Zum Inhalt

Installation des Edge Gateway Servers

Erstkonfiguration des Systems

Beim ersten Start der Appliance Edge Gateway Cluster erscheint ein Assistent für die initiale Konfiguration der Maschine. Dieser Assistent ermöglicht es, die systemeigene Konfiguration sowie die für die Verwendung von CyberElements Bastion spezifische Konfiguration zu initialisieren.

Systemeinstellungen

Der Assistent fordert Sie zunächst auf, eine Sprache auszuwählen:

Hinweis

Die gewählte Sprache wirkt sich sowohl auf die Anzeigesprache des Systems als auch auf die Tastaturbelegung aus. Auf Englisch hat die Tastatur eine QWERTY-Belegung, auf Französisch eine AZERTY-Belegung.

Der Assistent fordert Sie anschließend auf, ein neues Passwort für das Systemkonto root zu vergeben (achten Sie darauf, dass es die geforderte Komplexität erfüllt):

Danach müssen Sie das Passwort des Systembenutzerkontos systancia ändern (achten Sie darauf, dass es die geforderte Komplexität erfüllt):

Zuletzt müssen Sie den Namen der Maschine eingeben:

Netzwerkeinstellungen

Sobald die Systemeinstellungen angewendet wurden, wechselt der Assistent zu den Netzwerkeinstellungen der Maschine.

Im ersten Fenster werden Sie aufgefordert, zwischen einer statischen Konfiguration und einer dynamischen Konfiguration über DHCP zu wählen:

Empfehlung

Für die Netzwerkeinstellungen der Maschine wird eine statische Konfiguration empfohlen, insbesondere für die Funktion des direkten Zugriffs.
DHCP kann ebenfalls verwendet werden, wenn die IP-Adresse auf dem DHCP-Server fest zugewiesen ist.

Wird die statische Konfiguration gewählt, fragt der Assistent die folgenden Netzwerkeinstellungen ab:

Tipp

Es können mehrere DNS-Server (höchstens 3) eingegeben werden, getrennt durch Leerzeichen. Ebenso können mehrere DNS-Suffixe hinzugefügt werden, getrennt durch ein Leerzeichen.

Abschluss der initialen Konfiguration

Das Menü der initialen Konfiguration schlägt nun vor, mit dem Pairing-Mechanismus des Edge Gateway fortzufahren.
In dieser Dokumentation wird er nicht verwendet; daher müssen das Erscheinen dieses Menüs bei der Anmeldung und die automatische Anmeldung als root deaktiviert werden.

Verlassen Sie dazu zunächst das Menü der initialen Konfiguration, entweder durch Auswahl der Schaltfläche Cancel oder mit der Tastenkombination Ctrl+C.
Führen Sie anschließend die folgenden Befehle aus:

1
2
3
4
sed -i '/gateway-setup/d' /root/.bashrc
sed -i 's/^NAutoVTs/#NAutoVTs/' /etc/systemd/logind.conf
rm -r /etc/systemd/system/getty@tty1.service.d/
systemctl daemon-reload

Konfiguration, die für den Betrieb von CyberElements Bastion spezifisch ist

Sobald die Netzwerkkonfiguration angewendet ist, müssen noch die Instanzen von Edge Gateway und HTML5 Gateway mit den Mediation Controllern verbunden werden.
Dazu verbinden sich die ersten Instanzen von Edge Gateway und HTML5 Gateway mit dem Mediation Controller MASTER, während sich die zweiten mit dem Mediation Controller SLAVE verbinden.

Achtung!

Wenn sich die Installation des Edge Gateway nicht im LAN befindet und die Adressen RIP_MED_SSL_MASTER und RIP_MED_SSL_SLAVE daher nicht erreichbar sind (auch nicht mit NAT).
In diesem Fall müssen Sie nur die erste Instanz von Edge Gateway und HTML5 Gateway konfigurieren, die für die Verbindung mit VIP_MED_SSL eingerichtet wird.

In diesem Zusammenhang kann die virtuelle Standalone-Appliance verwendet werden. Die virtuelle Cluster-Appliance ist mit zwei Instanzen vorkonfiguriert, ihr Standalone-Gegenstück hingegen mit einer einzigen.

Bevor Sie mit den folgenden Anweisungen fortfahren, stellen Sie sicher, dass Sie über die folgenden Elemente verfügen:

  • Das Zertifikat der zu verbindenden Instanzen von Edge Gateway und HTML5 Gateway
  • Das Zertifikat des Aufzeichnungsdienstes
  • Einen SSH-Client (unter Windows können Sie PuTTY verwenden)
  • Ein SCP-Client (unter Windows können die Werkzeuge WinSCP oder FileZilla verwendet werden)

Übertragen Sie die Zertifikate in das Verzeichnis /tmp/ der Maschine.

