Работа с ОФД через KFW

Здравствуйте, вопрос по работе Фискальных регистраторов (ФР) с операторами фискальных данных (ОФД) через KWF.
Фискальники с недавнего времени (по 54 ФЗ) теперь передают данные по интернет к ОФД.

Суть проблемы: ФР не коннектится с ОФД через KWF самой новой версии (9.1.4 build 1535).

Имеем в организации участки сетей объединенных в одну при помощи KFW.
В центральном офисе стоит KWF версии 9.1.4 build 1535, на линухе.
Остальные офисы по тунелям коннектятся к нам.
В офисах стоят Windows 2008 StnEd x 64 сервера с KWF версии 7.4.2 build 5136. по разному где то чуть новее где то старее.

ФР стоят в локалке со статическими IP, настроены на обмен с ОФД.
в офисах проблем нет, все работает (т.е. там версии 7.4.2 и др.)
в центральном офисе на версии (9.1.4) не происходит обмен с ОФД.
Причем в монитоинге наблюдем что обмен происходит, есть обращение и ответ, но ФР все равно ведет себя так как буд-то ничего не получает.

вот участок лога
[25/Jan/2017 11:08:02] ALLOW "Буратино" packet from IF1(LOCAL), proto:TCP, len:44, 192.168.200.141:49381 -> 193.0.214.11:7777, flags:[ SYN ], seq:9270997/4294967295 ack:0, win:5840, tcplen:0
[25/Jan/2017 11:08:02] ALLOW "Буратино" packet to IF5(MTC), proto:TCP, len:60, 94.243.63.122:49381 -> 193.0.214.11:7777, flags:[ SYN ], seq:1076089414/1066818416 ack:0, win:29200, tcplen:0
[25/Jan/2017 11:08:02] ALLOW "Буратино" packet from IF5(MTC), proto:TCP, len:60, 193.0.214.11:7777 -> 94.243.63.122:49381, flags:[ SYN ACK ], seq:2720572155/2720572155 ack:1076089415, win:1448, tcplen:0
[25/Jan/2017 11:08:02] ALLOW "Буратино" packet to IF5(MTC), proto:TCP, len:52, 94.243.63.122:49381 -> 193.0.214.11:7777, flags:[ ACK ], seq:1076089415/1066818417 ack:2720572156, win:229, tcplen:0
[25/Jan/2017 11:08:02] ALLOW "Буратино" packet to IF1(LOCAL), proto:TCP, len:44, 193.0.214.11:7777 -> 192.168.200.141:49381, flags:[ SYN ACK ], seq:2033379288/4294967295 ack:9270998, win:29200, tcplen:0
[25/Jan/2017 11:08:02] ALLOW "Буратино" packet from IF1(LOCAL), proto:TCP, len:40, 192.168.200.141:49381 -> 193.0.214.11:7777, flags:[ ACK ], seq:9270998/0 ack:2033379289, win:5840, tcplen:0
[25/Jan/2017 11:08:02] ALLOW "Буратино" packet from IF1(LOCAL), proto:TCP, len:390, 192.168.200.141:49381 -> 193.0.214.11:7777, flags:[ ACK PSH ], seq:9270998/0 ack:2033379289, win:5840, tcplen:350
[25/Jan/2017 11:08:02] ALLOW "Буратино" packet to IF1(LOCAL), proto:TCP, len:40, 193.0.214.11:7777 -> 192.168.200.141:49381, flags:[ ACK ], seq:2033379289/0 ack:9271348, win:30016, tcplen:0
----
[25/Jan/2017 11:08:37] ALLOW "Буратино" packet from IF1(LOCAL), proto:TCP, len:40, 192.168.200.141:49381 -> 193.0.214.11:7777, flags:[ FIN ACK ], seq:9271348/350 ack:2033379289, win:5840, tcplen:0
