Přeskočit obsah

Instalace serverů Mediation Controller

Poznámka

Připomínáme, že přepnutí na root je na počítačích s Debianem nutné provést následujícím příkazem:

1
su -

Pokyny uvedené na této stránce je třeba zopakovat na obou serverech Mediation Controller, počínaje serverem MASTER.
Pokud se mezi servery MASTER a SLAVE objeví rozdíly, budou zvýrazněny. Pokud o tom není zmínka, platí pokyny pro oba servery, MASTER i SLAVE.

Nastavení systému

Připojení k počítači

Ve výchozím nastavení má každé virtuální zařízení dva účty: uživatelský účet a účet superuživatele.

  • Uživatelský účet
    • Přihlašovací jméno: systancia
    • Heslo: systnci
  • Účet superuživatele
    • Přihlašovací jméno: root
    • Heslo: systnci

Připojte se k počítači v režimu konzoly.

Poznámka

Výchozí rozložení klávesnice je QWERTY.

Změna rozložení klávesnice

Rozložení klávesnice můžete změnit následujícím příkazem:

1
dpkg-reconfigure keyboard-configuration

Zobrazí se nabídka, ve které můžete zvolit jiné rozložení klávesnice.

Poté pomocí následujícího příkazu nastavení použijte a uložte:

1
setupcon -k --save

Nastavení se projeví ihned po spuštění tohoto příkazu.

Konfigurace sítě

Pro server Mediation Controller je nezbytné nakonfigurovat statickou síťovou adresu. Za tímto účelem nejprve zjistěte název síťového rozhraní svého počítače. Spusťte následující příkaz jako root:

1
ip -br a | grep -ve "^lo"

Tento příkaz zobrazí název síťového rozhraní, jeho stav a IP adresy přiřazené tomuto rozhraní.

Příklad

Po provedení příkazu se zobrazí následující výstup:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Název síťového rozhraní je ens192.

Po zjištění názvu síťového rozhraní je nyní možné upravit síťovou konfiguraci počítače.
Upravte soubor /etc/network/interfaces podle následující šablony:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Kde:

  • INTERFACE_NAME je nutné nahradit dříve zjištěným názvem síťového rozhraní.
  • RIP_MED_WEB_MASTER je nutné nahradit hlavní skutečnou IP adresou serveru, přes kterou budou dostupné webové konzoly.
  • NETMASK je nutné nahradit maskou sítě přidruženou k IP adrese.
  • NETWORK_GATEWAY je nutné nahradit výchozí síťovou bránou.
  • IP_DNS je nutné nahradit IP adresou serveru DNS. Pokud je třeba nakonfigurovat více serverů (maximálně 3), oddělte je mezerou.
  • DNS_SUFFIX je nutné nahradit příponou DNS, která se má použít. Pokud není třeba zadávat žádnou příponu, odstraňte tento řádek.
  • RIP_MED_SSL_MASTER je nutné nahradit sekundární skutečnou IP adresou serveru. Přes tuto IP adresu bude dostupný SSL Router.
Příklad 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Nakonec zbývá jen restartovat službu networking, aby se načetla nová síťová konfigurace: 

1
systemctl restart networking

Pro server Mediation Controller je nezbytné nakonfigurovat statickou síťovou adresu. Za tímto účelem nejprve zjistěte název síťového rozhraní svého počítače. Spusťte následující příkaz jako root:

1
ip -br a | grep -ve "^lo"

Tento příkaz zobrazí název síťového rozhraní, jeho stav a IP adresy přiřazené tomuto rozhraní.

Příklad

Po provedení příkazu se zobrazí následující výstup:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Název síťového rozhraní je ens192.

