Přeskočit obsah

Instalace serverů Mediation Controller

Poznámka

Připomínáme, že přepnutí na root je na počítačích s Debianem nutné provést následujícím příkazem:

1
su -

Pokyny uvedené na této stránce je třeba zopakovat na obou serverech Mediation Controller, počínaje serverem MASTER.
Pokud se mezi servery MASTER a SLAVE objeví rozdíly, budou zvýrazněny. Pokud o tom není zmínka, platí pokyny pro oba servery, MASTER i SLAVE.

Stažení zrcadla a potřebných nástrojů

Zrcadlo CyberElements Cleanroom 4.6 a podpisový klíč úložiště Systancia lze stáhnout z tohoto odkazu (vyžaduje vytvoření zákaznického účtu): Systancia Marketplace

Kromě zrcadla a klíče budou pro proces upgradu potřeba nástroje třetích stran:

  • Klient SSH (ve Windows můžete použít PuTTY)
  • Klient SCP (ve Windows lze použít nástroje WinSCP nebo FileZilla)

Pomocí klienta SSH se vzdáleně připojte ke svému serveru.

Pomocí klienta SCP přeneste soubory na vzdálený počítač.

Příprava instalace

Konfigurace sítě

Nainstalujte balíček resolvconf, aby bylo možné použít konfiguraci DNS zadanou v konfiguračním souboru, který bude za chvíli upraven:

1
apt install -y resolvconf

Pro server Mediation Controller je nezbytné nakonfigurovat statickou síťovou adresu. Za tímto účelem nejprve zjistěte název síťového rozhraní svého počítače. Spusťte následující příkaz jako root:

1
ip -br a | grep -ve "^lo"

Tento příkaz zobrazí název síťového rozhraní, jeho stav a IP adresy přiřazené tomuto rozhraní.

Příklad

Po provedení příkazu se zobrazí následující výstup:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Název síťového rozhraní je ens192.

Po zjištění názvu síťového rozhraní je nyní možné upravit síťovou konfiguraci počítače.
Upravte soubor /etc/network/interfaces podle následující šablony:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Kde:

  • INTERFACE_NAME je nutné nahradit dříve zjištěným názvem síťového rozhraní.
  • RIP_MED_WEB_MASTER je nutné nahradit hlavní skutečnou IP adresou serveru, přes kterou budou dostupné webové konzoly.
  • NETMASK je nutné nahradit maskou sítě přidruženou k IP adrese.
  • NETWORK_GATEWAY je nutné nahradit výchozí síťovou bránou.
  • IP_DNS je nutné nahradit IP adresou serveru DNS. Pokud je třeba nakonfigurovat více serverů (maximálně 3), oddělte je mezerou.
  • DNS_SUFFIX je nutné nahradit příponou DNS, která se má použít. Pokud není třeba zadávat žádnou příponu, odstraňte tento řádek.
  • RIP_MED_SSL_MASTER je nutné nahradit sekundární skutečnou IP adresou serveru. Přes tuto IP adresu bude dostupný SSL Router.
Příklad 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Nakonec zbývá jen restartovat službu networking, aby se načetla nová síťová konfigurace: 

1
systemctl restart networking

Pro server Mediation Controller je nezbytné nakonfigurovat statickou síťovou adresu. Za tímto účelem nejprve zjistěte název síťového rozhraní svého počítače. Spusťte následující příkaz jako root:

1
ip -br a | grep -ve "^lo"

Tento příkaz zobrazí název síťového rozhraní, jeho stav a IP adresy přiřazené tomuto rozhraní.

Příklad

Po provedení příkazu se zobrazí následující výstup:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Název síťového rozhraní je ens192.

