Към съдържанието

Инсталиране на сървъра Edge Gateway

Забележка

Напомняме, че превключването към root на компютри с Debian трябва да се извършва със следната команда:

1
su -

Изтегляне на огледалото и необходимите инструменти

Огледалното хранилище (mirror) на CyberElements Cleanroom 4.6 и ключът за подпис на хранилището на Systancia могат да бъдат изтеглени от тази връзка (изисква създаване на клиентски акаунт): Systancia Marketplace

Освен огледалното хранилище и ключа, за процеса на надграждане ще са необходими и инструменти на трети страни:

  • SSH клиент (в Windows можете да използвате PuTTY)
  • SCP клиент (в Windows могат да се използват инструментите WinSCP или FileZilla)

Използвайте SSH клиента, за да се свържете отдалечено със своя сървър.

Използвайте SCP клиента, за да прехвърлите файлове към отдалечения компютър.

Подготовка за инсталирането

Конфигуриране на мрежата

Силно се препоръчва да зададете статичен мрежов адрес за сървъра Edge Gateway. За да направите това, първо трябва да получите името на мрежовия интерфейс на компютъра и неговия MAC адрес. Изпълнете следната команда като root:

1
ip -br link | grep -ve "^lo"

Тази команда показва името на мрежовия интерфейс, неговото състояние, неговия MAC адрес и настройките на интерфейса.

Пример

След изпълнението на командата се показва следният резултат:

1
ens192           UP             00:50:56:a1:56:9f <BROADCAST,MULTICAST,UP,LOWER_UP>

Името на мрежовия интерфейс е ens192, а неговият MAC адрес е 00:50:56:a1:56:9f.

След като името на мрежовия интерфейс и MAC адресът са получени, вече можете да редактирате мрежовата конфигурация на компютъра.
Редактирайте файла /etc/network/interfaces, за да го промените по следния шаблон:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports INTERFACE_NAME
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw MAC_ADDRESS
    address IP_GW
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

Където:

  • INTERFACE_NAME трябва да бъде заменено с името на получения преди това мрежов интерфейс.
  • MAC_ADDRESS трябва да бъде заменено с получения преди това MAC адрес.
  • IP_GW трябва да бъде заменено с IP адреса на сървъра.
  • NETMASK трябва да бъде заменено с мрежовата маска, свързана с IP адреса.
  • NETWORK_GATEWAY трябва да бъде заменено с мрежовия шлюз по подразбиране.
  • IP_DNS трябва да бъде заменено с IP адреса на DNS сървъра. Ако трябва да се конфигурират няколко сървъра (най-много 3), разделете ги с интервал.
  • DNS_SUFFIX трябва да бъде заменено с DNS суфикса, който да се използва. Ако не е необходимо да се въвежда суфикс, изтрийте реда.
Пример 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports ens192
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw 00:50:56:a1:56:9f
    address 172.16.10.10
    netmask 255.255.255.0
    gateway 172.16.10.254
    dns-nameservers 172.16.11.2 172.16.11.3
    dns-search domain.local

Преди да приложите конфигурацията, трябва да изпълните още три стъпки.

Първата е да инсталирате пакетите resolvconf и bridge-utils, за да може да се приложи DNS конфигурацията, зададена в предишния файл, и да се използва интерфейсът br0:

1
apt install -y resolvconf bridge-utils

Втората е да проверите конфигурацията на файла /etc/hosts по отношение на основния IP адрес на компютъра (IP_GW).
За да направите това, редактирайте файла /etc/hosts и проверете дали вторият ред е в следния формат:

2
IP_GW   FQDN    MACHINE_NAME
Пример

Ако компютърът се казва EDGE-GATEWAY, без да е член на домейн, а IP адресът му IP_GW е 172.16.10.10, файлът ще бъде попълнен по следния начин:

2
172.16.10.10  EDGE-GATEWAY

Ако компютърът е член на домейна DOMAIN.LOCAL, файлът ще бъде попълнен по следния начин:

2
172.16.10.10  EDGE-GATEWAY.DOMAIN.LOCAL   EDGE-GATEWAY

Внимание!

