Přeskočit obsah

Instalace serveru Edge Gateway

Poznámka

Připomínáme, že přepnutí na root je na počítačích s Debianem nutné provést následujícím příkazem:

1
su -

Stažení zrcadla a potřebných nástrojů

Zrcadlo CyberElements Cleanroom 4.6 a podpisový klíč úložiště Systancia lze stáhnout z tohoto odkazu (vyžaduje vytvoření zákaznického účtu): Systancia Marketplace

Kromě zrcadla a klíče budou pro proces upgradu potřeba nástroje třetích stran:

  • Klient SSH (ve Windows můžete použít PuTTY)
  • Klient SCP (ve Windows lze použít nástroje WinSCP nebo FileZilla)

Pomocí klienta SSH se vzdáleně připojte ke svému serveru.

Pomocí klienta SCP přeneste soubory na vzdálený počítač.

Příprava instalace

Konfigurace sítě

Důrazně se doporučuje definovat pro server Edge Gateway statickou síťovou adresu. Za tímto účelem nejprve zjistěte název síťového rozhraní svého počítače a jeho adresu MAC. Spusťte následující příkaz jako root:

1
ip -br link | grep -ve "^lo"

Tento příkaz zobrazí název síťového rozhraní, jeho stav, jeho adresu MAC a nastavení rozhraní.

Příklad

Po provedení příkazu se zobrazí následující výstup:

1
ens192           UP             00:50:56:a1:56:9f <BROADCAST,MULTICAST,UP,LOWER_UP>

Název síťového rozhraní je ens192 a jeho adresa MAC je 00:50:56:a1:56:9f.

Po zjištění názvu síťového rozhraní a adresy MAC je nyní možné upravit síťovou konfiguraci počítače.
Upravte soubor /etc/network/interfaces podle následující šablony:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports INTERFACE_NAME
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw MAC_ADDRESS
    address IP_GW
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

Kde:

  • INTERFACE_NAME je nutné nahradit dříve zjištěným názvem síťového rozhraní.
  • MAC_ADDRESS je nutné nahradit dříve zjištěnou adresou MAC.
  • IP_GW je nutné nahradit IP adresou serveru.
  • NETMASK je nutné nahradit maskou sítě přidruženou k IP adrese.
  • NETWORK_GATEWAY je nutné nahradit výchozí síťovou bránou.
  • IP_DNS je nutné nahradit IP adresou serveru DNS. Pokud je třeba nakonfigurovat více serverů (maximálně 3), oddělte je mezerou.
  • DNS_SUFFIX je nutné nahradit příponou DNS, která se má použít. Pokud není třeba zadávat žádnou příponu, odstraňte tento řádek.
Příklad 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports ens192
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw 00:50:56:a1:56:9f
    address 172.16.10.10
    netmask 255.255.255.0
    gateway 172.16.10.254
    dns-nameservers 172.16.11.2 172.16.11.3
    dns-search domain.local

Před použitím konfigurace zbývá provést ještě tři kroky.

Prvním je instalace balíčků resolvconf a bridge-utils, aby bylo možné použít konfiguraci DNS zadanou v předchozím souboru a používat rozhraní br0:

1
apt install -y resolvconf bridge-utils

Druhým je kontrola konfigurace souboru /etc/hosts s ohledem na primární IP adresu počítače (IP_GW).
Za tímto účelem upravte soubor /etc/hosts a ověřte, že druhý řádek má následující formát:

2
IP_GW   FQDN    MACHINE_NAME
Příklad

Pokud se počítač jmenuje EDGE-GATEWAY, nepatří do žádné domény a jeho IP adresa IP_GW je 172.16.10.10, soubor se doplní takto:

2
172.16.10.10  EDGE-GATEWAY

Pokud počítač patří do domény DOMAIN.LOCAL, soubor se doplní takto:

2
172.16.10.10  EDGE-GATEWAY.DOMAIN.LOCAL   EDGE-GATEWAY

Pozor!

Nesprávná konfigurace souboru může způsobit chybu při instalaci balíčku collectd.

Zbývá jen restartovat server: 

1
reboot

Konfigurace správce balíčků APT

Pomocí klienta SCP nahrajte soubory stažené ze Systancia Marketplace do adresáře /tmp/ na serveru:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Přihlaste se k serveru jako root a poté spusťte následující příkazy, které rozbalí úložiště Systancia, nakonfigurují jeho použití v APT a ověří ho.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Důrazně doporučujeme zakázat instalaci nepotřebných balíčků při spouštění příkazů apt. Za tímto účelem spusťte následující příkaz:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Instalace serveru Edge Gateway pro CyberElements Bastion

Instalace základních komponent

Spusťte instalaci komponent následujícím příkazem jako root:

1
apt install -y ipdiva-base

Po stažení všech závislostí se otevře okno s výzvou k výběru typu serveru. Vyberte gateway:

Co dělat v případě chyby?

