Μετάβαση στο περιεχόμενο

Εγκατάσταση των διακομιστών Mediation Controller

Σημείωση

Υπενθυμίζεται ότι η μετάβαση στον χρήστη root στους υπολογιστές Debian πρέπει να γίνεται με την ακόλουθη εντολή:

1
su -

Οι οδηγίες αυτής της σελίδας πρέπει να επαναληφθούν και στους δύο διακομιστές Mediation Controller, ξεκινώντας από τον διακομιστή MASTER.
Όπου υπάρχουν διαφορές μεταξύ των διακομιστών MASTER και SLAVE, θα επισημαίνονται. Εάν δεν υπάρχει σχετική αναφορά, οι οδηγίες ισχύουν και για τους δύο διακομιστές MASTER και SLAVE.

Ρυθμίσεις συστήματος

Σύνδεση στον υπολογιστή

Από προεπιλογή, οι εικονικές συσκευές διαθέτουν δύο λογαριασμούς: έναν λογαριασμό χρήστη και έναν λογαριασμό υπερχρήστη.

  • Λογαριασμός χρήστη
    • Όνομα σύνδεσης: systancia
    • Κωδικός πρόσβασης: systnci
  • Λογαριασμός υπερχρήστη
    • Όνομα σύνδεσης: root
    • Κωδικός πρόσβασης: systnci

Συνδεθείτε στον υπολογιστή σε λειτουργία κονσόλας.

Σημείωση

Η προεπιλεγμένη διάταξη πληκτρολογίου είναι QWERTY.

Αλλαγή της διάταξης πληκτρολογίου

Μπορείτε να αλλάξετε τη διάταξη πληκτρολογίου με την ακόλουθη γραμμή εντολών:

1
dpkg-reconfigure keyboard-configuration

Εμφανίζεται ένα μενού στο οποίο μπορείτε να επιλέξετε μια άλλη διάταξη πληκτρολογίου.

Στη συνέχεια, χρησιμοποιήστε την ακόλουθη γραμμή εντολών για να εφαρμόσετε και να αποθηκεύσετε τις ρυθμίσεις:

1
setupcon -k --save

Οι ρυθμίσεις τίθενται σε ισχύ αμέσως μετά την εκτέλεση αυτής της εντολής.

Διαμόρφωση του δικτύου

Είναι απαραίτητο να διαμορφώσετε μια στατική διεύθυνση δικτύου για το Mediation Controller. Για να το κάνετε αυτό, πρέπει πρώτα να ανακτήσετε το όνομα της διασύνδεσης δικτύου του υπολογιστή σας. Εκτελέστε την ακόλουθη εντολή ως root:

1
ip -br a | grep -ve "^lo"

Η εντολή αυτή εμφανίζει το όνομα της διασύνδεσης δικτύου, την κατάστασή της και τις διευθύνσεις IP που έχουν αντιστοιχιστεί στη διασύνδεση.

Παράδειγμα

Μετά την εκτέλεση της εντολής, εμφανίζεται η ακόλουθη έξοδος:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Το όνομα της διασύνδεσης δικτύου είναι ens192.

Αφού λάβετε το όνομα της διασύνδεσης δικτύου, μπορείτε πλέον να επεξεργαστείτε τη διαμόρφωση δικτύου του υπολογιστή.
Επεξεργαστείτε το αρχείο /etc/network/interfaces για να το τροποποιήσετε σύμφωνα με το ακόλουθο πρότυπο:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Όπου:

  • Το INTERFACE_NAME πρέπει να αντικατασταθεί από το όνομα της διασύνδεσης δικτύου που ανακτήσατε προηγουμένως.
  • Το RIP_MED_WEB_MASTER πρέπει να αντικατασταθεί από την κύρια πραγματική διεύθυνση IP του διακομιστή, η οποία θα είναι η διεύθυνση IP μέσω της οποίας θα είναι προσβάσιμες οι κονσόλες web.
  • Το NETMASK πρέπει να αντικατασταθεί από τη μάσκα δικτύου που σχετίζεται με τη διεύθυνση IP.
  • Το NETWORK_GATEWAY πρέπει να αντικατασταθεί από την προεπιλεγμένη πύλη δικτύου.
  • Το IP_DNS πρέπει να αντικατασταθεί από τη διεύθυνση IP του διακομιστή DNS. Εάν πρέπει να διαμορφωθούν περισσότεροι διακομιστές (έως 3), διαχωρίστε τους με κενό διάστημα.
  • Το DNS_SUFFIX πρέπει να αντικατασταθεί από το επίθημα DNS που θα χρησιμοποιηθεί. Εάν δεν χρειάζεται να καταχωρίσετε επίθημα, διαγράψτε τη γραμμή.
  • Το RIP_MED_SSL_MASTER πρέπει να αντικατασταθεί από τη δευτερεύουσα πραγματική διεύθυνση IP του διακομιστή. Αυτή θα είναι η διεύθυνση IP μέσω της οποίας θα είναι προσβάσιμο το SSL Router.
Παράδειγμα 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Τέλος, το μόνο που απομένει είναι η επανεκκίνηση της υπηρεσίας networking, ώστε να φορτωθεί η νέα διαμόρφωση δικτύου: 