Po zjištění názvu síťového rozhraní je nyní možné upravit síťovou konfiguraci počítače.
Upravte soubor /etc/network/interfaces podle následující šablony:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Kde:

  • INTERFACE_NAME je nutné nahradit dříve zjištěným názvem síťového rozhraní.
  • RIP_MED_WEB_SLAVE je nutné nahradit hlavní skutečnou IP adresou serveru, přes kterou budou dostupné webové konzoly.
  • NETMASK je nutné nahradit maskou sítě přidruženou k IP adrese.
  • NETWORK_GATEWAY je nutné nahradit výchozí síťovou bránou.
  • IP_DNS je nutné nahradit IP adresou serveru DNS. Pokud je třeba nakonfigurovat více serverů (maximálně 3), oddělte je mezerou.
  • DNS_SUFFIX je nutné nahradit příponou DNS, která se má použít. Pokud není třeba zadávat žádnou příponu, odstraňte tento řádek.
  • RIP_MED_SSL_SLAVE je nutné nahradit sekundární skutečnou IP adresou serveru. Přes tuto IP adresu bude dostupný SSL Router.
Příklad 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Nakonec zbývá jen restartovat službu networking, aby se načetla nová síťová konfigurace: 

1
systemctl restart networking

Zbývá poslední krok: upravit interní překlad názvů počítače tak, aby překládal jeho skutečnou primární IP adresu (odpovídající RIP_MED_WEB_MASTER nebo RIP_MED_WEB_SLAVE).
Za tímto účelem upravte soubor /etc/hosts a nahraďte 127.0.1.1 hodnotou RIP_MED_WEB_MASTER nebo RIP_MED_WEB_SLAVE podle serveru Mediation Controller.

Příklad

Pro server Mediation Controller, jehož skutečná webová IP adresa je 10.0.10.10 a jehož název je mediation-controller.domain.local, bude mít soubor /etc/hosts následující hodnotu:

1
2
127.0.0.1       localhost
10.0.10.10      mediation-controller.domain.local   mediation-controller

Pozor!

Nesprávná konfigurace souboru může způsobit chybu při instalaci balíčku collectd.

Konfigurace správce balíčků APT

Pomocí klienta SCP nahrajte soubory stažené ze Systancia Marketplace do adresáře /tmp/ na serveru:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Přihlaste se k serveru jako root a poté spusťte následující příkazy, které rozbalí úložiště Systancia, nakonfigurují jeho použití v APT a ověří ho.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Důrazně doporučujeme zakázat instalaci nepotřebných balíčků při spouštění příkazů apt. Za tímto účelem spusťte následující příkaz:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Kontrola přítomnosti národního prostředí en_US.utf8

Instalace serveru Mediation Controller vyžaduje vygenerování národních prostředí en_US.utf8.
Chcete-li zkontrolovat, zda již byla na serveru vygenerována, spusťte jako root následující příkaz:

1
locale -a  | grep en_US.utf8

Pokud výstup příkazu zobrazí en_US.utf8, přejděte k dalšímu kroku, konfiguraci GRUB.
V opačném případě spusťte následující příkazy a přidejte toto národní prostředí do počítače:

1
2
sed -i "s/# en_US.UTF-8 UTF-8/en_US.UTF-8 UTF-8/" /etc/locale.gen
locale-gen

Konfigurace zaváděcího programu GRUB

Po provedení těchto příkazů musíte počítač restartovat, a to po použití nastavení v zaváděcím programu GRUB:

1
2
3
sed '9s/quiet/quiet vsyscall=emulate/' -i /etc/default/grub
update-grub
reboot

Instalace serveru Mediation Controller pro CyberElements Bastion

Instalace základních komponent

Spusťte instalaci komponent následujícím příkazem jako root:

1
apt install -y ipdiva-base

Po stažení všech závislostí se otevře okno s výzvou k výběru typu serveru. Vyberte mediation:

Potom vyberte instalační režim lbMaster:

Potom vyberte instalační režim lbSlave:

Potom budete muset zadat port, na kterém bude naslouchat SSL Router. Tento port naslouchání je obvykle nastaven na 443, ale lze použít i port 8443, pokud server Mediation Controller používá pouze jednu IP adresu:

