Zum Inhalt

Installation des Edge Gateway Servers

Hinweis

Zur Erinnerung: Der Wechsel zu root muss auf Debian-Maschinen mit dem folgenden Befehl erfolgen:

1
su -

Herunterladen des Spiegels und der erforderlichen Werkzeuge

Der Spiegel CyberElements Cleanroom 4.6 und der Signaturschlüssel des Systancia-Repositorys können über diesen Link heruntergeladen werden (erfordert die Erstellung eines Kundenkontos): Systancia Marketplace

Zusätzlich zum Spiegel und zum Schlüssel werden für den Upgrade-Vorgang Werkzeuge von Drittanbietern benötigt:

  • Einen SSH-Client (unter Windows können Sie PuTTY verwenden)
  • Ein SCP-Client (unter Windows können die Werkzeuge WinSCP oder FileZilla verwendet werden)

Verwenden Sie den SSH-Client, um sich remote mit Ihrem Server zu verbinden.

Verwenden Sie den SCP-Client, um Dateien auf Ihre entfernte Maschine zu übertragen.

Vorbereitung der Installation

Konfiguration des Netzwerks

Es wird dringend empfohlen, für den Edge Gateway Server eine statische Netzwerkadresse festzulegen. Dazu müssen zunächst der Name der Netzwerkschnittstelle Ihrer Maschine und ihre MAC-Adresse ermittelt werden. Führen Sie den folgenden Befehl als root aus:

1
ip -br link | grep -ve "^lo"

Dieser Befehl zeigt den Namen der Netzwerkschnittstelle, ihren Status, ihre MAC-Adresse und die Parameter der Schnittstelle an.

Beispiel

Nach der Ausführung des Befehls wird die folgende Ausgabe angezeigt:

1
ens192           UP             00:50:56:a1:56:9f <BROADCAST,MULTICAST,UP,LOWER_UP>

Der Name der Netzwerkschnittstelle ist ens192 und ihre MAC-Adresse 00:50:56:a1:56:9f.

Sobald der Name der Netzwerkschnittstelle und die MAC-Adresse ermittelt sind, kann die Netzwerkkonfiguration der Maschine bearbeitet werden.
Bearbeiten Sie die Datei /etc/network/interfaces, um sie nach der folgenden Vorlage zu ändern:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports INTERFACE_NAME
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw MAC_ADDRESS
    address IP_GW
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

Dabei gilt:

  • INTERFACE_NAME muss durch den zuvor ermittelten Namen der Netzwerkschnittstelle ersetzt werden.
  • MAC_ADDRESS muss durch die zuvor ermittelte MAC-Adresse ersetzt werden.
  • IP_GW muss durch die IP-Adresse des Servers ersetzt werden.
  • NETMASK muss durch die zur IP-Adresse gehörende Netzmaske ersetzt werden.
  • NETWORK_GATEWAY muss durch das Standard-Gateway des Netzwerks ersetzt werden.
  • IP_DNS muss durch die IP-Adresse des DNS-Servers ersetzt werden. Wenn mehrere Server konfiguriert werden müssen (maximal 3), trennen Sie sie durch ein Leerzeichen.
  • DNS_SUFFIX muss durch das zu verwendende DNS-Suffix ersetzt werden. Wenn kein Suffix angegeben werden muss, löschen Sie die Zeile.
Beispiel 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports ens192
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw 00:50:56:a1:56:9f
    address 172.16.10.10
    netmask 255.255.255.0
    gateway 172.16.10.254
    dns-nameservers 172.16.11.2 172.16.11.3
    dns-search domain.local

Vor dem Anwenden der Konfiguration sind noch drei Schritte abzuschließen.