Неправилна конфигурация на файла може да доведе до грешка при инсталирането на пакета collectd.

Остава само да рестартирате сървъра: 

1
reboot

Конфигуриране на мениджъра на пакети APT

Качете файловете, изтеглени от Systancia Marketplace, в директорията /tmp/ на сървъра с помощта на SCP клиент:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Влезте в сървъра като root, след което изпълнете следните команди, за да разархивирате хранилището на Systancia, да конфигурирате използването му в APT и да го удостоверите.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Силно препоръчваме да деактивирате инсталирането на ненужни пакети при изпълнение на командите apt. За целта изпълнете следната команда:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Инсталиране на сървъра Edge Gateway на CyberElements Bastion

Инсталиране на основните компоненти

Започнете инсталирането на компонентите със следната команда като root:

1
apt install -y ipdiva-base

След изтеглянето на всички зависимости ще се отвори прозорец, в който трябва да изберете типа на сървъра. Изберете gateway:

Какво да направя, ако възникне грешка?

Ако във въведената информация има грешка, продължете инсталирането на пакета ipdiva-base и след това използвайте следната команда, за да конфигурирате отново сървъра:

1
dpkg-reconfigure ipdiva-base

Инсталиране на компонентите на Edge Gateway

След това стартирайте инсталирането на специфичните за Edge Gateway компоненти със следната команда:

1
apt install -y ipdiva-safe-gateway ipdiva-gateway-setup

Компонентите на сървъра Edge Gateway вече са инсталирани. Остава само да рестартирате компютъра, за да могат новоинсталираните компоненти да се инициализират:

1
reboot

Инсталиране на компонентите на HTML5 Gateway

Използвайте следната команда, за да започнете инсталирането на компонентите на HTML5 Gateway на сървъра Edge Gateway:

1
apt install -y ipdiva-html5gateway ipdiva-html5-webapp ipdiva-guacamole-server1

Използвайте следните командни редове, за да активирате и конфигурирате функциите за прехвърляне на файлове и виртуален принтер:

1
2
3
apt install -y ghostscript
echo -e "printer=cyberelements HTML5 Printer\nprinterDriver=MS Publisher Imagesetter" > /etc/guacamole/printer-config
mkdir /home/systanciahtml5share

Настройки, специфични за работата на CyberElements Bastion

След като мрежовите настройки бъдат приложени, трябва още да свържете екземплярите на Edge Gateway и HTML5 Gateway с компонентите Mediation Controller.
За целта първите екземпляри на Edge Gateway и HTML5 Gateway ще се свързват с компонента Mediation Controller MASTER, а вторите екземпляри – с компонента Mediation Controller SLAVE.

Внимание!

Ако инсталацията на Edge Gateway не се намира в локалната мрежа (LAN) и следователно адресите RIP_MED_SSL_MASTER и RIP_MED_SSL_SLAVE не са достъпни (дори с NAT).
В такъв случай ще трябва да конфигурирате само първия екземпляр на Edge Gateway и HTML5 Gateway, който ще бъде настроен да се свързва с VIP_MED_SSL.

В този контекст може да се използва виртуалното устройство Standalone. Виртуалното устройство Cluster е предварително конфигурирано с два екземпляра, докато неговият аналог Standalone е предварително конфигуриран с един екземпляр.

Преди да продължите със следващите инструкции, се уверете, че разполагате със следните елементи:

  • Сертификат за екземплярите на Edge Gateway и HTML5 Gateway, които трябва да бъдат свързани
  • Сертификат за услугата за записване
  • SSH клиент (в Windows можете да използвате PuTTY)
  • SCP клиент (в Windows могат да се използват инструментите WinSCP или FileZilla)

Прехвърлете сертификатите в директорията /tmp/ на компютъра.

