Přeskočit obsah

Instalace serveru Edge Gateway

Počáteční nastavení systému

Při prvním spuštění appliance Edge Gateway Cluster se zobrazí průvodce počáteční konfigurací počítače. Tento průvodce umožňuje inicializovat konfiguraci specifickou pro systém i konfiguraci specifickou pro použití CyberElements Bastion.

Nastavení systému

Průvodce začne výzvou k výběru jazyka:

Informace

Zvolený jazyk ovlivní jazyk zobrazení systému i rozložení klávesnice. V angličtině bude mít klávesnice rozložení QWERTY, ve francouzštině AZERTY.

Průvodce vás poté vyzve k zadání nového hesla pro systémový účet root (ujistěte se, že splňuje požadovanou složitost):

Dále je nutné změnit heslo systémového uživatelského účtu systancia (ujistěte se, že splňuje požadovanou složitost):

Nakonec je nutné zadat název počítače:

Nastavení sítě

Po použití systémových nastavení přejde průvodce k síťovým nastavením počítače.

První panel vás vyzve k volbě mezi statickou konfigurací a dynamickou konfigurací prostřednictvím DHCP:

Doporučení

Pro síťová nastavení počítače se doporučuje statická konfigurace, zejména kvůli funkci přímého přístupu.
Lze použít i DHCP, pokud je adresa IP pevně nastavena na úrovni serveru DHCP.

Pokud zvolíte statickou konfiguraci, průvodce si vyžádá následující síťová nastavení:

Tip

Lze zadat několik serverů DNS (nejvýše 3) oddělených mezerami. Podobně lze přidat několik přípon DNS oddělených mezerou.

Dokončení počátečního nastavení

Nabídka počáteční konfigurace vás nyní vyzve k pokračování mechanismem pairingu komponenty Edge Gateway.
V této dokumentaci se nepoužije, proto je nutné zakázat zobrazování této nabídky při přihlášení a zakázat automatické připojení jako root.

Za tímto účelem nejprve ukončete nabídku počáteční konfigurace, a to buď výběrem tlačítka Cancel, nebo pomocí kombinace kláves Ctrl+C.
Potom spusťte následující příkazy:

1
2
3
4
sed -i '/gateway-setup/d' /root/.bashrc
sed -i 's/^NAutoVTs/#NAutoVTs/' /etc/systemd/logind.conf
rm -r /etc/systemd/system/getty@tty1.service.d/
systemctl daemon-reload

Nastavení specifická pro provoz CyberElements Bastion

Po použití síťového nastavení je ještě nutné připojit instance Edge Gateway a HTML5 Gateway k serverům Mediation Controller.
Za tímto účelem se první instance Edge Gateway a HTML5 Gateway připojí k serveru Mediation Controller MASTER, zatímco druhé instance se připojí k serveru Mediation Controller SLAVE.

Pozor!

Pokud se instalace Edge Gateway nenachází v síti LAN, a adresy RIP_MED_SSL_MASTER a RIP_MED_SSL_SLAVE proto nejsou dostupné (ani s NAT).
V takovém případě stačí nakonfigurovat pouze první instanci Edge Gateway a HTML5 Gateway, která bude nastavena pro připojení k VIP_MED_SSL.

V tomto kontextu lze použít virtuální zařízení Standalone. Virtuální zařízení Cluster je předkonfigurováno se dvěma instancemi, zatímco jeho protějšek Standalone je předkonfigurován s jedinou instancí.

Než budete pokračovat podle následujících pokynů, ověřte, že máte k dispozici tyto položky:

  • Certifikát pro připojované instance Edge Gateway a HTML5 Gateway
  • Certifikát pro službu nahrávání
  • Klient SSH (ve Windows můžete použít PuTTY)
  • Klient SCP (ve Windows lze použít nástroje WinSCP nebo FileZilla)

Přeneste certifikáty do adresáře /tmp/ počítače.

Připojení serverů Edge Gateway

Zkopírujte soubor certifikátu komponenty Edge Gateway do adresářů /etc/ipdiva/gateway/ssl/ a /etc/ipdiva/gateway-slave/ssl/. Můžete to provést spuštěním příkazů podobných následujícím jako root (nahraďte <CERT_NAME> názvem certifikátu pro Edge Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/gateway-slave/ssl/

Nakonfigurujte instance Edge Gateway tak, aby se mohly připojit k serverům Mediation Controller.
Konfigurace se liší podle serveru Mediation Controller, ke kterému se má instance připojit. Proveďte obě nastavení:

Upravte soubor /etc/ipdiva/gateway/gateway.xml a doplňte do něj následující údaje (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Nahraďte následující prvky:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: je nutné nahradit adresou RIP_MED_SSL_MASTER, znakem : a portem, na kterém naslouchá SSL Router, obvykle nastaveným na 443
  • keyfile.pem: je nutné nahradit názvem souboru certifikátu
  • PASSWORD: je nutné nahradit heslem certifikátu
Příklad

S ohledem na následující údaje:

  • RIP_MED_SSL_MASTER má hodnotu: 10.0.10.11
  • Port, na kterém naslouchá SSL Router: 443
  • Název souboru certifikátu: edge-gateway.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Soubor /etc/ipdiva/gateway/gateway.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9080</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Nakonec spusťte instanci Edge Gateway, aby se načetlo nové nastavení a instance se připojila k serveru Mediation Controller MASTER: 

1
/usr/local/ipdiva/gateway/bin/start

Upravte soubor /etc/ipdiva/gateway-slave/gateway.xml a doplňte do něj následující údaje (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte následující prvky:

  • @SERVER@: je nutné nahradit adresou RIP_MED_SSL_SLAVE
  • @SERVERPORT@: je nutné nahradit portem, na kterém naslouchá SSL Router, obvykle nastaveným na 443
  • keyfile.pem: je nutné nahradit názvem souboru certifikátu
  • PASSWORD: je nutné nahradit heslem certifikátu
  • @RPC_PORT@: je nutné nahradit volným portem TCP na počítači; obvykle se používá port 9081
Příklad

S ohledem na následující údaje:

  • RIP_MED_SSL_SLAVE má hodnotu: 10.0.10.13
  • Port, na kterém naslouchá SSL Router: 443
  • Název souboru certifikátu: edge-gateway.p12
  • Heslo certifikátu: Str0ngP@ssw0rd
  • Volný port RPC: 9081

Soubor /etc/ipdiva/gateway-slave/gateway.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9081</rpc-listen>
[…]
</gateway>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9081</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Nakonec spusťte instanci Edge Gateway, aby se načetlo nové nastavení a instance se připojila k serveru Mediation Controller SLAVE: 

1
/usr/local/ipdiva/gateway-slave/bin/start

Konfigurace služby nahrávání

Přesuňte certifikát pro službu nahrávání do adresáře /etc/ipdiva/careserver/ příkazem podobným tomuto (nahraďte <CERT_NAME> názvem příslušného certifikátu):

1
mv /tmp/<CERT_NAME> /etc/ipdiva/careserver/

Poté službu nakonfigurujte úpravou následujícího souboru: /etc/ipdiva/careserver/careserver.xml. Konfigurace souboru by měla vypadat přibližně takto (následující ukázka vynechává mnoho řádků souboru, které jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/recording_service.p12</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>

Proveďte následující změny:

  • Změňte IP adresu, na které naslouchá služba nahrávání, na 0.0.0.0 (naslouchání na všech dostupných IP adresách)
  • Nahraďte recording_service.p12 názvem certifikátu pro službu nahrávání
  • Nahraďte PASSWORD heslem certifikátu služby nahrávání
  • Přidejte řádek <element>http://127.0.0.1:9081</element>
Příklad

S ohledem na následující údaje:

  • Název souboru certifikátu: fqdn.edge-gateway.local.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Soubor /etc/ipdiva/careserver/careserver.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>


    <archivesdirectory>/var/lib/ipdiva/carerecord/archives</archivesdirectory>
    <recordingdirectory>/var/lib/ipdiva/carerecord/recording</recordingdirectory>
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
        <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
        <min-version>tls1.2</min-version>
        <max-version/>
        <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
        <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
        <verify-cert>true</verify-cert>
        <no-fail-if-no-peer-cert>true</no-fail-if-no-peer-cert>
    </ssl>
    <gopsize>10</gopsize>
        <webgopsize>5</webgopsize>
    <webfakeframespersec>2</webfakeframespersec>
        <webhlslistsize>20</webhlslistsize>
    <webcaptureinterval>10000</webcaptureinterval>
    <webcapturetimeout>30000</webcapturetimeout>
    <captureinterval>250</captureinterval>
    <hlslistsize>20</hlslistsize>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
</careserver>

Potvrďte nové nastavení restartováním služby nahrávání: 

1
systemctl restart ipdivacarerecord

Připojení instancí HTML5 Gateway

Pokud je třeba nakonfigurovat instanci HTML5 Gateway, spusťte na serveru Edge Gateway jako root následující příkaz, kterým povolíte automatické spouštění instance:

1
chmod +x /etc/ipdiva/services/50html5gateway*

Zkopírujte soubor certifikátu komponenty HTML5 Gateway do adresářů /etc/ipdiva/html5gateway/ssl/ a /etc/ipdiva/html5gateway-slave/ssl/. Můžete to provést spuštěním příkazů podobných následujícím jako root (nahraďte <CERT_NAME> názvem certifikátu pro HTML5 Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/html5gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/html5gateway-slave/ssl/

Nakonfigurujte instance HTML5 Gateway tak, aby se mohly připojit k serverům Mediation Controller.
Konfigurace se liší podle serveru Mediation Controller, ke kterému se má instance připojit. Proveďte obě nastavení:

Upravte soubor /etc/ipdiva/html5gateway/html5gateway.xml a doplňte do něj následující údaje (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Nahraďte následující prvky:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: je nutné nahradit adresou RIP_MED_SSL_MASTER, znakem : a portem, na kterém naslouchá SSL Router, obvykle nastaveným na 443
  • keyfile.pem: je nutné nahradit názvem souboru certifikátu
  • PASSWORD: je nutné nahradit heslem certifikátu
Příklad

S ohledem na následující údaje:

  • RIP_MED_SSL_MASTER má hodnotu: 10.0.10.11
  • Port, na kterém naslouchá SSL Router: 443
  • Název souboru certifikátu: html5-gateway.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Soubor /etc/ipdiva/html5gateway/html5gateway.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9088</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Nakonec restartujte instanci HTML5 Gateway, aby se načetlo nové nastavení a instance se připojila k serveru Mediation Controller MASTER: 

1
/usr/local/ipdiva/html5gateway/bin/start

Upravte soubor /etc/ipdiva/html5gateway-slave/html5gateway.xml a doplňte do něj následující údaje (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte následující prvky:

  • @SERVER@: je nutné nahradit adresou RIP_MED_SSL_SLAVE
  • @SERVERPORT@: je nutné nahradit portem, na kterém naslouchá SSL Router, obvykle nastaveným na 443
  • keyfile.pem: je nutné nahradit názvem souboru certifikátu
  • PASSWORD: je nutné nahradit heslem certifikátu
  • @RPC_PORT@: je nutné nahradit volným portem TCP na počítači; obvykle se používá port 9089
Příklad

S ohledem na následující údaje:

  • RIP_MED_SSL_SLAVE má hodnotu: 10.0.10.13
  • Port, na kterém naslouchá SSL Router: 443
  • Název souboru certifikátu: html5-gateway.p12
  • Heslo certifikátu: Str0ngP@ssw0rd
  • Volný port RPC: 9089

Soubor /etc/ipdiva/html5gateway-slave/html5gateway.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9089</rpc-listen>
[…]
</gateway>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9089</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Nakonec restartujte instanci HTML5 Gateway, aby se načetlo nové nastavení a instance se připojila k serveru Mediation Controller SLAVE: 

1
/usr/local/ipdiva/html5gateway-slave/bin/start

Konfigurace před připojením instancí HTML5 Gateway

Aby aplikace HTML5 fungovaly, je nutné nakonfigurovat další nastavení na serverech Mediation Controller. Přihlaste se jako root k serverům Mediation Controller MASTER a SLAVE.

Vytvořte nebo upravte soubor /etc/ipdiva/httpd/commonParameters.extra.conf a přidejte do něj pro HTML5 Gateway část odpovídající následující ukázce:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
<Location /URL_HTML5/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /URL_HTML5/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Kde:

  • URL_HTML5 je nutné nahradit obsahem pole URL komponenty HTML5 Gateway nakonfigurovaným v konzole pro správu během deklarace HTML5 Gateway (v případě clusteru jde obvykle o HTML5-1 a HTML5-2).
  • GW_NAME je nutné nahradit názvem komponenty Edge Gateway umístěné na stejném serveru jako HTML5 Gateway. Znak | na konci řádku musí zůstat zachován.
  • ORGANIZATION_NAME je nutné nahradit názvem organizace, ke které se předchozí komponenta Edge Gateway připojuje.
Příklad

Pro platformu s následujícím nastavením:

  • Název organizace: my-organization-name
  • Deklarace první komponenty HTML5 Gateway v konzole pro správu:
    • Name: html5-gateway-1
    • URL: HTML5-1
    • Protocol: WebSocket
  • Deklarace druhé komponenty HTML5 Gateway v konzole pro správu:
    • Name: html5-gateway-2
    • URL: HTML5-2
    • Protocol: WebSocket
  • Server Edge Gateway první komponenty HTML5 Gateway má:
    • Službu Edge Gateway s názvem edge-gateway-1
    • Službu HTML5 Gateway s názvem html5-gateway-1
  • Server Edge Gateway druhé komponenty HTML5 Gateway má:
    • Službu Edge Gateway s názvem edge-gateway-2
    • Službu HTML5 Gateway s názvem html5-gateway-2

Vytvořený konfigurační soubor /etc/ipdiva/httpd/commonParameters.extra.conf bude nastaven takto: 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
<Location /HTML5-1/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-1/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

<Location /HTML5-2/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-2/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Před použitím nového nastavení musíte ověřit, že nová konfigurace nezpůsobuje žádné blokující chyby webového serveru Apache2.
Za tímto účelem spusťte následující příkaz:

1
apache2ctl configtest

Pokud je odpověď Syntax OK, lze změny použít níže uvedeným příkazem. V opačném případě zkontrolujte svou konfiguraci v souboru /etc/ipdiva/httpd/commonParameters.extra.conf.

1
systemctl reload apache2

Konfigurace časového serveru NTP

Doporučuje se nastavit časový server, aby systémové hodiny zůstávaly aktuální. Potřebné kroky jsou popsány na stránce konfigurace NTP.