Po zjištění názvu síťového rozhraní je nyní možné upravit síťovou konfiguraci počítače.
Upravte soubor /etc/network/interfaces podle následující šablony:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Kde:

  • INTERFACE_NAME je nutné nahradit dříve zjištěným názvem síťového rozhraní.
  • RIP_MED_WEB_SLAVE je nutné nahradit hlavní skutečnou IP adresou serveru, přes kterou budou dostupné webové konzoly.
  • NETMASK je nutné nahradit maskou sítě přidruženou k IP adrese.
  • NETWORK_GATEWAY je nutné nahradit výchozí síťovou bránou.
  • IP_DNS je nutné nahradit IP adresou serveru DNS. Pokud je třeba nakonfigurovat více serverů (maximálně 3), oddělte je mezerou.
  • DNS_SUFFIX je nutné nahradit příponou DNS, která se má použít. Pokud není třeba zadávat žádnou příponu, odstraňte tento řádek.
  • RIP_MED_SSL_SLAVE je nutné nahradit sekundární skutečnou IP adresou serveru. Přes tuto IP adresu bude dostupný SSL Router.
Příklad 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Nakonec zbývá jen restartovat službu networking, aby se načetla nová síťová konfigurace: 

1
systemctl restart networking

Tip

Nyní, když bylo nastavení sítě použito, je server přístupný přes SSH.

Změna hesel místních účtů

CyberElements důrazně doporučuje změnit heslo těchto účtů, jakmile bude virtuální zařízení nasazeno.

Použijte následující příkaz a zadejte nové heslo pro standardní účet systancia:

1
passwd systancia

Poté operaci zopakujte pro účet superuživatele root:

1
passwd root

Konfigurace názvu počítače

Název serveru můžete změnit konfigurací souborů hostname a hosts serveru.

Upravte soubor /etc/hostname a zadejte v něm název počítače.
Produkt potřebuje nový název na jiném místě, proto je nutné vytvořit kopii předchozího souboru pomocí následujícího příkazu:

1
cp /etc/hostname /var/ipdiva/zopeChroot/etc/hostname

Je nutné zreplikovat konfiguraci souboru /etc/hosts vzhledem ke skutečné primární IP adrese počítače (RIP_MED_WEB_MASTER).
Za tímto účelem upravte soubor /etc/hosts a ověřte, že druhý řádek má následující formát:

2
RIP_MED_WEB_MASTER  FQDN    MACHINE_NAME
Příklad

Pokud se počítač jmenuje MEDIATION-CONTROLLER-MASTER, nepatří do domény a jeho skutečná IP adresa RIP_MED_WEB_MASTER je 10.0.10.10, bude soubor vyplněn takto:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER

Pokud počítač patří do domény DOMAIN.LOCAL, soubor se doplní takto:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER.DOMAIN.LOCAL   MEDIATION-CONTROLLER-MASTER

Je nutné zreplikovat konfiguraci souboru /etc/hosts vzhledem ke skutečné primární IP adrese počítače (RIP_MED_WEB_SLAVE).
Za tímto účelem upravte soubor /etc/hosts a ověřte, že druhý řádek má následující formát:

2
RIP_MED_WEB_SLAVE  FQDN    MACHINE_NAME
Příklad

Pokud se počítač jmenuje MEDIATION-CONTROLLER-SLAVE, nepatří do domény a jeho skutečná IP adresa RIP_MED_WEB_SLAVE je 10.0.10.12, bude soubor vyplněn takto:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE

Pokud počítač patří do domény DOMAIN.LOCAL, soubor se doplní takto:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE.DOMAIN.LOCAL   MEDIATION-CONTROLLER-SLAVE

Chcete-li použít novou konfiguraci, restartujte server:

1
reboot

Změna časového pásma

Ve výchozím nastavení je virtuální zařízení nastaveno na časové pásmo Europe/Paris.

