пользователя - администратора.

Смена транспортного пароля на рабочем носителе

change transport password

Сменить транспортный пароль на рабочем носителе. Данная команда может быть выполнена только администратором и перед этими Шлюз КВ должен быть обязательно развернут (выполнена команда deploy). Запрашивается текущий транспортный пароль, затем два раза - новый транспортный пароль.

Если при подтверждении пароля прервать команду с помощью Ctrl+C, то в журнал аудита будет выдано сообщение с уровнем error:

Changing transport password canceled 

Транспортный пароль используется для защиты контейнеров с ключевой парой, передаваемых с рабочего носителя на Шлюз КВ.

Возможные сообщения об ошибках приведены в разделе «Сообщения об ошибках для команды change transport password».

Настройки таймера неактивности

session idle timeout <minutes>

Установка таймера неактивности.

Параметр:

<minutes> - время в минутах (1-1440) отсутствия активности пользователя, по истечении которого происходит автоматический выход из консоли разграничения доступа. Значение по умолчанию - 10. 

session idle timeout disable

Отключение таймера неактивности.

Просмотр глобальных настроек

show global-parameters

Выводится информация о глобальных настройках Шлюза КВ, сейчас выводятся параметры таймера неактивности.

Вывод версии продукта

show version

Выводится информация об установленном Продукте. Аналогично запуску утилиты /opt/VPNagent/bin/ver_show.

Выдача информации об информации на подключенном рабочем носителе

show transport device [<device-id> | * [detail]]

Выдача детальной информации по конкретному (одному) каталогу устройства на рабочем носителе:

show transport device <device-id>

Выводится детальная информация по всем каталогам устройств:

show transport device * detail 

Вывод списка каталогов устройств на рабочем носителе:

show transport device

show transport device *

Возможные сообщения об ошибках приведены в разделе «Сообщения об ошибках для команды show transport device».

Выдача текущей информации о статусе защиты

show status

Выдается информация обо всех соединениях IPsec SA, ISAKMP SA и их состоянии, и о количестве IKE обменов.

Аналогично запуску утилиты /opt/VPNagent/bin/sa_mgr show.

Вывод информации о настройках терминала

show terminal

Выводятся настройки терминала: тип терминала, установленное число символьных столбцов и число строк экрана терминала.

Выдача информации о текущей конфигурации

show config

Выводится текущая конфигурация Шлюза КВ.

Аналогично запуску утилиты

/opt/VPNagent/bin/lsp_mgr show.

Перезагрузка текущей конфигурации

reload config

Предназначена для перезагрузки текущей конфигурации.

Аналогично запуску утилиты

/opt/VPNagent/bin/lsp_mgr reload.

Выгрузка текущей конфигурации

unload config

Предназначена для выгрузки текущей конфигурации. При этом загружается политика по умолчанию - DDP.

Аналогично запуску утилиты

/opt/VPNagent/bin/lsp_mgr unload.

Вход в режим настройки системы

system

Вход в системную консоль пользователя root (с запросом пароля - пароль по умолчанию «s-terra»). Команда необходима для начальной настройки системы и в аварийных ситуациях. В остальных случаях рекомендуется пользоваться командой configure.

Вызов внешнего приложения

run <command-line>

Команда позволяет вызвать внешнее приложение или запустить команду ОС.

Команда запускается из-под текущего пользователя - admin.

При необходимости аварийного завершения выполнения приложения можно использовать сочетания клавиш CTRL+^ (CTRL+SHIFT+6) или  CTRL+|.

Вход в cisco-like консоль

configure

Осуществляется запуск cisco-like консоли (интерфейс командной строки Cisco-like), по команде configure осуществляется вызов: /opt/VPNagent/bin/ cs_console, пароль - csp. Для входа в cs_console используется пользователь ОС, заданный в параметре config_user файла /opt/VPNagent/etc/stshell.ini. По умолчанию в файле прописан пользователь с именем cscons и паролем csp. Если из файла удалить параметр config_user, то команда завершится с ошибкой:

% Error: the 'config_user' setting is absent.

Для перехода в конфигурационный режим cisco-like консоли введите команду configure terminal (conf t).

Записать контрольную сумму настроек

record checksum [<device-id>]

Сохранение контрольной суммы текущих VPN-настроек Шлюза КВ на рабочий носитель.

Если команда выполняется до команды deploy, то <device-id> нужно обязательно указывать.

Если команда выполняется после команды deploy, то <device-id> можно не задавать.

Если команда выполняется после команды deploy и <device-id> указан, то проверяется, чтобы <device-id> совпадал со значением из команды deploy (включая значение по умолчанию).

Следует учесть, что значение по умолчанию команды record отличается от значения по умолчанию команды deploy. Если нужно сохранить контрольную сумму до команды deploy без указания аргумента, то нужно задать команду

record checksum 0000

Возможные сообщения об ошибках приведены в разделе «Сообщения об ошибках для команды record checksum».

Загрузка конфигурации в память Шлюза КВ

deploy [<device-id>]

Загрузка данных с рабочего носителя на Шлюз КВ c указанным идентификатором id, запуск Шлюза КВ с использованием этих данных. Если <device-id> отсутствует, то используется значение 0000. При этом запрашивается транспортный пароль. Затем проверяется соответствие контрольной суммы сохраненным на данный момент VPN-настройкам. При несоответствии выдается сообщение об ошибке и рекомендация, что если администратор уверен в корректности настроек, то он может выполнить команду record checksum, и снова запустить команду deploy.