Pokud jsou v zadaných údajích chyby, pokračujte v instalaci balíčku ipdiva-base a poté server znovu nakonfigurujte následujícím příkazem:

1
dpkg-reconfigure ipdiva-base

Instalace komponent Edge Gateway

Poté spusťte instalaci komponent specifických pro Edge Gateway následujícím příkazem:

1
apt install -y ipdiva-safe-gateway ipdiva-gateway-setup

Komponenty serveru Edge Gateway jsou nyní nainstalovány. Zbývá jen restartovat počítač, aby se nově nainstalované komponenty mohly inicializovat:

1
reboot

Instalace komponent HTML5 Gateway

Následujícím příkazem spusťte instalaci komponent HTML5 Gateway na serveru Edge Gateway:

1
apt install -y ipdiva-html5gateway ipdiva-html5-webapp ipdiva-guacamole-server1

Následujícími příkazovými řádky povolte a nakonfigurujte funkce přenosu souborů a virtuální tiskárny:

1
2
3
apt install -y ghostscript
echo -e "printer=cyberelements HTML5 Printer\nprinterDriver=MS Publisher Imagesetter" > /etc/guacamole/printer-config
mkdir /home/systanciahtml5share

Nastavení specifická pro provoz CyberElements Bastion

Po použití síťového nastavení je ještě nutné připojit instance Edge Gateway a HTML5 Gateway k serverům Mediation Controller.
Za tímto účelem se první instance Edge Gateway a HTML5 Gateway připojí k serveru Mediation Controller MASTER, zatímco druhé instance se připojí k serveru Mediation Controller SLAVE.

Pozor!

Pokud se instalace Edge Gateway nenachází v síti LAN, a adresy RIP_MED_SSL_MASTER a RIP_MED_SSL_SLAVE proto nejsou dostupné (ani s NAT).
V takovém případě stačí nakonfigurovat pouze první instanci Edge Gateway a HTML5 Gateway, která bude nastavena pro připojení k VIP_MED_SSL.

V tomto kontextu lze použít virtuální zařízení Standalone. Virtuální zařízení Cluster je předkonfigurováno se dvěma instancemi, zatímco jeho protějšek Standalone je předkonfigurován s jedinou instancí.

Než budete pokračovat podle následujících pokynů, ověřte, že máte k dispozici tyto položky:

  • Certifikát pro připojované instance Edge Gateway a HTML5 Gateway
  • Certifikát pro službu nahrávání
  • Klient SSH (ve Windows můžete použít PuTTY)
  • Klient SCP (ve Windows lze použít nástroje WinSCP nebo FileZilla)

Přeneste certifikáty do adresáře /tmp/ počítače.

Vytvoření instancí pro připojení k serveru Mediation Controller SLAVE

Spusťte jako root následující příkazy a deklarujte novou instanci Edge Gateway a HTML5 Gateway, která bude použita pro připojení k serveru Mediation Controller SLAVE:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -slave
/usr/local/ipdiva/html5gateway/bin/gatewayCloner -slave

Připojení serverů Edge Gateway

Zkopírujte soubor certifikátu komponenty Edge Gateway do adresářů /etc/ipdiva/gateway/ssl/ a /etc/ipdiva/gateway-slave/ssl/. Můžete to provést spuštěním příkazů podobných následujícím jako root (nahraďte <CERT_NAME> názvem certifikátu pro Edge Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/gateway-slave/ssl/

Nakonfigurujte instance Edge Gateway tak, aby se mohly připojit k serverům Mediation Controller.
Konfigurace se liší podle serveru Mediation Controller, ke kterému se má instance připojit. Proveďte obě nastavení:

Upravte soubor /etc/ipdiva/gateway/gateway.xml a doplňte do něj následující údaje (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Nahraďte následující prvky:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: je nutné nahradit adresou RIP_MED_SSL_MASTER, znakem : a portem, na kterém naslouchá SSL Router, obvykle nastaveným na 443
  • keyfile.pem: je nutné nahradit názvem souboru certifikátu
  • PASSWORD: je nutné nahradit heslem certifikátu
Příklad

S ohledem na následující údaje:

  • RIP_MED_SSL_MASTER má hodnotu: 10.0.10.11
  • Port, na kterém naslouchá SSL Router: 443
  • Název souboru certifikátu: edge-gateway.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Soubor /etc/ipdiva/gateway/gateway.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9080</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Nakonec spusťte instanci Edge Gateway, aby se načetlo nové nastavení a instance se připojila k serveru Mediation Controller MASTER: 