Chcete-li toto časové pásmo změnit, nejprve pomocí následujícího příkazu zjistěte zápis dostupných časových pásem:

1
timedatectl list-timezones

Poté použijte následující příkaz:

1
timedatectl set-timezone your_time_zone
Příklad

Chcete-li nastavit časové pásmo na Londýn, je nutné spustit následující příkaz:

1
timedatectl set-timezone Europe/London

Časové pásmo serveru ověřte následujícím příkazem:

1
timedatectl

Inicializace serveru Mediation Controller

Inicializace serveru Mediation Controller

Server Mediation Controller se inicializuje pomocí konfiguračního skriptu. Tento skript překonfiguruje IP adresy clusteru v různých službách produktu a předem nakonfiguruje nastavení potřebná pro fungování komponenty HTML5 Gateway.
Spusťte ho jako root pomocí následujícího příkazového řádku:

1
/opt/systancia/initializeCluster

Skript vás vyzve k zadání následujících údajů:

  • IP VIP HTTPS: virtuální webová IP adresa clusteru, tedy VIP_MED_WEB.
  • IP VIP SSL: virtuální IP adresa SSL clusteru, tedy VIP_MED_SSL.
  • IP VIP ZIO: virtuální IP adresa pro připojení serveru Mediation Controller SLAVE k interní konfigurační databázi serveru MASTER, tedy VIP_MED_ZEO.
  • IP Master HTTPS: skutečná webová IP adresa serveru Mediation Controller MASTER, tedy RIP_MED_WEB_MASTER.
  • IP Master SSL: skutečná IP adresa pro SSL Router serveru Mediation Controller MASTER, tedy RIP_MED_SSL_MASTER.
  • IP Slave HTTPS: skutečná webová IP adresa serveru Mediation Controller SLAVE, tedy RIP_MED_WEB_SLAVE.
  • IP Slave SSL: skutečná IP adresa pro SSL Router serveru Mediation Controller SLAVE, tedy RIP_MED_SSL_SLAVE.
  • HTML5 port: místní port naslouchání pro přesměrování přístupu ke službě HTML5 Gateway; doporučujeme zadat port 1234.
  • Gateway: název serveru Edge Gateway; zadejte název prvního serveru Edge Gateway.
  • Organization: název organizace, ke které se budou připojovat servery Edge Gateway a HTML5 Gateway.

Po dokončení inicializace restartujte server:

1
reboot

Změna hesla konzoly CyberElements Gate /mediation/system

V této fázi instalace je k dispozici nové administrační rozhraní: Změnit heslo

Použití licencí a certifikátů

Stále v konzole /mediation/system bude nutné zadat certifikáty a licence serveru Mediation Controller.

Pozor!

Licence a certifikát komponenty SSL Router jsou specifické pro server Mediation Controller MASTER nebo SLAVE.
Konfigurace nesprávné licence nebo nesprávného certifikátu později způsobí poruchy funkčnosti.

Použijte licenci a certifikát pro komponentu SSL Router:

  1. Klikněte na kartu Settings.
  2. V nabídce vyberte SSL Connections.
  3. Vyhledejte certifikát pro SSL Router.
  4. Zadejte heslo certifikátu SSL Router.
  5. Kliknutím na Apply použijte certifikát na SSL Router.
  6. Vyberte soubor licence serveru.
  7. Kliknutím na Modify použijte licenci serveru.

Dále zadejte informace o certifikátu klienta CyberElements Bastion:

  1. Vyberte kartu Plugin.
  2. Vyhledejte certifikát klienta CyberElements Bastion.
  3. Zadejte heslo certifikátu.
  4. Kliknutím na Apply použijte certifikát.

Ještě je třeba zadat informace o certifikátu Watchdog:

  1. Vyberte kartu Watchdog
  2. Vyhledejte certifikát Watchdog.
  3. Zadejte heslo certifikátu.
  4. Kliknutím na Apply použijte certifikát.

Aby se tyto změny projevily, je nutné restartovat SSL Router a Watchdog:

Pairing serverů Mediation Controller

Pozor!

V tomto okamžiku musí být oba servery Mediation Controller nakonfigurovány až po použití licencí a certifikátů.
Pokud server Mediation Controller SLAVE ještě nebyl nakonfigurován, nakonfigurujte jej a začněte od začátku této dokumentace.

Krok pairingu serverů Mediation Controller vytvoří vztah důvěryhodnosti mezi oběma servery a inicializuje provoz clusteru.

Na serveru Mediation Controller SLAVE

Spusťte následující příkaz jako root, abyste zahájili požadavek na pairing se serverem Mediation Controller MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Nahraďte RIP_MED_WEB_MASTER příslušnou IP adresou.