Verbindung der Edge Gateways

Kopieren Sie die Zertifikatsdatei des Edge Gateway in die Verzeichnisse /etc/ipdiva/gateway/ssl/ und /etc/ipdiva/gateway-slave/ssl/. Sie können dies tun, indem Sie als root Befehle ähnlich den folgenden ausführen (ersetzen Sie <CERT_NAME> durch den Namen des Zertifikats des Edge Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/gateway-slave/ssl/

Konfigurieren Sie die Edge-Gateway-Instanzen so, dass sie sich mit den Mediation Controllern verbinden können.
Die Konfigurationen unterscheiden sich je nach zu kontaktierendem Mediation Controller. Nehmen Sie beide Einstellungen vor:

Bearbeiten Sie die Datei /etc/ipdiva/gateway/gateway.xml und vervollständigen Sie sie mit den folgenden Informationen (mehrere Abschnitte wurden ausgelassen und sind durch […] gekennzeichnet):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Ersetzen Sie die folgenden Elemente:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: muss durch die Adresse RIP_MED_SSL_MASTER, das Zeichen : und den Lauschport des SSL Router ersetzt werden, normalerweise 443
  • keyfile.pem: muss durch den Namen der Zertifikatsdatei ersetzt werden
  • PASSWORD: muss durch das Kennwort des Zertifikats ersetzt werden
Beispiel

Unter Berücksichtigung der folgenden Informationen:

  • RIP_MED_SSL_MASTER ist gleich: 10.0.10.11
  • Lauschport des SSL Router: 443
  • Name der Zertifikatsdatei: edge-gateway.p12
  • Kennwort des Zertifikats: Str0ngP@ssw0rd

Die Datei /etc/ipdiva/gateway/gateway.xml wäre wie folgt zu konfigurieren:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Vollständige Datei 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9080</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Starten Sie schließlich die Edge-Gateway-Instanz, um die neue Konfiguration zu laden und sie mit dem Mediation Controller MASTER zu verbinden: 

1
/usr/local/ipdiva/gateway/bin/start

Bearbeiten Sie die Datei /etc/ipdiva/gateway-slave/gateway.xml und vervollständigen Sie sie mit den folgenden Informationen (mehrere Abschnitte wurden ausgelassen und sind durch […] gekennzeichnet):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Ersetzen Sie die folgenden Elemente:

  • @SERVER@: muss durch die Adresse RIP_MED_SSL_SLAVE ersetzt werden
  • @SERVERPORT@: muss durch den Lauschport des SSL Router ersetzt werden, normalerweise 443
  • keyfile.pem: muss durch den Namen der Zertifikatsdatei ersetzt werden
  • PASSWORD: muss durch das Kennwort des Zertifikats ersetzt werden
  • @RPC_PORT@: muss durch einen auf der Maschine verfügbaren TCP-Port ersetzt werden; üblicherweise wird der Port 9081 verwendet
Beispiel

Unter Berücksichtigung der folgenden Informationen:

  • RIP_MED_SSL_SLAVE ist gleich: 10.0.10.13
  • Lauschport des SSL Router: 443
  • Name der Zertifikatsdatei: edge-gateway.p12
  • Kennwort des Zertifikats: Str0ngP@ssw0rd
  • Verfügbarer RPC-Port: 9081

Die Datei /etc/ipdiva/gateway-slave/gateway.xml wäre wie folgt zu konfigurieren:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9081</rpc-listen>
[…]
</gateway>
Vollständige Datei 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9081</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Starten Sie schließlich die Edge-Gateway-Instanz, um die neue Konfiguration zu laden und sie mit dem Mediation Controller SLAVE zu verbinden: 

1
/usr/local/ipdiva/gateway-slave/bin/start

Konfiguration des Aufzeichnungsdienstes

Verschieben Sie das Zertifikat des Aufzeichnungsdienstes mit einem Befehl ähnlich diesem in das Verzeichnis /etc/ipdiva/careserver/ (ersetzen Sie <CERT_NAME> durch den Namen des vorgesehenen Zertifikats):

1
mv /tmp/<CERT_NAME> /etc/ipdiva/careserver/

Konfigurieren Sie anschließend den Dienst, indem Sie die folgende Datei ändern: /etc/ipdiva/careserver/careserver.xml. Die Konfiguration der Datei sollte etwa so aussehen (im folgenden Auszug sind zahlreiche Zeilen der Datei ausgelassen und durch […] gekennzeichnet):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/recording_service.p12</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>