Der erste besteht darin, die Pakete resolvconf und bridge-utils zu installieren, damit die in der vorherigen Datei angegebene DNS-Konfiguration angewendet und die Schnittstelle br0 verwendet werden kann:

1
apt install -y resolvconf bridge-utils

Der zweite besteht darin, die Konfiguration der Datei /etc/hosts im Hinblick auf die Haupt-IP-Adresse der Maschine (IP_GW) zu prüfen.
Bearbeiten Sie dazu die Datei /etc/hosts und prüfen Sie, ob die zweite Zeile das folgende Format hat:

2
IP_GW   FQDN    MACHINE_NAME
Beispiel

Wenn die Maschine EDGE-GATEWAY heißt, ohne einer Domäne anzugehören, und ihre IP-Adresse IP_GW 172.16.10.10 ist, wäre die Datei wie folgt zu vervollständigen:

2
172.16.10.10  EDGE-GATEWAY

Wenn die Maschine der Domäne DOMAIN.LOCAL angehört, wäre die Datei wie folgt zu vervollständigen:

2
172.16.10.10  EDGE-GATEWAY.DOMAIN.LOCAL   EDGE-GATEWAY

Achtung!

Eine fehlerhafte Konfiguration der Datei kann bei der Installation des Pakets collectd einen Fehler verursachen.

Es muss nur noch der Server neu gestartet werden: 

1
reboot

Konfiguration des Paketmanagers APT

Laden Sie die von Systancia Marketplace heruntergeladenen Dateien mit einem SCP-Client in das Verzeichnis /tmp/ des Servers hoch:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Melden Sie sich als root am Server an und führen Sie die folgenden Befehle aus, um das Systancia-Repository zu entpacken, seine Verwendung in APT zu konfigurieren und es zu authentifizieren.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Wir empfehlen dringend, die Installation nicht benötigter Pakete bei der Ausführung von apt-Befehlen zu deaktivieren. Führen Sie dazu den folgenden Befehl aus:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Installation des Edge Gateway Servers von CyberElements Bastion

Installation der Basiskomponenten

Starten Sie die Installation der Komponenten mit dem folgenden Befehl als root:

1
apt install -y ipdiva-base

Nach dem Herunterladen aller Abhängigkeiten öffnet sich ein Fenster, in dem Sie den Servertyp auswählen müssen. Wählen Sie gateway:

Was ist bei einem Fehler zu tun?

Wenn bei den eingegebenen Informationen ein Fehler aufgetreten ist, setzen Sie die Installation des Pakets ipdiva-base fort und verwenden Sie anschließend den folgenden Befehl, um den Server neu zu konfigurieren:

1
dpkg-reconfigure ipdiva-base

Installation der Edge-Gateway-Komponenten

Starten Sie anschließend die Installation der für das Edge Gateway spezifischen Komponenten mit dem folgenden Befehl:

1
apt install -y ipdiva-safe-gateway ipdiva-gateway-setup

Die Komponenten des Edge Gateway Servers sind nun installiert. Es muss nur noch die Maschine neu gestartet werden, damit die neu installierten Komponenten initialisiert werden können:

1
reboot

Installation der HTML5-Gateway-Komponenten

Verwenden Sie den folgenden Befehl, um die Installation der HTML5-Gateway-Komponenten auf dem Edge Gateway Server zu starten:

1
apt install -y ipdiva-html5gateway ipdiva-html5-webapp ipdiva-guacamole-server1

Verwenden Sie die folgenden Befehlszeilen, um die Funktionen für die Dateiübertragung und den virtuellen Drucker zu aktivieren und zu konfigurieren:

1
2
3
apt install -y ghostscript
echo -e "printer=cyberelements HTML5 Printer\nprinterDriver=MS Publisher Imagesetter" > /etc/guacamole/printer-config
mkdir /home/systanciahtml5share

Konfiguration, die für den Betrieb von CyberElements Bastion spezifisch ist

Sobald die Netzwerkkonfiguration angewendet ist, müssen noch die Instanzen von Edge Gateway und HTML5 Gateway mit den Mediation Controllern verbunden werden.
Dazu verbinden sich die ersten Instanzen von Edge Gateway und HTML5 Gateway mit dem Mediation Controller MASTER, während sich die zweiten mit dem Mediation Controller SLAVE verbinden.