[25/Jan/2017 11:08:37] ALLOW "Буратино" packet to IF1(LOCAL), proto:TCP, len:40, 193.0.214.11:7777 -> 192.168.200.141:49381, flags:[ FIN ACK ], seq:2033379289/0 ack:9271349, win:30016, tcplen:0
[25/Jan/2017 11:08:37] ALLOW "Буратино" packet to IF5(MTC), proto:TCP, len:52, 94.243.63.122:49381 -> 193.0.214.11:7777, flags:[ FIN ACK ], seq:1076089415/1066818417 ack:2720572156, win:229, tcplen:0
[25/Jan/2017 11:08:37] ALLOW "Буратино" packet from IF1(LOCAL), proto:TCP, len:40, 192.168.200.141:49381 -> 193.0.214.11:7777, flags:[ ACK ], seq:9271349/351 ack:2033379290, win:5839, tcplen:0
[25/Jan/2017 11:08:37] ALLOW "Буратино" packet from IF5(MTC), proto:TCP, len:52, 193.0.214.11:7777 -> 94.243.63.122:49381, flags:[ FIN ACK ], seq:2720572156/687192867 ack:1076089416, win:3, tcplen:0
[25/Jan/2017 11:08:37] ALLOW "Буратино" packet to IF5(MTC), proto:TCP, len:52, 94.243.63.122:49381 -> 193.0.214.11:7777, flags:[ ACK ], seq:1076089416/1066818418 ack:2720572157, win:229, tcplen:0
---
[25/Jan/2017 11:08:38] ALLOW "Буратино" packet from IF1(LOCAL), proto:TCP, len:44, 192.168.200.141:49382 -> 193.0.214.11:7777, flags:[ SYN ], seq:9352303/4294967295 ack:0, win:5840, tcplen:0
[25/Jan/2017 11:08:38] ALLOW "Буратино" packet to IF5(MTC), proto:TCP, len:60, 94.243.63.122:49382 -> 193.0.214.11:7777, flags:[ SYN ], seq:581851396/572499092 ack:0, win:29200, tcplen:0
[25/Jan/2017 11:08:38] ALLOW "Буратино" packet from IF5(MTC), proto:TCP, len:60, 193.0.214.11:7777 -> 94.243.63.122:49382, flags:[ SYN ACK ], seq:103268588/103268588 ack:581851397, win:1448, tcplen:0
[25/Jan/2017 11:08:38] ALLOW "Буратино" packet to IF5(MTC), proto:TCP, len:52, 94.243.63.122:49382 -> 193.0.214.11:7777, flags:[ ACK ], seq:581851397/572499093 ack:103268589, win:229, tcplen:0
[25/Jan/2017 11:08:38] ALLOW "Буратино" packet to IF1(LOCAL), proto:TCP, len:44, 193.0.214.11:7777 -> 192.168.200.141:49382, flags:[ SYN ACK ], seq:1366049639/4294967295 ack:9352304, win:29200, tcplen:0
[25/Jan/2017 11:08:38] ALLOW "Буратино" packet from IF1(LOCAL), proto:TCP, len:40, 192.168.200.141:49382 -> 193.0.214.11:7777, flags:[ ACK ], seq:9352304/0 ack:1366049640, win:5840, tcplen:0
[25/Jan/2017 11:08:38] ALLOW "Буратино" packet from IF1(LOCAL), proto:TCP, len:390, 192.168.200.141:49382 -> 193.0.214.11:7777, flags:[ ACK PSH ], seq:9352304/0 ack:1366049640, win:5840, tcplen:350
[25/Jan/2017 11:08:38] ALLOW "Буратино" packet to IF1(LOCAL), proto:TCP, len:40, 193.0.214.11:7777 -> 192.168.200.141:49382, flags:[ ACK ], seq:1366049640/0 ack:9352654, win:30016, tcplen:0