Potom nastavte režim Cluster na loadbalancing, aby se zatížení uživateli rozložilo na oba servery Mediation Controller:

Zadejte webovou virtuální IP adresu clusteru, VIP_MED_WEB:

Zadejte virtuální IP adresu SSL clusteru, VIP_MED_SSL:

Zadejte virtuální IP adresu konfigurační databáze clusteru, VIP_MED_ZEO:

Zadejte skutečnou webovou IP adresu serveru Mediation Controller MASTER, RIP_MED_WEB_MASTER:

Zadejte skutečnou IP adresu SSL serveru Mediation Controller MASTER, RIP_MED_SSL_MASTER:

Zadejte skutečnou webovou IP adresu serveru Mediation Controller SLAVE, RIP_MED_WEB_SLAVE:

Nakonec zadejte skutečnou IP adresu SSL serveru Mediation Controller SLAVE, RIP_MED_SSL_SLAVE:

Co dělat v případě chyby?

Pokud jsou v zadaných údajích chyby, pokračujte v instalaci balíčku ipdiva-base a poté server znovu nakonfigurujte následujícím příkazem:

1
dpkg-reconfigure ipdiva-base

Instalace komponent Cluster

Po instalaci základních komponent je nutné na servery Mediation Controller nainstalovat komponenty Cluster:

1
apt install -y ipdiva-mediation-cluster

Po instalaci komponent je nutný restart:

1
reboot

Konfigurace clusteru

Změna hesla konzoly CyberElements Gate /mediation/system

V této fázi instalace je k dispozici nové administrační rozhraní: Změnit heslo

Použití licencí a certifikátů

Stále v konzole /mediation/system bude nutné zadat certifikáty a licence serveru Mediation Controller.

Pozor!

Licence a certifikát komponenty SSL Router jsou specifické pro server Mediation Controller MASTER nebo SLAVE.
Konfigurace nesprávné licence nebo nesprávného certifikátu později způsobí poruchy funkčnosti.

Použijte licenci a certifikát pro komponentu SSL Router:

  1. Klikněte na kartu Settings.
  2. V nabídce vyberte SSL Connections.
  3. Vyhledejte certifikát pro SSL Router.
  4. Zadejte heslo certifikátu SSL Router.
  5. Kliknutím na Apply použijte certifikát na SSL Router.
  6. Vyberte soubor licence serveru.
  7. Kliknutím na Modify použijte licenci serveru.

Dále zadejte informace o certifikátu klienta CyberElements Bastion:

  1. Vyberte kartu Plugin.
  2. Vyhledejte certifikát klienta CyberElements Bastion.
  3. Zadejte heslo certifikátu.
  4. Kliknutím na Apply použijte certifikát.

Ještě je třeba zadat informace o certifikátu Watchdog:

  1. Vyberte kartu Watchdog
  2. Vyhledejte certifikát Watchdog.
  3. Zadejte heslo certifikátu.
  4. Kliknutím na Apply použijte certifikát.

Aby se tyto změny projevily, je nutné restartovat SSL Router a Watchdog:

Pairing serverů Mediation Controller

Pozor!

V tomto okamžiku musí být oba servery Mediation Controller nakonfigurovány až po použití licencí a certifikátů.
Pokud server Mediation Controller SLAVE ještě nebyl nakonfigurován, nakonfigurujte jej a začněte od začátku této dokumentace.

Krok pairingu serverů Mediation Controller vytvoří vztah důvěryhodnosti mezi oběma servery a inicializuje provoz clusteru.

Na serveru Mediation Controller SLAVE

Spusťte následující příkaz jako root, abyste zahájili požadavek na pairing se serverem Mediation Controller MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Nahraďte RIP_MED_WEB_MASTER příslušnou IP adresou.