В процессе загрузки на Шлюз КВ могут выдаваться предупреждения о просроченных и близких к истечению срока действия сертификатах и PSK (криптостойких предварительно распределенных ключах).

Возможные сообщения об ошибках приведены в разделе «Сообщения об ошибках для команды deploy».

Операции с файлами

В командах работы с файлами путь к файлу предваряется префиксом, смотрите Примечание 1.

В некоторых командах работы с файлами запрашивается подтверждение пути к файлу.

dir

Вывод содержимого текущего каталога.

dir file: <file-path>

dir media: <file-path>

Вывод списка файлов указанной директории или с указанного носителя.

dir file:/opt/VPNagent/bin

dir media:

dir file:... | include <line_to_include>

Вывод списка файлов указанной директории или с указанного носителя, который включает указанную строку (фильтрация по строке).
Например:

dir file:/opt/VPNagent/bin | include mgr

Во всех вариантах команды вывод можно фильтровать по строке.

Пример вывода с пояснениями:

1  drwx 0  Mon Feb 29 09:36:59 2016  users 

2  -rw- 419  Mon Feb 29 13:34:08 2016  test

Первое поле - порядковый номер записи.

Второе поле - тип файла и права доступа для владельца файла.

Возможный тип файла:

•      “-” обычный файл

•      “*” обычный файл, но запрещенный для модификации и удаления администратором с помощью команд консоли.

Примечание: Не путать с отсутствием доступа на запись (см. ниже).

d - директория

b - блочное устройство

c - символьное устройство

p - очередь FIFO (pipe)

s - сокет

l - символьная ссылка (в нормальной ситуации не должно появляться).

Права доступа:

r - доступен для чтения

w - доступен для записи

x - доступен для исполнения

Третье поле - размер файла в байтах.

Четвертое поле - время последней модификации.

Последнее поле - имя файла.

Специальные права доступа (setuid, setgid, sticky-bit) не отображаются.

В случае корректной символьной ссылки все параметры кроме имени отображаются для конечного файла, на который указывает ссылка.

Если по каким-то причинам не удается получить информацию о файле, выдается строка примерно такого вида:

2  ???? 12  Wed Jun 22 19:23:55 2024  test 

Наиболее вероятная ситуация, при которой это может появиться: символьная ссылка на несуществующий объект.

Примечание:

В этом случае длина и время модификации указываются для самой символьной ссылки.

При попытке вывода информации о несуществующем файле выдается сообщение об ошибке:

% Error opening file: (File not found)

more file:<file-path>

more media:<file-path>

Вывод содержимого текстового файла.

delete file:<file-path>

delete media:<file-path>

Удаление файла или пустой директории.

После ввода команды выдается запрос на подтверждение пути к файлу.

В случае, если удаляется директория, она обязательно должна быть пустой.

copy file:<src-file-path> file:<dst-file-path>

copy media:<src-file-path> media:<dst-file-path>

Копирование файла.

После ввода команды выдается запрос на подтверждение пути к исходному файлу:

Source file path [<src-file-path>] ?

Далее - запрос на подтверждение пути к результирующему файлу:

Destination file path [<dst-file-path>] ?

Если file:<dst-file-path> - директория, то к <dst-file-path> будет добавлено имя исходного файла.

copy terminal-input file: <end-of-file-marker>

Создание текстового файла с помощью пользовательского ввода.

<end-of-file-marker> - слово, обозначающее завершение файла.

После ввода команды выдается запрос на подтверждение пути к файлу:

Destination file path [<dst-file-path>]? [Enter]

Если уже существует файл, совпадающий по имени с результирующим, выдается предупреждение с подтверждением:

% Warning: There is a file already existing with this path

Do you want to over write? [confirm]

Далее, без приглашения, происходит ожидание ввода текста от пользователя.

Ввод происходит по строкам.

Ввод происходит до момента, когда пользователь на отдельной строке вводит слово, обозначающее завершение файла. Данное слово не попадает в результирующий файл. Данное слово обязательно должно быть единственным текстом в строке. Если будут другие символы, даже пробелы, строка будет воспринята как часть текстового файла.

При необходимости пользователь может прервать ввод с помощью CTRL+C. В этом случае результирующий файл удаляется.

При успешном создании файла выдается сообщение:

File copied successfully

Пример:

hostname#copy terminal-input file:test EOF

Destination file path [test] ?

Line 1

Line 2

EOF

File copied successfully

hostname#more file:test

Line 1

Line 2    

Выход из консоли разграничения доступа

exit

Приводит к перезапуску консоли разграничения доступа и запросу имени пользователя.

Примечание 1

Используемые префиксы:

file:<file-path>

где <file-path> - путь к файлу.

Ограничение: <file-path> не должен содержать подстроку ^Z. Путь может быть как относительным (в этом случае он трактуется как путь от директории /var/cspvpn), так и абсолютным.

Существует ограничение: в имени файла не должно быть пробелов.

media: - путь к папке /media  (вариант file:/media/ так же функционален).