Příklad

Pokud má RIP_MED_WEB_MASTER hodnotu 10.0.10.10, je třeba zadat následující příkaz:

1
hostManagerCtl bootstrap 10.0.10.10

Na serveru Mediation Controller MASTER

Spusťte následující příkaz jako root, abyste zkontrolovali čekající požadavky na pairing a získali ID požadavku: 

1
hostManagerCtl getPendingRequests

Poté spusťte následující příkaz, kterým přijmete požadavek na pairing, a ID nahraďte ID získaným předchozím příkazem:

1
hostManagerCtl acceptRequest ID
Příklad

Pokud je návratová hodnota příkazu hostManagerCtl getPendingRequests následující:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Pak příkaz pro přijetí požadavku na pairing vypadá takto:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Chcete-li přidružení ověřit, použijte na serveru Mediation Controller (MASTER nebo SLAVE) následující příkaz:

1
hostManagerCtl listPeers

Výsledek se bude lišit podle serveru, na kterém je příkaz spuštěn:

Očekávaný výsledek na serveru Mediation Controller MASTER je následující:

1
slave -> RIP_MED_WEB_SLAVE
Příklad 
1
slave -> 10.0.10.12

Očekávaný výsledek na serveru Mediation Controller SLAVE je následující:

1
master -> RIP_MED_WEB_MASTER
Příklad 
1
master -> 10.0.10.10

Na serveru Mediation Controller SLAVE

Stav bootstrapu můžete ze serveru SLAVE zkontrolovat následujícím příkazem:

1
hostManagerCtl getBootstrapStatus

Cluster, který nemá žádné potíže se synchronizací, vrátí hodnotu 0.

Je nutná ještě poslední série příkazů, opět na serveru SLAVE, která synchronizuje tajný kód sdílený mezi oběma servery Mediation Controller:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
K čemu slouží meziserverové připojení?

Jde o speciální připojení pro provoz clusteru, které serveru Mediation Controller umožňuje směrovat provoz na jiný server Mediation Controller v případech, kdy cílová komponenta Edge Gateway není připojena k prvnímu serveru, ale pouze k druhému.

Pokud například server Mediation Controller MASTER již není připojen ke komponentě Edge Gateway, může prostřednictvím meziserverového propojení dosáhnout na Edge Gateway přes server Mediation Controller SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Ztráta připojení| GW(Edge Gateway)
    MASTER --> |Meziserverové propojení| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Na serveru Mediation Controller MASTER

Upravte soubor /etc/ipdiva/server/remoteServers.xml a uveďte v něm CN meziserverového certifikátu:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Nahraďte SLAVECN hodnotou CN certifikátu určeného pro meziserverové připojení.
Pokud neznáte CN meziserverového certifikátu, lze zadat znak * (doporučeno v případě pochybností):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Příklad

S ohledem na následující údaje:

  • CN meziserverového certifikátu: my-interserver-cert

Soubor /etc/ipdiva/server/remoteServers.xml na serveru Mediation Controller MASTER by se doplnil takto:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Na serveru Mediation Controller SLAVE

Odešlete meziserverový certifikát na server Mediation Controller SLAVE do adresáře /tmp/.
Poté spusťte jako root následující příkazy, které jej přesunou do cílového adresáře s příslušnými oprávněními:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Poté upravte soubor /etc/ipdiva/server/remoteServers.xml a do značky <remoteConfig> přidejte následující obsah (starou značku <localCluster> lze zcela odstranit):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Nahraďte:

  • MASTERCN: zadejte CN certifikátu SSL Router serveru Mediation Controller MASTER, což je obvykle RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: odpovídá sekundární IP adrese serveru Mediation Controller MASTER.
  • PORT_RIP_MED_SSL_MASTER: port, na kterém naslouchá SSL Router serveru Mediation Controller MASTER; obvykle je to 443.
  • INTERSERVER.P12: název certifikátu určeného pro meziserverové připojení.
  • PASSWORD: heslo meziserverového certifikátu.
Příklad