Създаване на екземпляри за свързване със сървъра Mediation Controller SLAVE

Изпълнете следните команди като root, за да декларирате нов екземпляр на Edge Gateway и HTML5 Gateway, който ще се използва за свързване със сървъра Mediation Controller SLAVE:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -slave
/usr/local/ipdiva/html5gateway/bin/gatewayCloner -slave

Свързване на сървърите Edge Gateway

Копирайте файла на сертификата за Edge Gateway в директориите /etc/ipdiva/gateway/ssl/ и /etc/ipdiva/gateway-slave/ssl/. Можете да направите това, като изпълните като root команди, подобни на следните (заменете <CERT_NAME> с името на сертификата за Edge Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/gateway-slave/ssl/

Конфигурирайте екземплярите на Edge Gateway така, че да могат да се свързват с компонентите Mediation Controller.
Конфигурациите се различават в зависимост от компонента Mediation Controller, с който трябва да се осъществи връзка. Извършете и двете настройки:

Редактирайте файла /etc/ipdiva/gateway/gateway.xml и го попълнете със следната информация (няколко части са пропуснати и са обозначени с […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Заменете следните елементи:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: трябва да бъде заменено с адреса RIP_MED_SSL_MASTER, символа : и порта за слушане на SSL Router, който обикновено е зададен на 443
  • keyfile.pem: трябва да бъде заменено с името на файла на сертификата
  • PASSWORD: трябва да бъде заменено с паролата на сертификата
Пример

Като се вземе предвид следната информация:

  • RIP_MED_SSL_MASTER е равно на: 10.0.10.11
  • Порт за слушане на SSL Router: 443
  • Име на файла на сертификата: edge-gateway.p12
  • Парола на сертификата: Str0ngP@ssw0rd

Файлът /etc/ipdiva/gateway/gateway.xml ще бъде конфигуриран по следния начин:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Пълен файл 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9080</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Накрая стартирайте екземпляра на Edge Gateway, за да заредите новите настройки и да го свържете с компонента Mediation Controller MASTER: 

1
/usr/local/ipdiva/gateway/bin/start

Редактирайте файла /etc/ipdiva/gateway-slave/gateway.xml и го попълнете със следната информация (няколко части са пропуснати и са обозначени с […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Заменете следните елементи:

  • @SERVER@: трябва да бъде заменено с адреса RIP_MED_SSL_SLAVE
  • @SERVERPORT@: трябва да бъде заменено с порта за слушане на SSL Router, обикновено зададен на 443
  • keyfile.pem: трябва да бъде заменено с името на файла на сертификата
  • PASSWORD: трябва да бъде заменено с паролата на сертификата
  • @RPC_PORT@: трябва да бъде заменено със свободен TCP порт на компютъра; обикновено се използва портът 9081
Пример

Като се вземе предвид следната информация:

  • RIP_MED_SSL_SLAVE е равно на: 10.0.10.13
  • Порт за слушане на SSL Router: 443
  • Име на файла на сертификата: edge-gateway.p12
  • Парола на сертификата: Str0ngP@ssw0rd
  • Свободен RPC порт: 9081

Файлът /etc/ipdiva/gateway-slave/gateway.xml ще бъде конфигуриран по следния начин:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9081</rpc-listen>
[…]
</gateway>
Пълен файл 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9081</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Накрая стартирайте екземпляра на Edge Gateway, за да заредите новите настройки и да го свържете с компонента Mediation Controller SLAVE: 

1
/usr/local/ipdiva/gateway-slave/bin/start

Конфигуриране на услугата за записване

Преместете сертификата за услугата за записване в директорията /etc/ipdiva/careserver/ с команда, подобна на тази (заменете <CERT_NAME> с името на предвидения сертификат):

1
mv /tmp/<CERT_NAME> /etc/ipdiva/careserver/

След това конфигурирайте услугата, като промените следния файл: /etc/ipdiva/careserver/careserver.xml. Конфигурацията на файла трябва да изглежда приблизително така (в следващия фрагмент са пропуснати много редове от файла, обозначени с […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/recording_service.p12</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>