Lawnmover, создай для обмена отдельное правило, в котором будет разрешен весь трафик для соединений с дестинейшном IP номером сервера обработки данных ОФД.

Правило конечно есть, оно отдельное и стоит в самом верху,
по IP разрешается везде и все.
Правило одинаковое и в центральном офисе и в удаленных офисах.
Только вот в удаленных работает все, а в центральном (где 9.1.4 build 1535) - нет.
В центральном уже пробовал и дестинейшен IP ставить, да и по логу видно что ходит он туда.

Все одинокого, отличие только в версии.

п.с. мои мысли, происходит модификация пакетов и ФР их после этого не принимает.

Lawnmover, откатись на предыдущий релиз.

Цитата

Сообщение от Lawnmover

Правило конечно есть, оно отдельное и стоит в самом верху,

Буратино" - это оно?
если да, то что, куда и по какому порту должно лезть?

включи "packets dropped for thome reason" в debug.log

а вообще сними дамп на клиенте в wireshark
а) когда все работает
б) когда болт
и сравни эти дампы

exchar, а вот это к тому, что камрад игнорирует требования к размещению вопросов.

Цитата:

Сообщение от HOG

а вот это к тому, что камрад игнорирует требования к размещению вопросов.

а кстати, да
но проще [Для просмотра данной ссылки нужно зарегистрироваться], а то народ иногда не в курсе, что они вообще есть (эт надо в самом низу прикрепленных тем раздела их найти)

Камрады, тоже рад Вас всех видеть
понятное дело правило читать некогда
сейчас раз уж отправили почитал
поржал (кстати, албанский уже не в моде)
Из них(правил), кстати, часть даже выполнена, ну акромя тупой части в качестве скринов ipconfig и т.д.
Большая часть из правил не будет относится к специфике задаваемого вопроса, зачем напрягать людей лишней работой и время препровождением.
Форум это прежде всего общение, иначе можно просто
бесконечно отправить по ссылкам где каждый пойдет по дороге "вымощенной желтым кирпичом за мозгами" и сам рано или поздно решит свою проблему.

Мы тоже привыкли решать проблемы сами, поэтому надеялся на ответ в стиле "а это уже было, проблема решена". Но видимо вопрос сложный(иначе бы не обратился) потому что это только начало, по ФЗ 54 еще мало народу начало работать.

по теме.

Сейчас решили сделать стенд боевой конфигурации Керио последней версии (аналогичный боевому) на отдельном ПК. На нем будем пробовать с откатами и рассветами и дебагами. Иначе есть риск завалить "все что нажито непосильным трудом"
По результатам отпишусь.

Добавлено через 7 минут

Цитата

Сообщение от exchar

Буратино" - это оно?
если да, то что, куда и по какому порту должно лезть?

включи "packets dropped for thome reason" в debug.log

а вообще сними дамп на клиенте в wireshark
а) когда все работает
б) когда болт
и сравни эти дампы

Буратос - это он.

лезет суда:

f1.taxcom.ru (193.0.214.11)
по порту 7777
это настройки для подключения к ОФД "Такском".

Клиент:192.168.200.141

Клиент это ФР (фискальный регистратор модели Штрих-М-ФР-К с установленным комплектом модернизации под требования ФЗ 54)
короче касса онлайн. На нем не только wireshark, даже комманды пинг нет он просто либо работает либо нет.

С простого компа порт 7777 на f1.taxcom.ru открывается без вопросов (по telnet)

Добавлено через 28 минут
Вопрос работы самого ФР исключен, проверенно на другом железе с другой версией Керио, все работает.

Цитата

Сообщение от exchar

а то народ иногда не в курсе, что они вообще есть

Ну, так правила форума прочитать лень, вот и не в курсе.

Цитата

Сообщение от Lawnmover

понятное дело правило читать некогда

Ну, значит будет время когда "горчичинег" схлопочешь за что нибудь.

Цитата

Сообщение от Lawnmover

албанский уже не в моде

А нам похуй.

Цитата

Сообщение от Lawnmover

по порту 7777

А сделай логгирование этого правила и сравни то что работает, и то что нет. И попробуй отключить IDS/IPS на всякий пожарный, и посмотри что будет. Возможно распознает как попытку YCL? ибо в семерке этой приблуды не было.

Цитата

Сообщение от Lawnmover

ну акромя тупой части в качестве скринов ipconfig и т.д.

для решения проблем с продуктами керио в 99% случаев необходимо видеть все основные настройки этого самого "керио". Сразу видеть, а не страдать фигней - телепатов тут нет и викторина "угадай мои 100500 правил в ТП" никому не сдалась. если в первую очередь тебе лень, то нам-то оно зачем тогда?

Цитата

Сообщение от Lawnmover

Большая часть из правил не будет относится к специфике задаваемого вопроса

вот ты приходишь к терапевту, он предлагает температуру померять - а ты ему черным по белому, мол "не относится температура к специфике, номинируйте меня сразу на премию Чарлза".

Цитата

Сообщение от Lawnmover

Форум это прежде всего общение

форум по проблемам софта - это место, где
а) одним удобно получить помощь
б) другим удобно помочь при случае
для удобства первых и вторых были придуманы правила

Цитата

Сообщение от Lawnmover

каждый пойдет по дороге "вымощенной желтым кирпичом за мозгами" и сам рано или поздно решит свою проблему

сделает дело, качнет знания по теме и меньше займет чужого времени. профит!

Цитата

Сообщение от Lawnmover

На нем не только wireshark, даже комманды пинг нет он просто либо работает либо нет.

да легко
управляемый свитч с зеркалированием трафика + wireshark на машине, куда зеркалируем.

Цитата

включи "packets dropped for thome reason" в debug.log

а ведь и не пробовал включать, да?