1
systemctl restart networking

Είναι απαραίτητο να διαμορφώσετε μια στατική διεύθυνση δικτύου για το Mediation Controller. Για να το κάνετε αυτό, πρέπει πρώτα να ανακτήσετε το όνομα της διασύνδεσης δικτύου του υπολογιστή σας. Εκτελέστε την ακόλουθη εντολή ως root:

1
ip -br a | grep -ve "^lo"

Η εντολή αυτή εμφανίζει το όνομα της διασύνδεσης δικτύου, την κατάστασή της και τις διευθύνσεις IP που έχουν αντιστοιχιστεί στη διασύνδεση.

Παράδειγμα

Μετά την εκτέλεση της εντολής, εμφανίζεται η ακόλουθη έξοδος:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Το όνομα της διασύνδεσης δικτύου είναι ens192.

Αφού λάβετε το όνομα της διασύνδεσης δικτύου, μπορείτε πλέον να επεξεργαστείτε τη διαμόρφωση δικτύου του υπολογιστή.
Επεξεργαστείτε το αρχείο /etc/network/interfaces για να το τροποποιήσετε σύμφωνα με το ακόλουθο πρότυπο:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Όπου:

  • Το INTERFACE_NAME πρέπει να αντικατασταθεί από το όνομα της διασύνδεσης δικτύου που ανακτήσατε προηγουμένως.
  • Το RIP_MED_WEB_SLAVE πρέπει να αντικατασταθεί από την κύρια πραγματική διεύθυνση IP του διακομιστή, η οποία θα είναι η διεύθυνση IP μέσω της οποίας θα είναι προσβάσιμες οι κονσόλες web.
  • Το NETMASK πρέπει να αντικατασταθεί από τη μάσκα δικτύου που σχετίζεται με τη διεύθυνση IP.
  • Το NETWORK_GATEWAY πρέπει να αντικατασταθεί από την προεπιλεγμένη πύλη δικτύου.
  • Το IP_DNS πρέπει να αντικατασταθεί από τη διεύθυνση IP του διακομιστή DNS. Εάν πρέπει να διαμορφωθούν περισσότεροι διακομιστές (έως 3), διαχωρίστε τους με κενό διάστημα.
  • Το DNS_SUFFIX πρέπει να αντικατασταθεί από το επίθημα DNS που θα χρησιμοποιηθεί. Εάν δεν χρειάζεται να καταχωρίσετε επίθημα, διαγράψτε τη γραμμή.
  • Το RIP_MED_SSL_SLAVE πρέπει να αντικατασταθεί από τη δευτερεύουσα πραγματική διεύθυνση IP του διακομιστή. Αυτή θα είναι η διεύθυνση IP μέσω της οποίας θα είναι προσβάσιμο το SSL Router.
Παράδειγμα 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Τέλος, το μόνο που απομένει είναι η επανεκκίνηση της υπηρεσίας networking, ώστε να φορτωθεί η νέα διαμόρφωση δικτύου: 

1
systemctl restart networking

Συμβουλή

Τώρα που εφαρμόστηκαν οι ρυθμίσεις δικτύου, η πρόσβαση στον διακομιστή είναι δυνατή μέσω SSH.

Αλλαγή των κωδικών πρόσβασης των τοπικών λογαριασμών

Το CyberElements συνιστά ανεπιφύλακτα να αλλάξετε τον κωδικό πρόσβασης αυτών των λογαριασμών μόλις αναπτυχθεί η εικονική συσκευή.

Χρησιμοποιήστε την ακόλουθη εντολή και πληκτρολογήστε τον νέο κωδικό πρόσβασης για τον τυπικό λογαριασμό systancia:

1
passwd systancia

Στη συνέχεια, επαναλάβετε τη διαδικασία για τον λογαριασμό υπερχρήστη root:

1
passwd root

Διαμόρφωση του ονόματος του υπολογιστή

Μπορείτε να αλλάξετε το όνομα του διακομιστή διαμορφώνοντας τα αρχεία hostname και hosts του διακομιστή.