Příklad

Pokud má RIP_MED_WEB_MASTER hodnotu 10.0.10.10, je třeba zadat následující příkaz:

1
hostManagerCtl bootstrap 10.0.10.10

Na serveru Mediation Controller MASTER

Spusťte následující příkaz jako root, abyste zkontrolovali čekající požadavky na pairing a získali ID požadavku: 

1
hostManagerCtl getPendingRequests

Poté spusťte následující příkaz, kterým přijmete požadavek na pairing, a ID nahraďte ID získaným předchozím příkazem:

1
hostManagerCtl acceptRequest ID
Příklad

Pokud je návratová hodnota příkazu hostManagerCtl getPendingRequests následující:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Pak příkaz pro přijetí požadavku na pairing vypadá takto:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Chcete-li přidružení ověřit, použijte na serveru Mediation Controller (MASTER nebo SLAVE) následující příkaz:

1
hostManagerCtl listPeers

Výsledek se bude lišit podle serveru, na kterém je příkaz spuštěn:

Očekávaný výsledek na serveru Mediation Controller MASTER je následující:

1
slave -> RIP_MED_WEB_SLAVE
Příklad 
1
slave -> 10.0.10.12

Očekávaný výsledek na serveru Mediation Controller SLAVE je následující:

1
master -> RIP_MED_WEB_MASTER
Příklad 
1
master -> 10.0.10.10

Na serveru Mediation Controller SLAVE

Stav bootstrapu můžete ze serveru SLAVE zkontrolovat následujícím příkazem:

1
hostManagerCtl getBootstrapStatus

Cluster, který nemá žádné potíže se synchronizací, vrátí hodnotu 0.

Je nutná ještě poslední série příkazů, opět na serveru SLAVE, která synchronizuje tajný kód sdílený mezi oběma servery Mediation Controller:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
K čemu slouží meziserverové připojení?

Jde o speciální připojení pro provoz clusteru, které serveru Mediation Controller umožňuje směrovat provoz na jiný server Mediation Controller v případech, kdy cílová komponenta Edge Gateway není připojena k prvnímu serveru, ale pouze k druhému.

Pokud například server Mediation Controller MASTER již není připojen ke komponentě Edge Gateway, může prostřednictvím meziserverového propojení dosáhnout na Edge Gateway přes server Mediation Controller SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Ztráta připojení| GW(Edge Gateway)
    MASTER --> |Meziserverové propojení| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Na serveru Mediation Controller MASTER

Upravte soubor /etc/ipdiva/server/remoteServers.xml a uveďte v něm CN meziserverového certifikátu:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Nahraďte SLAVECN hodnotou CN certifikátu určeného pro meziserverové připojení.
Pokud neznáte CN meziserverového certifikátu, lze zadat znak * (doporučeno v případě pochybností):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Příklad

S ohledem na následující údaje:

  • CN meziserverového certifikátu: my-interserver-cert

Soubor /etc/ipdiva/server/remoteServers.xml na serveru Mediation Controller MASTER by se doplnil takto:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Na serveru Mediation Controller SLAVE

Odešlete meziserverový certifikát na server Mediation Controller SLAVE do adresáře /tmp/.
Poté spusťte jako root následující příkazy, které jej přesunou do cílového adresáře s příslušnými oprávněními:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Poté upravte soubor /etc/ipdiva/server/remoteServers.xml a do značky <remoteConfig> přidejte následující obsah (starou značku <localCluster> lze zcela odstranit):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Nahraďte:

  • MASTERCN: zadejte CN certifikátu SSL Router serveru Mediation Controller MASTER, což je obvykle RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: odpovídá sekundární IP adrese serveru Mediation Controller MASTER.
  • PORT_RIP_MED_SSL_MASTER: port, na kterém naslouchá SSL Router serveru Mediation Controller MASTER; obvykle je to 443.
  • INTERSERVER.P12: název certifikátu určeného pro meziserverové připojení.
  • PASSWORD: heslo meziserverového certifikátu.
Příklad

S ohledem na následující údaje:

  • Název meziserverového certifikátu: my-interserver-cert.p12
  • Heslo meziserverového certifikátu: MySecurePassword
  • RIP SSL serveru Mediation Controller MASTER: 10.0.10.11
  • Port na RIP SSL serveru Mediation Controller MASTER: 443
  • CN certifikátu serveru Mediation Controller MASTER: 10.0.10.11

Soubor /etc/ipdiva/server/remoteServers.xml na serveru Mediation Controller SLAVE by se doplnil takto:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Upravte konfiguraci komponenty SSL Router SLAVE spuštěním následujícího příkazu:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Na serverech Mediation Controller MASTER a SLAVE

Restartujte SSL Router, aby se použilo nastavení meziserverového propojení:

1
/usr/local/ipdiva/server/bin/restart

Pokud meziserverové propojení funguje správně, měl by následující příkaz vrátit výsledek:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Předchozí příkaz by měl vytvořit log s následujícím obsahem: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Pokud se takový log nezobrazí, zkontrolujte konfiguraci provedenou v této kapitole.

Ve webové konzole /mediation/system serveru Mediation Controller MASTER

Povolte meziserverové připojení mezi oběma servery Mediation Controller úpravou virtuálního hostitele SSL default:

Vyplňte jednotlivá pole podle níže uvedených pokynů a povolte funkci meziserverového propojení zaškrtnutím políčka Is cross-server linking configured?:

  • Public address for plugin connections: odpovídá adrese VIP_MED_SSL následované jejím portem naslouchání (obvykle 443).
  • Actual public IP addresses for web connections: odpovídá dvojici skutečných webových IP adres (RIP_MED_WEB_MASTER a RIP_MED_WEB_SLAVE) s jejich příslušnými porty, jeden řádek na každou dvojici IP adresy a portu.
  • Actual public IP addresses for SSL connections: odpovídá dvojici skutečných IP adres SSL (RIP_MED_SSL_MASTER a RIP_MED_SSL_SLAVE) s jejich příslušnými porty, jeden řádek na každou dvojici IP adresy a portu.

Instalace specifických komponent CyberElements Bastion

Spusťte instalaci komponent CyberElements Bastion na servery Mediation Controller pomocí následujícího příkazu:

1
apt install -y ipdiva-safe-server

Pro dokončení instalace je nutné servery restartovat:

1
reboot

Připojení k databázi PostgreSQL

Ke svému fungování vyžaduje CyberElements Bastion použití externí databáze PostgreSQL (DB), do které ukládá svá nastavení a různé logy konzoly /system.
Pokud je DB přímo dostupná ze serverů Mediation Controller, přejděte rovnou ke kroku inicializace DB.

Připojení k databázi v síti LAN

Aby bylo možné připojit se k databázi umístěné v síti LAN bez otevření toku z DMZ do LAN, bude tok databáze přesměrován přes tunel TLS mezi servery Edge Gateway a servery Mediation Controller.
K tomu je nutné nakonfigurovat jeden server Edge Gateway (nebo dva servery Edge Gateway) pomocí základní technologie CyberElements Gate.

Deklarace serverů Edge Gateway produktu CyberElements Gate

Za tímto účelem se nejprve přihlaste ke konzole /mediation/system v CyberElements Gate.

Poté přejděte do nabídky „Organizations“ a klikněte na „Add“:

Zadejte název organizace, který se musí lišit od názvu přiřazeného CyberElements Bastion (například tunnel), a uveďte alespoň jednu licenci uživatelské relace spolu s heslem účtu admin:

Přihlaste se k rozhraní pro správu dříve vytvořené organizace pomocí účtu admin tak, že přejdete na /gate/admin:

Poté deklarujte obě komponenty Edge Gateway, které budou použity k vytvoření tunelu.
Vlevo najeďte ukazatelem na Infrastructure, klikněte na Gateways a poté klikněte na tlačítko Add:

Zadejte název první komponenty Edge Gateway a potvrďte zadání:

Informace

Připomínáme, že název komponenty Edge Gateway je svázán s certifikátem, kterým se bude ověřovat vůči komponentě SSL Router serveru Mediation Controller.
Tento název má tvar <GW_NAME>@<ORGANIZATION_NAME>, kde <GW_NAME> odpovídá názvu komponenty Edge Gateway a <ORGANIZATION_NAME> odpovídá názvu organizace vytvořené v systémové konzole CyberElements Gate.