1
/usr/local/ipdiva/gateway/bin/start

Upravte soubor /etc/ipdiva/gateway-slave/gateway.xml a doplňte do něj následující údaje (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte následující prvky:

  • @SERVER@: je nutné nahradit adresou RIP_MED_SSL_SLAVE
  • @SERVERPORT@: je nutné nahradit portem, na kterém naslouchá SSL Router, obvykle nastaveným na 443
  • keyfile.pem: je nutné nahradit názvem souboru certifikátu
  • PASSWORD: je nutné nahradit heslem certifikátu
  • @RPC_PORT@: je nutné nahradit volným portem TCP na počítači; obvykle se používá port 9081
Příklad

S ohledem na následující údaje:

  • RIP_MED_SSL_SLAVE má hodnotu: 10.0.10.13
  • Port, na kterém naslouchá SSL Router: 443
  • Název souboru certifikátu: edge-gateway.p12
  • Heslo certifikátu: Str0ngP@ssw0rd
  • Volný port RPC: 9081

Soubor /etc/ipdiva/gateway-slave/gateway.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9081</rpc-listen>
[…]
</gateway>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9081</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Nakonec spusťte instanci Edge Gateway, aby se načetlo nové nastavení a instance se připojila k serveru Mediation Controller SLAVE: 

1
/usr/local/ipdiva/gateway-slave/bin/start

Konfigurace služby nahrávání

Přesuňte certifikát pro službu nahrávání do adresáře /etc/ipdiva/careserver/ příkazem podobným tomuto (nahraďte <CERT_NAME> názvem příslušného certifikátu):

1
mv /tmp/<CERT_NAME> /etc/ipdiva/careserver/

Poté službu nakonfigurujte úpravou následujícího souboru: /etc/ipdiva/careserver/careserver.xml. Konfigurace souboru by měla vypadat přibližně takto (následující ukázka vynechává mnoho řádků souboru, které jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/recording_service.p12</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>

Proveďte následující změny:

  • Změňte IP adresu, na které naslouchá služba nahrávání, na 0.0.0.0 (naslouchání na všech dostupných IP adresách)
  • Nahraďte recording_service.p12 názvem certifikátu pro službu nahrávání
  • Nahraďte PASSWORD heslem certifikátu služby nahrávání
  • Přidejte řádek <element>http://127.0.0.1:9081</element>
Příklad

S ohledem na následující údaje:

  • Název souboru certifikátu: fqdn.edge-gateway.local.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Soubor /etc/ipdiva/careserver/careserver.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>


    <archivesdirectory>/var/lib/ipdiva/carerecord/archives</archivesdirectory>
    <recordingdirectory>/var/lib/ipdiva/carerecord/recording</recordingdirectory>
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
        <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
        <min-version>tls1.2</min-version>
        <max-version/>
        <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
        <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
        <verify-cert>true</verify-cert>
        <no-fail-if-no-peer-cert>true</no-fail-if-no-peer-cert>
    </ssl>
    <gopsize>10</gopsize>
        <webgopsize>5</webgopsize>
    <webfakeframespersec>2</webfakeframespersec>
        <webhlslistsize>20</webhlslistsize>
    <webcaptureinterval>10000</webcaptureinterval>
    <webcapturetimeout>30000</webcapturetimeout>
    <captureinterval>250</captureinterval>
    <hlslistsize>20</hlslistsize>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
</careserver>

Potvrďte nové nastavení restartováním služby nahrávání: 

1
systemctl restart ipdivacarerecord

Připojení instancí HTML5 Gateway

Pokud je třeba nakonfigurovat instanci HTML5 Gateway, spusťte na serveru Edge Gateway jako root následující příkaz, kterým povolíte automatické spouštění instance:

1
chmod +x /etc/ipdiva/services/50html5gateway

Zkopírujte soubor certifikátu komponenty HTML5 Gateway do adresářů /etc/ipdiva/html5gateway/ssl/ a /etc/ipdiva/html5gateway-slave/ssl/. Můžete to provést spuštěním příkazů podobných následujícím jako root (nahraďte <CERT_NAME> názvem certifikátu pro HTML5 Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/html5gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/html5gateway-slave/ssl/

Nakonfigurujte instance HTML5 Gateway tak, aby se mohly připojit k serverům Mediation Controller.
Konfigurace se liší podle serveru Mediation Controller, ke kterému se má instance připojit. Proveďte obě nastavení:

Upravte soubor /etc/ipdiva/html5gateway/html5gateway.xml a doplňte do něj následující údaje (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Nahraďte následující prvky:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: je nutné nahradit adresou RIP_MED_SSL_MASTER, znakem : a portem, na kterém naslouchá SSL Router, obvykle nastaveným na 443
  • keyfile.pem: je nutné nahradit názvem souboru certifikátu
  • PASSWORD: je nutné nahradit heslem certifikátu
Příklad