Επεξεργαστείτε το αρχείο /etc/hostname για να καθορίσετε το όνομα του υπολογιστή.
Το προϊόν χρειάζεται το νέο όνομα και σε άλλη θέση, επομένως πρέπει να δημιουργηθεί ένα αντίγραφο του προηγούμενου αρχείου με την ακόλουθη εντολή:

1
cp /etc/hostname /var/ipdiva/zopeChroot/etc/hostname

Είναι απαραίτητο να αναπαραγάγετε τη διαμόρφωση του αρχείου /etc/hosts σε σχέση με την πραγματική κύρια διεύθυνση IP του υπολογιστή (RIP_MED_WEB_MASTER).
Για να το κάνετε αυτό, επεξεργαστείτε το αρχείο /etc/hosts και ελέγξτε ότι η δεύτερη γραμμή έχει την ακόλουθη μορφή:

2
RIP_MED_WEB_MASTER  FQDN    MACHINE_NAME
Παράδειγμα

Εάν ο υπολογιστής ονομάζεται MEDIATION-CONTROLLER-MASTER χωρίς να ανήκει σε τομέα και η πραγματική διεύθυνση IP του RIP_MED_WEB_MASTER είναι 10.0.10.10, τότε το αρχείο θα συμπληρωνόταν ως εξής:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER

Εάν ο υπολογιστής ανήκει στον τομέα DOMAIN.LOCAL, το αρχείο θα συμπληρωνόταν ως εξής:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER.DOMAIN.LOCAL   MEDIATION-CONTROLLER-MASTER

Είναι απαραίτητο να αναπαραγάγετε τη διαμόρφωση του αρχείου /etc/hosts σε σχέση με την πραγματική κύρια διεύθυνση IP του υπολογιστή (RIP_MED_WEB_SLAVE).
Για να το κάνετε αυτό, επεξεργαστείτε το αρχείο /etc/hosts και ελέγξτε ότι η δεύτερη γραμμή έχει την ακόλουθη μορφή:

2
RIP_MED_WEB_SLAVE  FQDN    MACHINE_NAME
Παράδειγμα

Εάν ο υπολογιστής ονομάζεται MEDIATION-CONTROLLER-SLAVE χωρίς να ανήκει σε τομέα και η πραγματική διεύθυνση IP του RIP_MED_WEB_SLAVE είναι 10.0.10.12, τότε το αρχείο θα συμπληρωνόταν ως εξής:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE

Εάν ο υπολογιστής ανήκει στον τομέα DOMAIN.LOCAL, το αρχείο θα συμπληρωνόταν ως εξής:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE.DOMAIN.LOCAL   MEDIATION-CONTROLLER-SLAVE

Για να εφαρμόσετε τη νέα διαμόρφωση, επανεκκινήστε τον διακομιστή:

1
reboot

Τροποποίηση της ζώνης ώρας

Από προεπιλογή, η εικονική συσκευή είναι ρυθμισμένη στη ζώνη ώρας Europe/Paris.

Για να αλλάξετε αυτήν τη ζώνη ώρας, χρησιμοποιήστε πρώτα την ακόλουθη εντολή για να ανακτήσετε τη σύνταξη των διαθέσιμων ζωνών ώρας:

1
timedatectl list-timezones

Στη συνέχεια, χρησιμοποιήστε την ακόλουθη γραμμή εντολών:

1
timedatectl set-timezone your_time_zone
Παράδειγμα

Για να ορίσετε τη ζώνη ώρας του Λονδίνου, πρέπει να εκτελεστεί η ακόλουθη εντολή:

1
timedatectl set-timezone Europe/London

Ελέγξτε τη ζώνη ώρας του διακομιστή με την ακόλουθη γραμμή εντολών:

1
timedatectl

Αρχικοποίηση του διακομιστή Mediation Controller

Αρχικοποίηση του διακομιστή Mediation Controller

Ο διακομιστής Mediation Controller αρχικοποιείται με χρήση ενός σεναρίου διαμόρφωσης. Το σενάριο αυτό διαμορφώνει εκ νέου τις διευθύνσεις IP του συμπλέγματος στις διάφορες υπηρεσίες του προϊόντος και προδιαμορφώνει τις ρυθμίσεις που απαιτούνται για τη λειτουργία ενός στοιχείου HTML5 Gateway.
Εκτελέστε το μέσω της ακόλουθης γραμμής εντολών ως root:

1
/opt/systancia/initializeCluster

Το σενάριο θα σας ζητήσει να εισαγάγετε τις ακόλουθες πληροφορίες:

  • IP VIP HTTPS: εικονική διεύθυνση IP web του συμπλέγματος, δηλαδή η VIP_MED_WEB.
  • IP VIP SSL: εικονική διεύθυνση IP SSL του συμπλέγματος, δηλαδή η VIP_MED_SSL.
  • IP VIP ZIO: εικονική διεύθυνση IP για τη σύνδεση του διακομιστή Mediation Controller SLAVE με την εσωτερική βάση δεδομένων διαμόρφωσης του διακομιστή MASTER, δηλαδή η VIP_MED_ZEO.
  • IP Master HTTPS: η πραγματική διεύθυνση IP web του διακομιστή Mediation Controller MASTER, δηλαδή η RIP_MED_WEB_MASTER.
  • IP Master SSL: η πραγματική διεύθυνση IP για το στοιχείο SSL Router του διακομιστή Mediation Controller MASTER, δηλαδή η RIP_MED_SSL_MASTER.
  • IP Slave HTTPS: η πραγματική διεύθυνση IP web του διακομιστή Mediation Controller SLAVE, δηλαδή η RIP_MED_WEB_SLAVE.
  • IP Slave SSL: η πραγματική διεύθυνση IP για το στοιχείο SSL Router του διακομιστή Mediation Controller SLAVE, δηλαδή η RIP_MED_SSL_SLAVE.
  • HTML5 port: τοπική θύρα ακρόασης για την ανακατεύθυνση της πρόσβασης στην υπηρεσία HTML5 Gateway· συνιστούμε να εισαγάγετε τη θύρα 1234.
  • Gateway: όνομα του στοιχείου Edge Gateway· εισαγάγετε το όνομα του πρώτου στοιχείου Edge Gateway.
  • Organization: όνομα του οργανισμού στον οποίο θα συνδεθούν τα στοιχεία Edge Gateway και HTML5 Gateway.