Направете следните промени:

  • Променете IP адреса за слушане на услугата за записване на 0.0.0.0 (слуша на всички налични IP адреси)
  • Заменете recording_service.p12 с името на сертификата за услугата за записване
  • Заменете PASSWORD с паролата за сертификата на услугата за записване
  • Добавете реда <element>http://127.0.0.1:9081</element>
Пример

Като се вземе предвид следната информация:

  • Име на файла на сертификата: fqdn.edge-gateway.local.p12
  • Парола на сертификата: Str0ngP@ssw0rd

Файлът /etc/ipdiva/careserver/careserver.xml ще бъде конфигуриран по следния начин:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>
Пълен файл 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>


    <archivesdirectory>/var/lib/ipdiva/carerecord/archives</archivesdirectory>
    <recordingdirectory>/var/lib/ipdiva/carerecord/recording</recordingdirectory>
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
        <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
        <min-version>tls1.2</min-version>
        <max-version/>
        <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
        <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
        <verify-cert>true</verify-cert>
        <no-fail-if-no-peer-cert>true</no-fail-if-no-peer-cert>
    </ssl>
    <gopsize>10</gopsize>
        <webgopsize>5</webgopsize>
    <webfakeframespersec>2</webfakeframespersec>
        <webhlslistsize>20</webhlslistsize>
    <webcaptureinterval>10000</webcaptureinterval>
    <webcapturetimeout>30000</webcapturetimeout>
    <captureinterval>250</captureinterval>
    <hlslistsize>20</hlslistsize>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
</careserver>

Потвърдете новите настройки, като рестартирате услугата за записване: 

1
systemctl restart ipdivacarerecord

Свързване на екземпляри на HTML5 Gateway

Ако трябва да се конфигурира екземплярът на HTML5 Gateway, изпълнете следната команда на сървъра Edge Gateway като root, за да активирате автоматичното стартиране на екземпляра:

1
chmod +x /etc/ipdiva/services/50html5gateway

Копирайте файла на сертификата за HTML5 Gateway в директориите /etc/ipdiva/html5gateway/ssl/ и /etc/ipdiva/html5gateway-slave/ssl/. Можете да направите това, като изпълните като root команди, подобни на следните (заменете <CERT_NAME> с името на сертификата за HTML5 Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/html5gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/html5gateway-slave/ssl/

Конфигурирайте екземплярите на HTML5 Gateway така, че да могат да се свързват с компонентите Mediation Controller.
Конфигурациите се различават в зависимост от компонента Mediation Controller, с който трябва да се осъществи връзка. Извършете и двете настройки:

Редактирайте файла /etc/ipdiva/html5gateway/html5gateway.xml и го попълнете със следната информация (няколко части са пропуснати и са обозначени с […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Заменете следните елементи:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: трябва да бъде заменено с адреса RIP_MED_SSL_MASTER, символа : и порта за слушане на SSL Router, който обикновено е зададен на 443
  • keyfile.pem: трябва да бъде заменено с името на файла на сертификата
  • PASSWORD: трябва да бъде заменено с паролата на сертификата
Пример

Като се вземе предвид следната информация:

  • RIP_MED_SSL_MASTER е равно на: 10.0.10.11
  • Порт за слушане на SSL Router: 443
  • Име на файла на сертификата: html5-gateway.p12
  • Парола на сертификата: Str0ngP@ssw0rd

Файлът /etc/ipdiva/html5gateway/html5gateway.xml ще бъде конфигуриран по следния начин:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Пълен файл 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9088</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Накрая рестартирайте екземпляра на HTML5 Gateway, за да заредите новите настройки и да го свържете с компонента Mediation Controller MASTER: 

1
/usr/local/ipdiva/html5gateway/bin/start

Редактирайте файла /etc/ipdiva/html5gateway-slave/html5gateway.xml и го попълнете със следната информация (няколко части са пропуснати и са обозначени с […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Заменете следните елементи:

  • @SERVER@: трябва да бъде заменено с адреса RIP_MED_SSL_SLAVE
  • @SERVERPORT@: трябва да бъде заменено с порта за слушане на SSL Router, обикновено зададен на 443
  • keyfile.pem: трябва да бъде заменено с името на файла на сертификата
  • PASSWORD: трябва да бъде заменено с паролата на сертификата
  • @RPC_PORT@: трябва да бъде заменено със свободен TCP порт на компютъра; обикновено се използва портът 9089
Пример

Като се вземе предвид следната информация:

  • RIP_MED_SSL_SLAVE е равно на: 10.0.10.13
  • Порт за слушане на SSL Router: 443
  • Име на файла на сертификата: html5-gateway.p12
  • Парола на сертификата: Str0ngP@ssw0rd
  • Свободен RPC порт: 9089

Файлът /etc/ipdiva/html5gateway-slave/html5gateway.xml ще бъде конфигуриран по следния начин:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9089</rpc-listen>
[…]
</gateway>
Пълен файл 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9089</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Накрая рестартирайте екземпляра на HTML5 Gateway, за да заредите новите настройки и да го свържете с компонента Mediation Controller SLAVE: 

1
/usr/local/ipdiva/html5gateway-slave/bin/start

Конфигурации преди свързването на екземпляри на HTML5 Gateway

За да работят HTML5 приложенията, трябва да бъдат конфигурирани допълнителни настройки на сървърите Mediation Controller. Влезте като root в сървърите Mediation Controller MASTER и SLAVE.

Създайте или редактирайте файла /etc/ipdiva/httpd/commonParameters.extra.conf, за да добавите за HTML5 Gateway част, равностойна на следната:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
<Location /URL_HTML5/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /URL_HTML5/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Където:

  • URL_HTML5 трябва да бъде заменено със съдържанието на полето URL за HTML5 Gateway, конфигурирано в административната конзола при декларирането на HTML5 Gateway (при клъстер това обикновено са HTML5-1 и HTML5-2).
  • GW_NAME трябва да бъде заменено с името на компонент Edge Gateway, разположен на същия сървър като HTML5 Gateway. Символът | в края на реда трябва да бъде запазен.
  • ORGANIZATION_NAME трябва да бъде заменено с името на организацията, с която се свързва горепосоченият компонент Edge Gateway.
Пример

За платформа със следните настройки:

  • Име на организацията: my-organization-name
  • Деклариране на първия компонент HTML5 Gateway в административната конзола:
    • Name: html5-gateway-1
    • URL: HTML5-1
    • Protocol: WebSocket
  • Деклариране на втория компонент HTML5 Gateway в административната конзола:
    • Name: html5-gateway-2
    • URL: HTML5-2
    • Protocol: WebSocket
  • Сървър Edge Gateway на първия компонент HTML5 Gateway има:
    • Услуга Edge Gateway с име edge-gateway-1
    • Услуга HTML5 Gateway с име html5-gateway-1
  • Сървър Edge Gateway на втория компонент HTML5 Gateway има:
    • Услуга Edge Gateway с име edge-gateway-2
    • Услуга HTML5 Gateway с име html5-gateway-2

Създаденият конфигурационен файл /etc/ipdiva/httpd/commonParameters.extra.conf ще бъде настроен по следния начин: 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
<Location /HTML5-1/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-1/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

<Location /HTML5-2/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-2/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Преди да приложите новите настройки, трябва да проверите дали новата конфигурация не предизвиква блокиращи грешки за уеб сървъра Apache2.
За да направите това, изпълнете следната команда:

1
apache2ctl configtest

Ако отговорът е Syntax OK, промените могат да бъдат приложени с командата по-долу. В противен случай проверете конфигурацията си във файла /etc/ipdiva/httpd/commonParameters.extra.conf.

1
systemctl reload apache2

Конфигуриране на NTP сървър за време

Препоръчително е да настроите сървър за време, за да поддържате системния часовник актуален. Необходимите стъпки са описани на страницата за конфигуриране на NTP.