Zopakujte krok deklarace komponenty Edge Gateway pro druhou komponentu Edge Gateway.

Připojení a nastavení tunelu na serverech Edge Gateway

Informace

Následující kroky lze zopakovat na obou komponentách Edge Gateway používaných pro tunel k přístupu do databáze.

Předpoklady

K dokončení této části budete potřebovat jednu z těchto možností:

Nejprve pomocí nástroje, jako je WinSCP nebo FileZilla, přeneste přes SCP certifikát potřebný pro připojení do adresáře /tmp/ na serveru Edge Gateway.

Poté se připojte přes SSH a přepněte na root.

Chcete-li komponentu Edge Gateway připojit k oběma serverům Mediation Controller, musíte vytvořit dvě nové instance Edge Gateway: jedna se připojí k serveru Mediation Controller MASTER, druhá k serveru Mediation Controller SLAVE.
Chcete-li je vytvořit, spusťte následující příkazy:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Zkopírujte soubor certifikátu do adresářů /etc/ipdiva/gateway-tunnel-master/ssl/ a /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Nahraďte <CERT_NAME> názvem certifikátu, který musí komponenta Edge Gateway použít pro připojení k serveru Mediation Controller.

Nakonfigurujte instance Edge Gateway tak, aby se mohly připojit k serverům Mediation Controller.
Konfigurace se liší podle serveru Mediation Controller, ke kterému se má instance připojit. Proveďte obě nastavení:

Upravte soubor /etc/ipdiva/gateway-tunnel-master/gateway.xml a doplňte do něj následující údaje (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte následující prvky:

  • @SERVER@: je nutné nahradit adresou RIP_MED_SSL_MASTER
  • @SERVERPORT@: je nutné nahradit portem, na kterém naslouchá SSL Router, obvykle nastaveným na 443
  • keyfile.pem: je nutné nahradit názvem souboru certifikátu
  • PASSWORD: je nutné nahradit heslem certifikátu
  • @RPC_PORT@: je nutné nahradit portem, na kterém počítač aktuálně nenaslouchá; lze použít port 9082
Příklad

S ohledem na následující údaje:

  • RIP_MED_SSL_MASTER má hodnotu: 10.0.10.11
  • Port, na kterém naslouchá SSL Router: 443
  • Název souboru certifikátu: gate-tunnel.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Soubor /etc/ipdiva/gateway-tunnel-master/gateway.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Upravte soubor /etc/ipdiva/gateway-tunnel-slave/gateway.xml a doplňte do něj následující údaje (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte následující prvky:

  • @SERVER@: je nutné nahradit adresou RIP_MED_SSL_SLAVE
  • @SERVERPORT@: je nutné nahradit portem, na kterém naslouchá SSL Router, obvykle nastaveným na 443
  • keyfile.pem: je nutné nahradit názvem souboru certifikátu
  • PASSWORD: je nutné nahradit heslem certifikátu
  • @RPC_PORT@: je nutné nahradit portem, který se na počítači aktuálně nepoužívá; lze použít port 9083
Příklad

S ohledem na následující údaje:

  • RIP_MED_SSL_SLAVE má hodnotu: 10.0.10.13
  • Port, na kterém naslouchá SSL Router: 443
  • Název souboru certifikátu: gate-tunnel.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Soubor /etc/ipdiva/gateway-tunnel-slave/gateway.xml by se nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Nyní, když jsou instance nakonfigurovány pro připojení k serverům Mediation Controller, je ještě nutné je nakonfigurovat tak, aby přesměrovaly připojení serverů Mediation Controller do databáze.
Za tímto účelem upravte soubor /etc/ipdiva/gateway-tunnel-master/services.xml takto: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Nahraďte DB_SERVER názvem DNS nebo IP adresou používanou pro připojení k databázi a DB_PORT portem, na kterém naslouchá instance databáze.
Zopakujte toto nastavení pro instanci připojující se k serveru Mediation Controller SLAVE zkopírováním souboru:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Nakonec spusťte instance Edge Gateway, aby navázaly připojení k serverům Mediation Controller:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Konfigurace tunelu serverů Mediation Controller