Μόλις ολοκληρωθεί η αρχικοποίηση, επανεκκινήστε τον διακομιστή:

1
reboot

Αλλαγή του κωδικού πρόσβασης της κονσόλας /mediation/system του CyberElements Gate

Σε αυτό το στάδιο της εγκατάστασης, είναι διαθέσιμη μια νέα διεπαφή διαχείρισης: Αλλαγή κωδικού πρόσβασης

Εφαρμογή αδειών χρήσης και πιστοποιητικών

Εξακολουθώντας στην κονσόλα /mediation/system, θα πρέπει να καταχωρίσετε τα πιστοποιητικά και τις άδειες χρήσης του διακομιστή Mediation Controller.

Προσοχή!

Η άδεια χρήσης και το πιστοποιητικό του SSL Router είναι συγκεκριμένα για τον διακομιστή Mediation Controller MASTER ή SLAVE.
Η διαμόρφωση λανθασμένης άδειας χρήσης ή λανθασμένου πιστοποιητικού θα προκαλέσει δυσλειτουργίες αργότερα.

Εφαρμόστε την άδεια χρήσης και το πιστοποιητικό για το στοιχείο SSL Router:

  1. Κάντε κλικ στην καρτέλα Settings.
  2. Επιλέξτε SSL Connections από το μενού.
  3. Αναζητήστε το πιστοποιητικό για το SSL Router.
  4. Πληκτρολογήστε τον κωδικό πρόσβασης του πιστοποιητικού του SSL Router.
  5. Κάντε κλικ στο Apply για να εφαρμόσετε το πιστοποιητικό στο SSL Router.
  6. Επιλέξτε το αρχείο άδειας χρήσης του διακομιστή.
  7. Κάντε κλικ στο Modify για να εφαρμόσετε την άδεια χρήσης του διακομιστή.

Στη συνέχεια, καταχωρίστε τις πληροφορίες πιστοποιητικού για το πρόγραμμα-πελάτη CyberElements Bastion:

  1. Επιλέξτε την καρτέλα Plugin.
  2. Αναζητήστε το πιστοποιητικό του προγράμματος-πελάτη CyberElements Bastion.
  3. Πληκτρολογήστε τον κωδικό πρόσβασης του πιστοποιητικού.
  4. Κάντε κλικ στο Apply για να εφαρμόσετε το πιστοποιητικό.

Απομένει ακόμη να καταχωρίσετε τις πληροφορίες για το πιστοποιητικό του Watchdog:

  1. Επιλέξτε την καρτέλα Watchdog
  2. Αναζητήστε το πιστοποιητικό του Watchdog.
  3. Πληκτρολογήστε τον κωδικό πρόσβασης του πιστοποιητικού.
  4. Κάντε κλικ στο Apply για να εφαρμόσετε το πιστοποιητικό.

Για να τεθούν σε ισχύ αυτές οι αλλαγές, πρέπει να επανεκκινήσετε το SSL Router και το Watchdog:

Σύζευξη των διακομιστών Mediation Controller

Προσοχή!

Σε αυτό το σημείο, και οι δύο διακομιστές Mediation Controller πρέπει να έχουν διαμορφωθεί έως το βήμα εφαρμογής αδειών χρήσης και πιστοποιητικών.
Εάν ο διακομιστής Mediation Controller SLAVE δεν έχει διαμορφωθεί ακόμη, διαμορφώστε τον ξεκινώντας από την αρχή αυτής της τεκμηρίωσης.

Το βήμα σύζευξης των διακομιστών Mediation Controller δημιουργεί μια σχέση εμπιστοσύνης μεταξύ των δύο διακομιστών και αρχικοποιεί τη λειτουργία του συμπλέγματος.

Στον διακομιστή Mediation Controller SLAVE

Εκτελέστε την ακόλουθη εντολή ως root για να εκκινήσετε ένα αίτημα σύζευξης με τον διακομιστή Mediation Controller MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Αντικαταστήστε το RIP_MED_WEB_MASTER με την αντίστοιχη διεύθυνση IP.