Achtung!

Wenn sich die Installation des Edge Gateway nicht im LAN befindet und die Adressen RIP_MED_SSL_MASTER und RIP_MED_SSL_SLAVE daher nicht erreichbar sind (auch nicht mit NAT).
In diesem Fall müssen Sie nur die erste Instanz von Edge Gateway und HTML5 Gateway konfigurieren, die für die Verbindung mit VIP_MED_SSL eingerichtet wird.

In diesem Zusammenhang kann die virtuelle Standalone-Appliance verwendet werden. Die virtuelle Cluster-Appliance ist mit zwei Instanzen vorkonfiguriert, ihr Standalone-Gegenstück hingegen mit einer einzigen.

Bevor Sie mit den folgenden Anweisungen fortfahren, stellen Sie sicher, dass Sie über die folgenden Elemente verfügen:

  • Das Zertifikat der zu verbindenden Instanzen von Edge Gateway und HTML5 Gateway
  • Das Zertifikat des Aufzeichnungsdienstes
  • Einen SSH-Client (unter Windows können Sie PuTTY verwenden)
  • Ein SCP-Client (unter Windows können die Werkzeuge WinSCP oder FileZilla verwendet werden)

Übertragen Sie die Zertifikate in das Verzeichnis /tmp/ der Maschine.

Erstellung der Instanzen für die Verbindung mit dem Mediation Controller SLAVE

Führen Sie die folgenden Befehle als root aus, um eine neue Instanz von Edge Gateway und HTML5 Gateway zu deklarieren, die für die Verbindung mit dem Mediation Controller SLAVE verwendet wird:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -slave
/usr/local/ipdiva/html5gateway/bin/gatewayCloner -slave

Verbindung der Edge Gateways

Kopieren Sie die Zertifikatsdatei des Edge Gateway in die Verzeichnisse /etc/ipdiva/gateway/ssl/ und /etc/ipdiva/gateway-slave/ssl/. Sie können dies tun, indem Sie als root Befehle ähnlich den folgenden ausführen (ersetzen Sie <CERT_NAME> durch den Namen des Zertifikats des Edge Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/gateway-slave/ssl/

Konfigurieren Sie die Edge-Gateway-Instanzen so, dass sie sich mit den Mediation Controllern verbinden können.
Die Konfigurationen unterscheiden sich je nach zu kontaktierendem Mediation Controller. Nehmen Sie beide Einstellungen vor:

Bearbeiten Sie die Datei /etc/ipdiva/gateway/gateway.xml und vervollständigen Sie sie mit den folgenden Informationen (mehrere Abschnitte wurden ausgelassen und sind durch […] gekennzeichnet):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Ersetzen Sie die folgenden Elemente:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: muss durch die Adresse RIP_MED_SSL_MASTER, das Zeichen : und den Lauschport des SSL Router ersetzt werden, normalerweise 443
  • keyfile.pem: muss durch den Namen der Zertifikatsdatei ersetzt werden
  • PASSWORD: muss durch das Kennwort des Zertifikats ersetzt werden
Beispiel

Unter Berücksichtigung der folgenden Informationen:

  • RIP_MED_SSL_MASTER ist gleich: 10.0.10.11
  • Lauschport des SSL Router: 443
  • Name der Zertifikatsdatei: edge-gateway.p12
  • Kennwort des Zertifikats: Str0ngP@ssw0rd

Die Datei /etc/ipdiva/gateway/gateway.xml wäre wie folgt zu konfigurieren:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Vollständige Datei 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9080</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Starten Sie schließlich die Edge-Gateway-Instanz, um die neue Konfiguration zu laden und sie mit dem Mediation Controller MASTER zu verbinden: 