Aby servery Mediation Controller mohly tunel používat, je ještě nutné deklarovat jeho existenci.
Za tímto účelem se přihlaste jako root k serverům Mediation Controller a upravte soubor /etc/ipdiva/server/services.xml tak, že přidáte následující část (několik částí bylo vynecháno a jsou označeny […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Nahraďte následující prvky:

  • GW1_NAME názvem první komponenty Edge Gateway
  • GW2_NAME názvem druhé komponenty Edge Gateway
  • ORGANIZATION_NAME názvem dříve vytvořené organizace CyberElements Gate
Příklad

S ohledem na následující údaje:

  • Název komponenty Edge Gateway 1: gate-tunnel-1
  • Název komponenty Edge Gateway 2: gate-tunnel-2
  • Název organizace CyberElements Gate: tunnel

Soubor /etc/ipdiva/server/services.xml by se doplnil takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Úplný soubor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Chcete-li použít novou konfiguraci, restartujte SSL Router následujícím příkazem:

1
/usr/local/ipdiva/server/bin/restart

Inicializace databáze

Pozor!

Databázi default musíte vytvořit dříve, než ji CyberElements Bastion inicializuje (nevytváří se automaticky).

Chcete-li inicializovat databázi PostgreSQL se systémovou konfigurací, musíte nejprve nakonfigurovat nastavení připojení na serverech Mediation Controller.
Za tímto účelem upravte na obou serverech soubor /etc/ipdiva/care/databasesettings.ini a přidejte následující položky:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Nahraďte následující prvky:

  • DB_USERNAME uživatelským jménem používaným pro připojení k databázi.
  • DB_PWD heslem uživatele, který se připojuje.
  • DB_HOST IP adresou nebo názvem DNS používaným pro připojení k databázi; pokud se používá připojení přes komponenty Edge Gateway, je nutné zadat 127.0.0.1.
  • DB_PORT portem používaným pro připojení k instanci databáze; pokud se používá připojení přes komponenty Edge Gateway, je nutné zadat 1432.

Inicializaci databáze lze spustit následujícími příkazy, které se provádějí pouze na jednom serveru Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Poté zbývá jen restartovat službu apache2 na obou serverech Mediation Controller, aby se použila inicializace systémové databáze:

1
systemctl restart apache2

Instalace ovladačů pro připojení k databázím Microsoft SQL

Pokud se chcete připojit k externí databázi a jde o Microsoft SQL Server, je nutné nainstalovat další ovladače ODBC.

K dispozici jsou dvě verze: verze 17 a verze 18.

Pro ovladače verze 18 je vyžadováno připojení TLS

Použití ovladačů ODBC 18 vyžaduje, aby bylo připojení šifrováno pomocí TLS. Za tímto účelem je nutné nakonfigurovat MS SQL Server pro šifrování připojení.

Před zahájením instalace ovladačů ODBC musíte nainstalovat balíčky potřebné pro přípravu a poté připravit úložiště Microsoft pro instalaci balíčků:

1
2
3
4
apt install -y curl apt-transport-https gpg
curl -fsSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor -o /usr/share/keyrings/microsoft-prod.gpg
curl https://packages.microsoft.com/config/debian/12/prod.list > /etc/apt/sources.list.d/mssql-release.list
apt update

Poté nainstalujte ovladače podle zvolené verze a nakonfigurujte systém pro použití příkazu sqlcmd:

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql17 mssql-tools python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools/bin/sqlcmd /usr/bin/sqlcmd