S ohledem na následující údaje:

  • RIP_MED_SSL_MASTER má hodnotu: 10.0.10.11
  • Port, na kterém naslouchá SSL Router: 443
  • Název souboru certifikátu: html5-gateway.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Soubor /etc/ipdiva/html5gateway/html5gateway.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9088</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Nakonec restartujte instanci HTML5 Gateway, aby se načetlo nové nastavení a instance se připojila k serveru Mediation Controller MASTER: 

1
/usr/local/ipdiva/html5gateway/bin/start

Upravte soubor /etc/ipdiva/html5gateway-slave/html5gateway.xml a doplňte do něj následující údaje (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte následující prvky:

  • @SERVER@: je nutné nahradit adresou RIP_MED_SSL_SLAVE
  • @SERVERPORT@: je nutné nahradit portem, na kterém naslouchá SSL Router, obvykle nastaveným na 443
  • keyfile.pem: je nutné nahradit názvem souboru certifikátu
  • PASSWORD: je nutné nahradit heslem certifikátu
  • @RPC_PORT@: je nutné nahradit volným portem TCP na počítači; obvykle se používá port 9089
Příklad

S ohledem na následující údaje:

  • RIP_MED_SSL_SLAVE má hodnotu: 10.0.10.13
  • Port, na kterém naslouchá SSL Router: 443
  • Název souboru certifikátu: html5-gateway.p12
  • Heslo certifikátu: Str0ngP@ssw0rd
  • Volný port RPC: 9089

Soubor /etc/ipdiva/html5gateway-slave/html5gateway.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9089</rpc-listen>
[…]
</gateway>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9089</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Nakonec restartujte instanci HTML5 Gateway, aby se načetlo nové nastavení a instance se připojila k serveru Mediation Controller SLAVE: 

1
/usr/local/ipdiva/html5gateway-slave/bin/start

Konfigurace před připojením instancí HTML5 Gateway

Aby aplikace HTML5 fungovaly, je nutné nakonfigurovat další nastavení na serverech Mediation Controller. Přihlaste se jako root k serverům Mediation Controller MASTER a SLAVE.

Vytvořte nebo upravte soubor /etc/ipdiva/httpd/commonParameters.extra.conf a přidejte do něj pro HTML5 Gateway část odpovídající následující ukázce:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
<Location /URL_HTML5/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /URL_HTML5/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Kde:

  • URL_HTML5 je nutné nahradit obsahem pole URL komponenty HTML5 Gateway nakonfigurovaným v konzole pro správu během deklarace HTML5 Gateway (v případě clusteru jde obvykle o HTML5-1 a HTML5-2).
  • GW_NAME je nutné nahradit názvem komponenty Edge Gateway umístěné na stejném serveru jako HTML5 Gateway. Znak | na konci řádku musí zůstat zachován.
  • ORGANIZATION_NAME je nutné nahradit názvem organizace, ke které se předchozí komponenta Edge Gateway připojuje.
Příklad

Pro platformu s následujícím nastavením:

  • Název organizace: my-organization-name
  • Deklarace první komponenty HTML5 Gateway v konzole pro správu:
    • Name: html5-gateway-1
    • URL: HTML5-1
    • Protocol: WebSocket
  • Deklarace druhé komponenty HTML5 Gateway v konzole pro správu:
    • Name: html5-gateway-2
    • URL: HTML5-2
    • Protocol: WebSocket
  • Server Edge Gateway první komponenty HTML5 Gateway má:
    • Službu Edge Gateway s názvem edge-gateway-1
    • Službu HTML5 Gateway s názvem html5-gateway-1
  • Server Edge Gateway druhé komponenty HTML5 Gateway má:
    • Službu Edge Gateway s názvem edge-gateway-2
    • Službu HTML5 Gateway s názvem html5-gateway-2

Vytvořený konfigurační soubor /etc/ipdiva/httpd/commonParameters.extra.conf bude nastaven takto: 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
<Location /HTML5-1/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-1/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

<Location /HTML5-2/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-2/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Před použitím nového nastavení musíte ověřit, že nová konfigurace nezpůsobuje žádné blokující chyby webového serveru Apache2.
Za tímto účelem spusťte následující příkaz:

1
apache2ctl configtest

Pokud je odpověď Syntax OK, lze změny použít níže uvedeným příkazem. V opačném případě zkontrolujte svou konfiguraci v souboru /etc/ipdiva/httpd/commonParameters.extra.conf.

1
systemctl reload apache2

Konfigurace časového serveru NTP

Doporučuje se nastavit časový server, aby systémové hodiny zůstávaly aktuální. Potřebné kroky jsou popsány na stránce konfigurace NTP.