S ohledem na následující údaje:

  • Název meziserverového certifikátu: my-interserver-cert.p12
  • Heslo meziserverového certifikátu: MySecurePassword
  • RIP SSL serveru Mediation Controller MASTER: 10.0.10.11
  • Port na RIP SSL serveru Mediation Controller MASTER: 443
  • CN certifikátu serveru Mediation Controller MASTER: 10.0.10.11

Soubor /etc/ipdiva/server/remoteServers.xml na serveru Mediation Controller SLAVE by se doplnil takto:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Upravte konfiguraci komponenty SSL Router SLAVE spuštěním následujícího příkazu:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Na serverech Mediation Controller MASTER a SLAVE

Restartujte SSL Router, aby se použilo nastavení meziserverového propojení:

1
/usr/local/ipdiva/server/bin/restart

Pokud meziserverové propojení funguje správně, měl by následující příkaz vrátit výsledek:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Předchozí příkaz by měl vytvořit log s následujícím obsahem: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Pokud se takový log nezobrazí, zkontrolujte konfiguraci provedenou v této kapitole.

Ve webové konzole /mediation/system serveru Mediation Controller MASTER

Povolte meziserverové připojení mezi oběma servery Mediation Controller úpravou virtuálního hostitele SSL default:

Vyplňte jednotlivá pole podle níže uvedených pokynů a povolte funkci meziserverového propojení zaškrtnutím políčka Is cross-server linking configured?:

  • Public address for plugin connections: odpovídá adrese VIP_MED_SSL následované jejím portem naslouchání (obvykle 443).
  • Actual public IP addresses for web connections: odpovídá dvojici skutečných webových IP adres (RIP_MED_WEB_MASTER a RIP_MED_WEB_SLAVE) s jejich příslušnými porty, jeden řádek na každou dvojici IP adresy a portu.
  • Actual public IP addresses for SSL connections: odpovídá dvojici skutečných IP adres SSL (RIP_MED_SSL_MASTER a RIP_MED_SSL_SLAVE) s jejich příslušnými porty, jeden řádek na každou dvojici IP adresy a portu.

Inicializace produktu CyberElements Bastion

Připojení k databázi PostgreSQL

Ke svému fungování vyžaduje CyberElements Bastion použití externí databáze PostgreSQL (DB), do které ukládá svá nastavení a různé logy konzoly /system.
Pokud je DB přímo dostupná ze serverů Mediation Controller, přejděte rovnou ke kroku inicializace DB.

Připojení k databázi v síti LAN

Aby bylo možné připojit se k databázi umístěné v síti LAN bez otevření toku z DMZ do LAN, bude tok databáze přesměrován přes tunel TLS mezi servery Edge Gateway a servery Mediation Controller.
K tomu je nutné nakonfigurovat jeden server Edge Gateway (nebo dva servery Edge Gateway) pomocí základní technologie CyberElements Gate.

Deklarace serverů Edge Gateway produktu CyberElements Gate

Za tímto účelem se nejprve přihlaste ke konzole /mediation/system v CyberElements Gate.

Poté přejděte do nabídky „Organizations“ a klikněte na „Add“:

Zadejte název organizace, který se musí lišit od názvu přiřazeného CyberElements Bastion (například tunnel), a uveďte alespoň jednu licenci uživatelské relace spolu s heslem účtu admin:

Přihlaste se k rozhraní pro správu dříve vytvořené organizace pomocí účtu admin tak, že přejdete na /gate/admin:

Poté deklarujte obě komponenty Edge Gateway, které budou použity k vytvoření tunelu.
Vlevo najeďte ukazatelem na Infrastructure, klikněte na Gateways a poté klikněte na tlačítko Add:

Zadejte název první komponenty Edge Gateway a potvrďte zadání:

Informace

Připomínáme, že název komponenty Edge Gateway je svázán s certifikátem, kterým se bude ověřovat vůči komponentě SSL Router serveru Mediation Controller.
Tento název má tvar <GW_NAME>@<ORGANIZATION_NAME>, kde <GW_NAME> odpovídá názvu komponenty Edge Gateway a <ORGANIZATION_NAME> odpovídá názvu organizace vytvořené v systémové konzole CyberElements Gate.