Nehmen Sie die folgenden Änderungen vor:

  • Ändern Sie die Lausch-IP-Adresse des Aufzeichnungsdienstes auf 0.0.0.0 (lauscht auf allen verfügbaren IP-Adressen)
  • Ersetzen Sie recording_service.p12 durch den Namen des Zertifikats des Aufzeichnungsdienstes
  • Ersetzen Sie PASSWORD durch das Kennwort des Zertifikats des Aufzeichnungsdienstes
  • Fügen Sie die Zeile <element>http://127.0.0.1:9081</element> hinzu
Beispiel

Unter Berücksichtigung der folgenden Informationen:

  • Name der Zertifikatsdatei: fqdn.edge-gateway.local.p12
  • Kennwort des Zertifikats: Str0ngP@ssw0rd

Die Datei /etc/ipdiva/careserver/careserver.xml wäre wie folgt zu konfigurieren:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>
Vollständige Datei 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>


    <archivesdirectory>/var/lib/ipdiva/carerecord/archives</archivesdirectory>
    <recordingdirectory>/var/lib/ipdiva/carerecord/recording</recordingdirectory>
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
        <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
        <min-version>tls1.2</min-version>
        <max-version/>
        <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
        <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
        <verify-cert>true</verify-cert>
        <no-fail-if-no-peer-cert>true</no-fail-if-no-peer-cert>
    </ssl>
    <gopsize>10</gopsize>
        <webgopsize>5</webgopsize>
    <webfakeframespersec>2</webfakeframespersec>
        <webhlslistsize>20</webhlslistsize>
    <webcaptureinterval>10000</webcaptureinterval>
    <webcapturetimeout>30000</webcapturetimeout>
    <captureinterval>250</captureinterval>
    <hlslistsize>20</hlslistsize>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
</careserver>

Bestätigen Sie die neue Konfiguration, indem Sie den Aufzeichnungsdienst neu starten: 

1
systemctl restart ipdivacarerecord

Verbindung der HTML5-Gateway-Instanzen

Wenn die HTML5-Gateway-Instanz konfiguriert werden muss, führen Sie den folgenden Befehl auf dem Edge Gateway Server als root aus, um den automatischen Start der Instanz zu aktivieren:

1
chmod +x /etc/ipdiva/services/50html5gateway*

Kopieren Sie die Zertifikatsdatei des HTML5 Gateway in die Verzeichnisse /etc/ipdiva/html5gateway/ssl/ und /etc/ipdiva/html5gateway-slave/ssl/. Sie können dies tun, indem Sie als root Befehle ähnlich den folgenden ausführen (ersetzen Sie <CERT_NAME> durch den Namen des Zertifikats des HTML5 Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/html5gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/html5gateway-slave/ssl/

Konfigurieren Sie die HTML5-Gateway-Instanzen so, dass sie sich mit den Mediation Controllern verbinden können.
Die Konfigurationen unterscheiden sich je nach zu kontaktierendem Mediation Controller. Nehmen Sie beide Einstellungen vor:

Bearbeiten Sie die Datei /etc/ipdiva/html5gateway/html5gateway.xml und vervollständigen Sie sie mit den folgenden Informationen (mehrere Abschnitte wurden ausgelassen und sind durch […] gekennzeichnet):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Ersetzen Sie die folgenden Elemente:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: muss durch die Adresse RIP_MED_SSL_MASTER, das Zeichen : und den Lauschport des SSL Router ersetzt werden, normalerweise 443
  • keyfile.pem: muss durch den Namen der Zertifikatsdatei ersetzt werden
  • PASSWORD: muss durch das Kennwort des Zertifikats ersetzt werden
Beispiel

Unter Berücksichtigung der folgenden Informationen:

  • RIP_MED_SSL_MASTER ist gleich: 10.0.10.11
  • Lauschport des SSL Router: 443
  • Name der Zertifikatsdatei: html5-gateway.p12
  • Kennwort des Zertifikats: Str0ngP@ssw0rd

Die Datei /etc/ipdiva/html5gateway/html5gateway.xml wäre wie folgt zu konfigurieren:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Vollständige Datei 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9088</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Starten Sie schließlich die HTML5-Gateway-Instanz neu, um die neue Konfiguration zu laden und sie mit dem Mediation Controller MASTER zu verbinden: 

1
/usr/local/ipdiva/html5gateway/bin/start

Bearbeiten Sie die Datei /etc/ipdiva/html5gateway-slave/html5gateway.xml und vervollständigen Sie sie mit den folgenden Informationen (mehrere Abschnitte wurden ausgelassen und sind durch […] gekennzeichnet):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Ersetzen Sie die folgenden Elemente:

  • @SERVER@: muss durch die Adresse RIP_MED_SSL_SLAVE ersetzt werden
  • @SERVERPORT@: muss durch den Lauschport des SSL Router ersetzt werden, normalerweise 443
  • keyfile.pem: muss durch den Namen der Zertifikatsdatei ersetzt werden
  • PASSWORD: muss durch das Kennwort des Zertifikats ersetzt werden
  • @RPC_PORT@: muss durch einen auf der Maschine verfügbaren TCP-Port ersetzt werden; üblicherweise wird der Port 9089 verwendet
Beispiel

Unter Berücksichtigung der folgenden Informationen:

  • RIP_MED_SSL_SLAVE ist gleich: 10.0.10.13
  • Lauschport des SSL Router: 443
  • Name der Zertifikatsdatei: html5-gateway.p12
  • Kennwort des Zertifikats: Str0ngP@ssw0rd
  • Verfügbarer RPC-Port: 9089

Die Datei /etc/ipdiva/html5gateway-slave/html5gateway.xml wäre wie folgt zu konfigurieren:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9089</rpc-listen>
[…]
</gateway>
Vollständige Datei 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9089</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Starten Sie schließlich die HTML5-Gateway-Instanz neu, um die neue Konfiguration zu laden und sie mit dem Mediation Controller SLAVE zu verbinden: 

1
/usr/local/ipdiva/html5gateway-slave/bin/start

Konfigurationen vor der Verbindung der HTML5 Gateways

Damit die HTML5-Anwendungen funktionieren, müssen zusätzliche Parameter auf den Mediation-Controller-Servern konfiguriert werden. Melden Sie sich als root an den Mediation Controllern MASTER und SLAVE an.

Erstellen oder bearbeiten Sie die Datei /etc/ipdiva/httpd/commonParameters.extra.conf, um für das HTML5 Gateway einen Abschnitt entsprechend dem folgenden hinzuzufügen:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
<Location /URL_HTML5/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /URL_HTML5/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Dabei gilt:

  • URL_HTML5 muss durch den Inhalt des Feldes URL des HTML5 Gateway ersetzt werden, das in der Administrationskonsole bei der Deklaration des HTML5 Gateway konfiguriert wurde (im Cluster in der Regel HTML5-1 und HTML5-2).
  • GW_NAME muss durch den Namen eines Edge Gateway ersetzt werden, das sich auf demselben Server wie das HTML5 Gateway befindet. Das Zeichen | am Ende der Zeile muss erhalten bleiben.
  • ORGANIZATION_NAME muss durch den Namen der Organisation ersetzt werden, mit der sich das vorherige Edge Gateway verbindet.
Beispiel

Für eine Plattform mit der folgenden Konfiguration:

  • Name der Organisation: my-organization-name
  • Deklaration des ersten HTML5 Gateway in der Administrationskonsole:
    • Name: html5-gateway-1
    • URL: HTML5-1
    • Protocol: WebSocket
  • Deklaration des zweiten HTML5 Gateway in der Administrationskonsole:
    • Name: html5-gateway-2
    • URL: HTML5-2
    • Protocol: WebSocket
  • Ein Edge Gateway Server des ersten HTML5 Gateway verfügt über:
    • Einen Edge-Gateway-Dienst mit dem Namen edge-gateway-1
    • Einen HTML5-Gateway-Dienst mit dem Namen html5-gateway-1
  • Ein Edge Gateway Server des zweiten HTML5 Gateway verfügt über:
    • Einen Edge-Gateway-Dienst mit dem Namen edge-gateway-2
    • Einen HTML5-Gateway-Dienst mit dem Namen html5-gateway-2

Die erstellte Konfigurationsdatei /etc/ipdiva/httpd/commonParameters.extra.conf wäre wie folgt zu konfigurieren: 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
<Location /HTML5-1/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-1/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

<Location /HTML5-2/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-2/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Bevor Sie die neue Konfiguration anwenden, müssen Sie prüfen, dass sie keinen blockierenden Fehler des Webservers Apache2 verursacht.
Führen Sie dazu den folgenden Befehl aus:

1
apache2ctl configtest

Lautet die Antwort Syntax OK, können die Änderungen mit dem folgenden Befehl angewendet werden. Andernfalls überprüfen Sie Ihre Konfiguration in der Datei /etc/ipdiva/httpd/commonParameters.extra.conf.

1
systemctl reload apache2

Konfiguration eines NTP-Zeitservers

Es wird empfohlen, einen Zeitserver einzurichten, um die Systemuhr aktuell zu halten. Die erforderlichen Schritte sind auf der Seite zur NTP-Konfiguration beschrieben.