Παράδειγμα

Εάν το RIP_MED_WEB_MASTER είναι ίσο με 10.0.10.10, η εντολή που πρέπει να εισαγάγετε είναι η εξής:

1
hostManagerCtl bootstrap 10.0.10.10

Στον διακομιστή Mediation Controller MASTER

Εκτελέστε την ακόλουθη εντολή ως root για να ελέγξετε τα εκκρεμή αιτήματα σύζευξης και να ανακτήσετε το αναγνωριστικό του αιτήματος: 

1
hostManagerCtl getPendingRequests

Στη συνέχεια, εκτελέστε την ακόλουθη εντολή για να αποδεχτείτε το αίτημα σύζευξης, αντικαθιστώντας το ID με το αναγνωριστικό που ανακτήσατε με την προηγούμενη εντολή:

1
hostManagerCtl acceptRequest ID
Παράδειγμα

Εάν η τιμή επιστροφής της εντολής hostManagerCtl getPendingRequests είναι η εξής:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Τότε η εντολή αποδοχής του αιτήματος σύζευξης είναι η εξής:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Για να επαληθεύσετε τη συσχέτιση, χρησιμοποιήστε την ακόλουθη εντολή στον διακομιστή Mediation Controller (είτε MASTER είτε SLAVE):

1
hostManagerCtl listPeers

Το αποτέλεσμα διαφέρει ανάλογα με τον διακομιστή στον οποίο εκτελείται η εντολή:

Το αναμενόμενο αποτέλεσμα στον διακομιστή Mediation Controller MASTER είναι το εξής:

1
slave -> RIP_MED_WEB_SLAVE
Παράδειγμα 
1
slave -> 10.0.10.12

Το αναμενόμενο αποτέλεσμα στον διακομιστή Mediation Controller SLAVE είναι το εξής:

1
master -> RIP_MED_WEB_MASTER
Παράδειγμα 
1
master -> 10.0.10.10

Στον διακομιστή Mediation Controller SLAVE

Μπορείτε να ελέγξετε την κατάσταση της διαδικασίας bootstrap από τον διακομιστή SLAVE χρησιμοποιώντας την ακόλουθη εντολή:

1
hostManagerCtl getBootstrapStatus

Ένα σύμπλεγμα που δεν αντιμετωπίζει προβλήματα συγχρονισμού επιστρέφει την τιμή 0.

Απαιτείται μια τελευταία σειρά εντολών, πάλι στον διακομιστή SLAVE, για τον συγχρονισμό ενός κοινόχρηστου μυστικού μεταξύ των δύο διακομιστών Mediation Controller:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Ποιος είναι ο σκοπός της σύνδεσης μεταξύ διακομιστών;

Πρόκειται για μια ειδική σύνδεση για τη λειτουργία συμπλέγματος, η οποία επιτρέπει σε έναν διακομιστή Mediation Controller να δρομολογεί την κίνηση προς έναν άλλο διακομιστή Mediation Controller σε περιπτώσεις όπου το Edge Gateway προορισμού δεν είναι συνδεδεμένο στον πρώτο διακομιστή αλλά μόνο στον δεύτερο.

Για παράδειγμα, εάν ο διακομιστής Mediation Controller MASTER δεν είναι πλέον συνδεδεμένος στο Edge Gateway, μπορεί να χρησιμοποιήσει τη σύνδεση μεταξύ διακομιστών για να φτάσει στο Edge Gateway μέσω του διακομιστή Mediation Controller SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Η σύνδεση χάθηκε| GW(Edge Gateway)
    MASTER --> |Σύνδεση μεταξύ διακομιστών| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Στον διακομιστή Mediation Controller MASTER

Επεξεργαστείτε το αρχείο /etc/ipdiva/server/remoteServers.xml για να υποδείξετε το CN του πιστοποιητικού μεταξύ διακομιστών:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Αντικαταστήστε το SLAVECN με το CN του πιστοποιητικού που προορίζεται για τη σύνδεση μεταξύ διακομιστών.
Εάν δεν γνωρίζετε το CN του πιστοποιητικού μεταξύ διακομιστών, μπορείτε να καταχωρίσετε τον χαρακτήρα * (συνιστάται σε περίπτωση αμφιβολίας):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • CN πιστοποιητικού μεταξύ διακομιστών: my-interserver-cert

Το αρχείο /etc/ipdiva/server/remoteServers.xml στον διακομιστή Mediation Controller MASTER θα συμπληρωνόταν ως εξής:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Στον διακομιστή Mediation Controller SLAVE

Στείλτε το πιστοποιητικό μεταξύ διακομιστών στο Mediation Controller SLAVE, στον κατάλογο /tmp/.
Στη συνέχεια, εκτελέστε τις ακόλουθες εντολές ως root για να το μετακινήσετε στον κατάλογο προορισμού με τις κατάλληλες άδειες:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Στη συνέχεια, επεξεργαστείτε το αρχείο /etc/ipdiva/server/remoteServers.xml για να προσθέσετε το ακόλουθο περιεχόμενο στην ετικέτα <remoteConfig> (η παλιά ετικέτα <localCluster> μπορεί να διαγραφεί εντελώς):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Αντικαταστήστε:

  • MASTERCN: καθορίστε το CN του πιστοποιητικού του SSL Router του Mediation Controller MASTER, το οποίο είναι συνήθως RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: αντιστοιχεί στη δευτερεύουσα διεύθυνση IP του Mediation Controller MASTER.
  • PORT_RIP_MED_SSL_MASTER: πρόκειται για τη θύρα ακρόασης του SSL Router του Mediation Controller MASTER· είναι συνήθως η 443.
  • INTERSERVER.P12: όνομα του πιστοποιητικού που προορίζεται για τη σύνδεση μεταξύ διακομιστών.
  • PASSWORD: κωδικός πρόσβασης του πιστοποιητικού μεταξύ διακομιστών.
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Όνομα πιστοποιητικού μεταξύ διακομιστών: my-interserver-cert.p12
  • Κωδικός πρόσβασης πιστοποιητικού μεταξύ διακομιστών: MySecurePassword
  • RIP SSL του Mediation Controller MASTER: 10.0.10.11
  • Θύρα στη διεύθυνση RIP SSL του Mediation Controller MASTER: 443
  • CN του πιστοποιητικού του Mediation Controller MASTER: 10.0.10.11

Το αρχείο /etc/ipdiva/server/remoteServers.xml στον διακομιστή Mediation Controller SLAVE θα συμπληρωνόταν ως εξής:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Τροποποιήστε τη διαμόρφωση του SSL Router SLAVE εκτελώντας την ακόλουθη εντολή:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Στους διακομιστές Mediation Controller MASTER και SLAVE

Επανεκκινήστε το SSL Router για να εφαρμόσετε τις ρυθμίσεις της σύνδεσης μεταξύ διακομιστών:

1
/usr/local/ipdiva/server/bin/restart

Για να επιβεβαιώσετε ότι η σύνδεση μεταξύ διακομιστών λειτουργεί σωστά, η ακόλουθη εντολή θα πρέπει να επιστρέψει ένα αποτέλεσμα:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Η προηγούμενη εντολή θα πρέπει να παραγάγει μια καταχώρηση στο αρχείο καταγραφής που περιέχει τα εξής: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Εάν δεν εμφανίζεται τέτοια καταχώρηση, ελέγξτε τη διαμόρφωση που ορίστηκε σε αυτό το κεφάλαιο.

Στην κονσόλα web /mediation/system του Mediation Controller MASTER

Ενεργοποιήστε τη σύνδεση μεταξύ των δύο διακομιστών Mediation Controller, επεξεργαζόμενοι τον εικονικό κεντρικό υπολογιστή SSL default:

Συμπληρώστε τα διάφορα πεδία σύμφωνα με τις παρακάτω οδηγίες και ενεργοποιήστε τη δυνατότητα σύνδεσης μεταξύ διακομιστών, επιλέγοντας το πλαίσιο ελέγχου με την ετικέτα Is cross-server linking configured?:

  • Public address for plugin connections: αντιστοιχεί στη διεύθυνση VIP_MED_SSL, ακολουθούμενη από τη θύρα ακρόασής της (συνήθως 443).
  • Actual public IP addresses for web connections: αντιστοιχεί στο ζεύγος των πραγματικών διευθύνσεων IP web (RIP_MED_WEB_MASTER και RIP_MED_WEB_SLAVE) με τις αντίστοιχες θύρες τους, μία γραμμή ανά ζεύγος διεύθυνσης IP και θύρας.
  • Actual public IP addresses for SSL connections: αντιστοιχεί στο ζεύγος των πραγματικών διευθύνσεων IP SSL (RIP_MED_SSL_MASTER και RIP_MED_SSL_SLAVE) με τις αντίστοιχες θύρες τους, μία γραμμή ανά ζεύγος διεύθυνσης IP και θύρας.

Αρχικοποίηση του CyberElements Bastion

Σύνδεση με τη βάση δεδομένων PostgreSQL

Για να λειτουργήσει, το CyberElements Bastion απαιτεί τη χρήση μιας εξωτερικής βάσης δεδομένων (DB) PostgreSQL για την αποθήκευση των ρυθμίσεών του και των διάφορων αρχείων καταγραφής στην κονσόλα /system.
Εάν η DB είναι άμεσα προσβάσιμη από τους διακομιστές Mediation Controller, μεταβείτε απευθείας στο βήμα αρχικοποίησης της DB.

Σύνδεση με βάση δεδομένων στο LAN

Για να είναι δυνατή η σύνδεση με μια βάση δεδομένων που βρίσκεται στο LAN χωρίς να ανοίξει μια ροή από τη DMZ προς το LAN, η ροή της βάσης δεδομένων θα ανακατευθυνθεί μέσω μιας σήραγγας TLS μεταξύ των στοιχείων Edge Gateway και των διακομιστών Mediation Controller.
Για να επιτευχθεί αυτό, είναι απαραίτητο να διαμορφώσετε ένα στοιχείο Edge Gateway (ή δύο στοιχεία Edge Gateway) χρησιμοποιώντας την υποκείμενη τεχνολογία CyberElements Gate.