1
/usr/local/ipdiva/gateway/bin/start

Bearbeiten Sie die Datei /etc/ipdiva/gateway-slave/gateway.xml und vervollständigen Sie sie mit den folgenden Informationen (mehrere Abschnitte wurden ausgelassen und sind durch […] gekennzeichnet):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Ersetzen Sie die folgenden Elemente:

  • @SERVER@: muss durch die Adresse RIP_MED_SSL_SLAVE ersetzt werden
  • @SERVERPORT@: muss durch den Lauschport des SSL Router ersetzt werden, normalerweise 443
  • keyfile.pem: muss durch den Namen der Zertifikatsdatei ersetzt werden
  • PASSWORD: muss durch das Kennwort des Zertifikats ersetzt werden
  • @RPC_PORT@: muss durch einen auf der Maschine verfügbaren TCP-Port ersetzt werden; üblicherweise wird der Port 9081 verwendet
Beispiel

Unter Berücksichtigung der folgenden Informationen:

  • RIP_MED_SSL_SLAVE ist gleich: 10.0.10.13
  • Lauschport des SSL Router: 443
  • Name der Zertifikatsdatei: edge-gateway.p12
  • Kennwort des Zertifikats: Str0ngP@ssw0rd
  • Verfügbarer RPC-Port: 9081

Die Datei /etc/ipdiva/gateway-slave/gateway.xml wäre wie folgt zu konfigurieren:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9081</rpc-listen>
[…]
</gateway>
Vollständige Datei 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9081</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Starten Sie schließlich die Edge-Gateway-Instanz, um die neue Konfiguration zu laden und sie mit dem Mediation Controller SLAVE zu verbinden: 

1
/usr/local/ipdiva/gateway-slave/bin/start

Konfiguration des Aufzeichnungsdienstes

Verschieben Sie das Zertifikat des Aufzeichnungsdienstes mit einem Befehl ähnlich diesem in das Verzeichnis /etc/ipdiva/careserver/ (ersetzen Sie <CERT_NAME> durch den Namen des vorgesehenen Zertifikats):

1
mv /tmp/<CERT_NAME> /etc/ipdiva/careserver/

Konfigurieren Sie anschließend den Dienst, indem Sie die folgende Datei ändern: /etc/ipdiva/careserver/careserver.xml. Die Konfiguration der Datei sollte etwa so aussehen (im folgenden Auszug sind zahlreiche Zeilen der Datei ausgelassen und durch […] gekennzeichnet):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/recording_service.p12</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>

Nehmen Sie die folgenden Änderungen vor:

  • Ändern Sie die Lausch-IP-Adresse des Aufzeichnungsdienstes auf 0.0.0.0 (lauscht auf allen verfügbaren IP-Adressen)
  • Ersetzen Sie recording_service.p12 durch den Namen des Zertifikats des Aufzeichnungsdienstes
  • Ersetzen Sie PASSWORD durch das Kennwort des Zertifikats des Aufzeichnungsdienstes
  • Fügen Sie die Zeile <element>http://127.0.0.1:9081</element> hinzu
Beispiel

Unter Berücksichtigung der folgenden Informationen:

  • Name der Zertifikatsdatei: fqdn.edge-gateway.local.p12
  • Kennwort des Zertifikats: Str0ngP@ssw0rd

Die Datei /etc/ipdiva/careserver/careserver.xml wäre wie folgt zu konfigurieren:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>
Vollständige Datei 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>


    <archivesdirectory>/var/lib/ipdiva/carerecord/archives</archivesdirectory>
    <recordingdirectory>/var/lib/ipdiva/carerecord/recording</recordingdirectory>
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
        <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
        <min-version>tls1.2</min-version>
        <max-version/>
        <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
        <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
        <verify-cert>true</verify-cert>
        <no-fail-if-no-peer-cert>true</no-fail-if-no-peer-cert>
    </ssl>
    <gopsize>10</gopsize>
        <webgopsize>5</webgopsize>
    <webfakeframespersec>2</webfakeframespersec>
        <webhlslistsize>20</webhlslistsize>
    <webcaptureinterval>10000</webcaptureinterval>
    <webcapturetimeout>30000</webcapturetimeout>
    <captureinterval>250</captureinterval>
    <hlslistsize>20</hlslistsize>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
</careserver>