Zopakujte krok deklarace komponenty Edge Gateway pro druhou komponentu Edge Gateway.

Připojení a nastavení tunelu na serverech Edge Gateway

Informace

Následující kroky lze zopakovat na obou komponentách Edge Gateway používaných pro tunel k přístupu do databáze.

Předpoklady

K dokončení této části budete potřebovat jednu z těchto možností:

Nejprve pomocí nástroje, jako je WinSCP nebo FileZilla, přeneste přes SCP certifikát potřebný pro připojení do adresáře /tmp/ na serveru Edge Gateway.

Poté se připojte přes SSH a přepněte na root.

Chcete-li komponentu Edge Gateway připojit k oběma serverům Mediation Controller, musíte vytvořit dvě nové instance Edge Gateway: jedna se připojí k serveru Mediation Controller MASTER, druhá k serveru Mediation Controller SLAVE.
Chcete-li je vytvořit, spusťte následující příkazy:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Zkopírujte soubor certifikátu do adresářů /etc/ipdiva/gateway-tunnel-master/ssl/ a /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Nahraďte <CERT_NAME> názvem certifikátu, který musí komponenta Edge Gateway použít pro připojení k serveru Mediation Controller.

Nakonfigurujte instance Edge Gateway tak, aby se mohly připojit k serverům Mediation Controller.
Konfigurace se liší podle serveru Mediation Controller, ke kterému se má instance připojit. Proveďte obě nastavení:

Upravte soubor /etc/ipdiva/gateway-tunnel-master/gateway.xml a doplňte do něj následující údaje (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte následující prvky:

  • @SERVER@: je nutné nahradit adresou RIP_MED_SSL_MASTER
  • @SERVERPORT@: je nutné nahradit portem, na kterém naslouchá SSL Router, obvykle nastaveným na 443
  • keyfile.pem: je nutné nahradit názvem souboru certifikátu
  • PASSWORD: je nutné nahradit heslem certifikátu
  • @RPC_PORT@: je nutné nahradit portem, na kterém počítač aktuálně nenaslouchá; lze použít port 9082
Příklad

S ohledem na následující údaje:

  • RIP_MED_SSL_MASTER má hodnotu: 10.0.10.11
  • Port, na kterém naslouchá SSL Router: 443
  • Název souboru certifikátu: gate-tunnel.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Soubor /etc/ipdiva/gateway-tunnel-master/gateway.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Upravte soubor /etc/ipdiva/gateway-tunnel-slave/gateway.xml a doplňte do něj následující údaje (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte následující prvky:

  • @SERVER@: je nutné nahradit adresou RIP_MED_SSL_SLAVE
  • @SERVERPORT@: je nutné nahradit portem, na kterém naslouchá SSL Router, obvykle nastaveným na 443
  • keyfile.pem: je nutné nahradit názvem souboru certifikátu
  • PASSWORD: je nutné nahradit heslem certifikátu
  • @RPC_PORT@: je nutné nahradit portem, který se na počítači aktuálně nepoužívá; lze použít port 9083
Příklad

S ohledem na následující údaje:

  • RIP_MED_SSL_SLAVE má hodnotu: 10.0.10.13
  • Port, na kterém naslouchá SSL Router: 443
  • Název souboru certifikátu: gate-tunnel.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Soubor /etc/ipdiva/gateway-tunnel-slave/gateway.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Nyní, když jsou instance nakonfigurovány pro připojení k serverům Mediation Controller, je ještě nutné je nakonfigurovat tak, aby přesměrovaly připojení serverů Mediation Controller do databáze.
Za tímto účelem upravte soubor /etc/ipdiva/gateway-tunnel-master/services.xml takto: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Nahraďte DB_SERVER názvem DNS nebo IP adresou používanou pro připojení k databázi a DB_PORT portem, na kterém naslouchá instance databáze.
Zopakujte toto nastavení pro instanci připojující se k serveru Mediation Controller SLAVE zkopírováním souboru:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Nakonec spusťte instance Edge Gateway, aby navázaly připojení k serverům Mediation Controller:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Konfigurace tunelu serverů Mediation Controller