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql18 mssql-tools18 python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools18/bin/sqlcmd /usr/bin/sqlcmd

Ovladače ODBC jsou nyní správně nainstalovány.
Pokud má server Mediation Controller přístup k serveru MS SQL, měl by následující příkaz umožnit připojení ke vzdálenému serveru: 

1
sqlcmd -S SERVER\INSTANCE_NAME,PORT -U USER

Kde:

  • SERVER je třeba nahradit názvem DNS nebo IP adresou serveru MS SQL.
  • INSTANCE_NAME je třeba nahradit názvem instance, ke které se chcete připojit; pokud to není nutné, odeberte také znak \.
  • PORT je třeba nahradit portem pro připojení k instanci databáze MS SQL.
  • USER je třeba nahradit uživatelským jménem pro navázání připojení.
Příklady

Pokud má server Mediation Controller přístup k databázovému serveru MS SQL přes IP adresu 10.0.10.100, instance, ke které se má přistupovat, naslouchá na portu 1433 a přístupový účet je sql-user, pak příkaz pro připojení vypadá takto:

1
sqlcmd -S 10.0.10.100,1433 -U sql-user

Pokud by bylo nutné zadat instanci připojení s názvem MSSQLINSTANCE, příkaz by se upravil takto:

1
sqlcmd -S 10.0.10.100\MSSQLINSTANCE,1433 -U sql-user

Konfigurace časového serveru NTP

Doporučuje se nastavit časový server, aby systémové hodiny zůstávaly aktuální. Potřebné kroky jsou popsány na stránce konfigurace NTP.

Počáteční konfigurace v produktu CyberElements Bastion

Autorizace přístupu k webovým rozhraním pomocí virtuální IP adresy

Ve výchozím nastavení není povoleno připojovat se k webovým rozhraním produktu CyberElements Bastion přes virtuální IP adresu VIP_MED_WEB.
Chcete-li tuto autorizaci přidat, spusťte jako root na serverech Mediation Controller následující příkazy:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Nahraďte IP IP adresou odpovídající VIP_MED_WEB.

Počáteční konfigurace

V této fázi jsou servery Mediation Controller nainstalovány, ale je ještě třeba provést několik akcí:

  • Změňte výchozí hesla

    Změňte výchozí hesla systémových konzol.

    Změnit

  • Nainstalujte certifikáty a licence

    Server Mediation Controller vyžaduje ke svému provozu různé certifikáty a licenci.
    Pouze certifikát pro klienta CyberElements Bastion je nutné znovu deklarovat na obou serverech Mediation Controller (použijte RIP RIP_MED_WEB_MASTER a RIP_MED_WEB_SLAVE).

    Nainstalovat certifikáty a licenci

  • Nakonfigurujte webový certifikát

    Nakonfigurujte webový certifikát používaný pro připojení k webovým rozhraním

    Nakonfigurovat

  • Deklarujte název DNS

    Přidejte název DNS, kterému je povoleno připojovat se k webovým rozhraním.

    Přidat

  • Nakonfigurujte organizaci

    Nakonfigurujte organizaci CyberElements Bastion.

    Nakonfigurovat s přímým přístupem k databázi

    Nakonfigurovat s přístupem k databázi přes tunel serverů Edge Gateway

  • Deklarujte servery Edge Gateway

    Deklarujte server(y) Edge Gateway nebo HTML5 Gateway, které se mají nainstalovat.

    Vytvořit servery Edge Gateway

  • Vytvořte logický site

    Vytvořte a nakonfigurujte logický site, který seskupuje servery Edge Gateway a HTML5 Gateway s přístupem k místním prostředkům.

    Vytvořit site

  • Nainstalujte server Edge Gateway

    Nainstalujte a nakonfigurujte nový server Edge Gateway s nově nainstalovanými servery Mediation Controller.
    Nakonfiguruje se také instance HTML5 Gateway.

    Nainstalujte