Bestätigen Sie die neue Konfiguration, indem Sie den Aufzeichnungsdienst neu starten: 

1
systemctl restart ipdivacarerecord

Verbindung der HTML5-Gateway-Instanzen

Wenn die HTML5-Gateway-Instanz konfiguriert werden muss, führen Sie den folgenden Befehl auf dem Edge Gateway Server als root aus, um den automatischen Start der Instanz zu aktivieren:

1
chmod +x /etc/ipdiva/services/50html5gateway

Kopieren Sie die Zertifikatsdatei des HTML5 Gateway in die Verzeichnisse /etc/ipdiva/html5gateway/ssl/ und /etc/ipdiva/html5gateway-slave/ssl/. Sie können dies tun, indem Sie als root Befehle ähnlich den folgenden ausführen (ersetzen Sie <CERT_NAME> durch den Namen des Zertifikats des HTML5 Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/html5gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/html5gateway-slave/ssl/

Konfigurieren Sie die HTML5-Gateway-Instanzen so, dass sie sich mit den Mediation Controllern verbinden können.
Die Konfigurationen unterscheiden sich je nach zu kontaktierendem Mediation Controller. Nehmen Sie beide Einstellungen vor:

Bearbeiten Sie die Datei /etc/ipdiva/html5gateway/html5gateway.xml und vervollständigen Sie sie mit den folgenden Informationen (mehrere Abschnitte wurden ausgelassen und sind durch […] gekennzeichnet):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Ersetzen Sie die folgenden Elemente:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: muss durch die Adresse RIP_MED_SSL_MASTER, das Zeichen : und den Lauschport des SSL Router ersetzt werden, normalerweise 443
  • keyfile.pem: muss durch den Namen der Zertifikatsdatei ersetzt werden
  • PASSWORD: muss durch das Kennwort des Zertifikats ersetzt werden
Beispiel

Unter Berücksichtigung der folgenden Informationen:

  • RIP_MED_SSL_MASTER ist gleich: 10.0.10.11
  • Lauschport des SSL Router: 443
  • Name der Zertifikatsdatei: html5-gateway.p12
  • Kennwort des Zertifikats: Str0ngP@ssw0rd

Die Datei /etc/ipdiva/html5gateway/html5gateway.xml wäre wie folgt zu konfigurieren:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Vollständige Datei 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9088</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Starten Sie schließlich die HTML5-Gateway-Instanz neu, um die neue Konfiguration zu laden und sie mit dem Mediation Controller MASTER zu verbinden: 

1
/usr/local/ipdiva/html5gateway/bin/start

Bearbeiten Sie die Datei /etc/ipdiva/html5gateway-slave/html5gateway.xml und vervollständigen Sie sie mit den folgenden Informationen (mehrere Abschnitte wurden ausgelassen und sind durch […] gekennzeichnet):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Ersetzen Sie die folgenden Elemente:

  • @SERVER@: muss durch die Adresse RIP_MED_SSL_SLAVE ersetzt werden
  • @SERVERPORT@: muss durch den Lauschport des SSL Router ersetzt werden, normalerweise 443
  • keyfile.pem: muss durch den Namen der Zertifikatsdatei ersetzt werden
  • PASSWORD: muss durch das Kennwort des Zertifikats ersetzt werden
  • @RPC_PORT@: muss durch einen auf der Maschine verfügbaren TCP-Port ersetzt werden; üblicherweise wird der Port 9089 verwendet
Beispiel

Unter Berücksichtigung der folgenden Informationen:

  • RIP_MED_SSL_SLAVE ist gleich: 10.0.10.13
  • Lauschport des SSL Router: 443
  • Name der Zertifikatsdatei: html5-gateway.p12
  • Kennwort des Zertifikats: Str0ngP@ssw0rd
  • Verfügbarer RPC-Port: 9089

Die Datei /etc/ipdiva/html5gateway-slave/html5gateway.xml wäre wie folgt zu konfigurieren:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9089</rpc-listen>
[…]
</gateway>
Vollständige Datei 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9089</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Starten Sie schließlich die HTML5-Gateway-Instanz neu, um die neue Konfiguration zu laden und sie mit dem Mediation Controller SLAVE zu verbinden: 

1
/usr/local/ipdiva/html5gateway-slave/bin/start

Konfigurationen vor der Verbindung der HTML5 Gateways

Damit die HTML5-Anwendungen funktionieren, müssen zusätzliche Parameter auf den Mediation-Controller-Servern konfiguriert werden. Melden Sie sich als root an den Mediation Controllern MASTER und SLAVE an.

Erstellen oder bearbeiten Sie die Datei /etc/ipdiva/httpd/commonParameters.extra.conf, um für das HTML5 Gateway einen Abschnitt entsprechend dem folgenden hinzuzufügen:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
<Location /URL_HTML5/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /URL_HTML5/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Dabei gilt:

  • URL_HTML5 muss durch den Inhalt des Feldes URL des HTML5 Gateway ersetzt werden, das in der Administrationskonsole bei der Deklaration des HTML5 Gateway konfiguriert wurde (im Cluster in der Regel HTML5-1 und HTML5-2).
  • GW_NAME muss durch den Namen eines Edge Gateway ersetzt werden, das sich auf demselben Server wie das HTML5 Gateway befindet. Das Zeichen | am Ende der Zeile muss erhalten bleiben.
  • ORGANIZATION_NAME muss durch den Namen der Organisation ersetzt werden, mit der sich das vorherige Edge Gateway verbindet.
Beispiel

Für eine Plattform mit der folgenden Konfiguration:

  • Name der Organisation: my-organization-name
  • Deklaration des ersten HTML5 Gateway in der Administrationskonsole:
    • Name: html5-gateway-1
    • URL: HTML5-1
    • Protocol: WebSocket
  • Deklaration des zweiten HTML5 Gateway in der Administrationskonsole:
    • Name: html5-gateway-2
    • URL: HTML5-2
    • Protocol: WebSocket
  • Ein Edge Gateway Server des ersten HTML5 Gateway verfügt über:
    • Einen Edge-Gateway-Dienst mit dem Namen edge-gateway-1
    • Einen HTML5-Gateway-Dienst mit dem Namen html5-gateway-1
  • Ein Edge Gateway Server des zweiten HTML5 Gateway verfügt über:
    • Einen Edge-Gateway-Dienst mit dem Namen edge-gateway-2
    • Einen HTML5-Gateway-Dienst mit dem Namen html5-gateway-2

Die erstellte Konfigurationsdatei /etc/ipdiva/httpd/commonParameters.extra.conf wäre wie folgt zu konfigurieren: 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
<Location /HTML5-1/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-1/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

<Location /HTML5-2/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-2/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Bevor Sie die neue Konfiguration anwenden, müssen Sie prüfen, dass sie keinen blockierenden Fehler des Webservers Apache2 verursacht.
Führen Sie dazu den folgenden Befehl aus:

1
apache2ctl configtest

Lautet die Antwort Syntax OK, können die Änderungen mit dem folgenden Befehl angewendet werden. Andernfalls überprüfen Sie Ihre Konfiguration in der Datei /etc/ipdiva/httpd/commonParameters.extra.conf.

1
systemctl reload apache2

Konfiguration eines NTP-Zeitservers

Es wird empfohlen, einen Zeitserver einzurichten, um die Systemuhr aktuell zu halten. Die erforderlichen Schritte sind auf der Seite zur NTP-Konfiguration beschrieben.