Aby servery Mediation Controller mohly tunel používat, je ještě nutné deklarovat jeho existenci.
Za tímto účelem se přihlaste jako root k serverům Mediation Controller a upravte soubor /etc/ipdiva/server/services.xml tak, že přidáte následující část (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Nahraďte následující prvky:

  • GW1_NAME názvem první komponenty Edge Gateway
  • GW2_NAME názvem druhé komponenty Edge Gateway
  • ORGANIZATION_NAME názvem dříve vytvořené organizace CyberElements Gate
Příklad

S ohledem na následující údaje:

  • Název komponenty Edge Gateway 1: gate-tunnel-1
  • Název komponenty Edge Gateway 2: gate-tunnel-2
  • Název organizace CyberElements Gate: tunnel

Soubor /etc/ipdiva/server/services.xml by se doplnil takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Chcete-li použít novou konfiguraci, restartujte SSL Router následujícím příkazem:

1
/usr/local/ipdiva/server/bin/restart

Inicializace databáze

Pozor!

Databázi default musíte vytvořit dříve, než ji CyberElements Bastion inicializuje (nevytváří se automaticky).

Chcete-li inicializovat databázi PostgreSQL se systémovou konfigurací, musíte nejprve nakonfigurovat nastavení připojení na serverech Mediation Controller.
Za tímto účelem upravte na obou serverech soubor /etc/ipdiva/care/databasesettings.ini a přidejte následující položky:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Nahraďte následující prvky:

  • DB_USERNAME uživatelským jménem používaným pro připojení k databázi.
  • DB_PWD heslem uživatele, který se připojuje.
  • DB_HOST IP adresou nebo názvem DNS používaným pro připojení k databázi; pokud se používá připojení přes komponenty Edge Gateway, je nutné zadat 127.0.0.1.
  • DB_PORT portem používaným pro připojení k instanci databáze; pokud se používá připojení přes komponenty Edge Gateway, je nutné zadat 1432.

Inicializaci databáze lze spustit následujícími příkazy, které se provádějí pouze na jednom serveru Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Poté zbývá jen restartovat službu apache2 na obou serverech Mediation Controller, aby se použila inicializace systémové databáze:

1
systemctl restart apache2

Konfigurace časového serveru NTP

Doporučuje se nastavit časový server, aby systémové hodiny zůstávaly aktuální. Potřebné kroky jsou popsány na stránce konfigurace NTP.

Počáteční konfigurace produktu CyberElements Bastion

Autorizace přístupu k webovým rozhraním pomocí virtuální IP adresy

Ve výchozím nastavení není povoleno připojovat se k webovým rozhraním produktu CyberElements Bastion přes virtuální IP adresu VIP_MED_WEB.
Chcete-li tuto autorizaci přidat, spusťte jako root na serverech Mediation Controller následující příkazy:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Nahraďte IP IP adresou odpovídající VIP_MED_WEB.

Počáteční konfigurace

V této fázi jsou servery Mediation Controller nainstalovány, ale je ještě třeba provést několik akcí:

  • Změňte výchozí hesla

    Změňte výchozí hesla systémových konzol.

    Změnit

  • Nainstalujte certifikáty a licence

    Server Mediation Controller vyžaduje ke svému provozu různé certifikáty a licenci.
    Pouze certifikát pro klienta CyberElements Bastion je nutné znovu deklarovat na obou serverech Mediation Controller (použijte RIP RIP_MED_WEB_MASTER a RIP_MED_WEB_SLAVE).

    Nainstalovat certifikáty a licenci

  • Nakonfigurujte webový certifikát

    Nakonfigurujte webový certifikát používaný pro připojení k webovým rozhraním

    Nakonfigurovat

  • Deklarujte název DNS

    Přidejte název DNS, kterému je povoleno připojovat se k webovým rozhraním.

    Přidat