Δήλωση των στοιχείων Edge Gateway του CyberElements Gate

Για να το κάνετε αυτό, ξεκινήστε συνδεόμενοι στην κονσόλα /mediation/system του CyberElements Gate.

Στη συνέχεια, μεταβείτε στο μενού «Organizations» και κάντε κλικ στο «Add»:

Πληκτρολογήστε το όνομα του οργανισμού, το οποίο πρέπει να διαφέρει από αυτό που έχει δοθεί στο CyberElements Bastion (για παράδειγμα, tunnel), και καθορίστε τουλάχιστον μία άδεια χρήσης περιόδου λειτουργίας χρήστη, καθώς και τον κωδικό πρόσβασης για τον λογαριασμό admin:

Συνδεθείτε στη διασύνδεση διαχείρισης του οργανισμού που δημιουργήσατε προηγουμένως με τον λογαριασμό admin, μεταβαίνοντας στη διεύθυνση /gate/admin:

Στη συνέχεια, δηλώστε και τα δύο Edge Gateway που θα χρησιμοποιηθούν για τη δημιουργία της σήραγγας.
Στα αριστερά, τοποθετήστε τον δείκτη του ποντικιού πάνω από το Infrastructure, κάντε κλικ στο Gateways και, στη συνέχεια, κάντε κλικ στο κουμπί Add:

Πληκτρολογήστε το όνομα του πρώτου Edge Gateway και επιβεβαιώστε την καταχώρηση:

Πληροφορίες

Υπενθυμίζεται ότι το όνομα ενός Edge Gateway συνδέεται με το πιστοποιητικό που θα χρησιμοποιεί για τον έλεγχο ταυτότητάς του στο SSL Router του Mediation Controller.
Το όνομα αυτό έχει την ακόλουθη μορφή <GW_NAME>@<ORGANIZATION_NAME>, όπου το <GW_NAME> αντιστοιχεί στο όνομα του Edge Gateway και το <ORGANIZATION_NAME> αντιστοιχεί στο όνομα του οργανισμού που δημιουργήθηκε στην κονσόλα συστήματος του CyberElements Gate.

Επαναλάβετε το βήμα δήλωσης του Edge Gateway για το δεύτερο Edge Gateway.

Συνδέσεις και ρυθμίσεις σήραγγας στα στοιχεία Edge Gateway

Πληροφορίες

Τα παρακάτω βήματα μπορούν να επαναληφθούν και στα δύο Edge Gateway που χρησιμοποιούνται για τη σήραγγα πρόσβασης στη βάση δεδομένων.

Προαπαιτούμενα

Για να ολοκληρώσετε αυτό το μέρος, θα χρειαστεί να χρησιμοποιήσετε ένα από τα εξής:

Πρώτα, χρησιμοποιήστε ένα εργαλείο όπως το WinSCP ή το FileZilla για να μεταφέρετε μέσω SCP το πιστοποιητικό που απαιτείται για τη σύνδεση στον κατάλογο /tmp/ του Edge Gateway.

Στη συνέχεια, συνδεθείτε μέσω SSH και μεταβείτε στον χρήστη root.

Για να συνδέσετε το Edge Gateway και με τους δύο διακομιστές Mediation Controller, πρέπει να δημιουργήσετε δύο νέες παρουσίες του Edge Gateway: η μία θα συνδέεται στο Mediation Controller MASTER και η άλλη στο Mediation Controller SLAVE.
Για να τις δημιουργήσετε, εκτελέστε τις ακόλουθες εντολές:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Αντιγράψτε το αρχείο πιστοποιητικού στους καταλόγους /etc/ipdiva/gateway-tunnel-master/ssl/ και /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Αντικαταστήστε το <CERT_NAME> με το όνομα του πιστοποιητικού που πρέπει να χρησιμοποιεί το Edge Gateway για να συνδεθεί στο Mediation Controller.

Διαμορφώστε τις παρουσίες του Edge Gateway ώστε να μπορούν να συνδέονται στους διακομιστές Mediation Controller.
Οι διαμορφώσεις διαφέρουν ανάλογα με το Mediation Controller με το οποίο πρέπει να γίνει επικοινωνία. Εφαρμόστε και τις δύο ρυθμίσεις:

Επεξεργαστείτε το αρχείο /etc/ipdiva/gateway-tunnel-master/gateway.xml και συμπληρώστε το με τις ακόλουθες πληροφορίες (ορισμένα τμήματα έχουν παραλειφθεί και υποδεικνύονται με […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Αντικαταστήστε τα ακόλουθα στοιχεία:

  • @SERVER@: πρέπει να αντικατασταθεί με τη διεύθυνση RIP_MED_SSL_MASTER
  • @SERVERPORT@: πρέπει να αντικατασταθεί με τη θύρα ακρόασης του SSL Router, η οποία ορίζεται κανονικά σε 443
  • keyfile.pem: πρέπει να αντικατασταθεί με το όνομα του αρχείου πιστοποιητικού
  • PASSWORD: πρέπει να αντικατασταθεί με τον κωδικό πρόσβασης του πιστοποιητικού
  • @RPC_PORT@: πρέπει να αντικατασταθεί με μια θύρα στην οποία δεν γίνεται αυτήν τη στιγμή ακρόαση στον υπολογιστή· μπορεί να χρησιμοποιηθεί η θύρα 9082
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Το RIP_MED_SSL_MASTER ισούται με: 10.0.10.11
  • Θύρα ακρόασης του SSL Router: 443
  • Όνομα αρχείου πιστοποιητικού: gate-tunnel.p12
  • Κωδικός πρόσβασης πιστοποιητικού: Str0ngP@ssw0rd

Το αρχείο /etc/ipdiva/gateway-tunnel-master/gateway.xml θα διαμορφωνόταν ως εξής:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Επεξεργαστείτε το αρχείο /etc/ipdiva/gateway-tunnel-slave/gateway.xml και συμπληρώστε το με τις ακόλουθες πληροφορίες (ορισμένα τμήματα έχουν παραλειφθεί και υποδεικνύονται με […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Αντικαταστήστε τα ακόλουθα στοιχεία:

  • @SERVER@: πρέπει να αντικατασταθεί με τη διεύθυνση RIP_MED_SSL_SLAVE
  • @SERVERPORT@: πρέπει να αντικατασταθεί με τη θύρα ακρόασης του SSL Router, η οποία ορίζεται κανονικά σε 443
  • keyfile.pem: πρέπει να αντικατασταθεί με το όνομα του αρχείου πιστοποιητικού
  • PASSWORD: πρέπει να αντικατασταθεί με τον κωδικό πρόσβασης του πιστοποιητικού
  • @RPC_PORT@: πρέπει να αντικατασταθεί με μια θύρα που δεν χρησιμοποιείται αυτήν τη στιγμή στον υπολογιστή· μπορεί να χρησιμοποιηθεί η θύρα 9083
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Το RIP_MED_SSL_SLAVE ισούται με: 10.0.10.13
  • Θύρα ακρόασης του SSL Router: 443
  • Όνομα αρχείου πιστοποιητικού: gate-tunnel.p12
  • Κωδικός πρόσβασης πιστοποιητικού: Str0ngP@ssw0rd

Το αρχείο /etc/ipdiva/gateway-tunnel-slave/gateway.xml θα διαμορφωνόταν ως εξής:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Τώρα που οι παρουσίες έχουν διαμορφωθεί ώστε να συνδέονται στους διακομιστές Mediation Controller, πρέπει ακόμη να διαμορφωθούν ώστε να ανακατευθύνουν τη σύνδεση του Mediation Controller προς τη βάση δεδομένων.
Για να το κάνετε αυτό, επεξεργαστείτε το αρχείο /etc/ipdiva/gateway-tunnel-master/services.xml και τροποποιήστε το ως εξής: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Αντικαταστήστε το DB_SERVER με το όνομα DNS ή τη διεύθυνση IP που χρησιμοποιείται για τη σύνδεση στη βάση δεδομένων και το DB_PORT με τη θύρα ακρόασης της παρουσίας της βάσης δεδομένων.
Αναπαραγάγετε αυτές τις ρυθμίσεις για την παρουσία που συνδέεται στον διακομιστή Mediation Controller SLAVE, αντιγράφοντας το αρχείο:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Τέλος, εκκινήστε τις παρουσίες του Edge Gateway ώστε να δημιουργήσουν σύνδεση με τους διακομιστές Mediation Controller:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Διαμόρφωση της σήραγγας των διακομιστών Mediation Controller

Για να μπορούν οι διακομιστές Mediation Controller να χρησιμοποιούν τη σήραγγα, πρέπει ακόμη να δηλώσετε την ύπαρξή της.
Για να το κάνετε αυτό, συνδεθείτε ως root στους διακομιστές Mediation Controller και επεξεργαστείτε το αρχείο /etc/ipdiva/server/services.xml για να προσθέσετε το ακόλουθο τμήμα (ορισμένα τμήματα έχουν παραλειφθεί και επισημαίνονται με […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Αντικαταστήστε τα ακόλουθα στοιχεία:

  • GW1_NAME με το όνομα του πρώτου Edge Gateway
  • GW2_NAME με το όνομα του δεύτερου Edge Gateway
  • ORGANIZATION_NAME με το όνομα του οργανισμού του CyberElements Gate που δημιουργήθηκε προηγουμένως
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Όνομα του Edge Gateway 1: gate-tunnel-1
  • Όνομα του Edge Gateway 2: gate-tunnel-2
  • Όνομα του οργανισμού του CyberElements Gate: tunnel

Το αρχείο /etc/ipdiva/server/services.xml θα συμπληρωνόταν ως εξής:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Για να εφαρμόσετε τη νέα διαμόρφωση, επανεκκινήστε το SSL Router με την ακόλουθη εντολή:

1
/usr/local/ipdiva/server/bin/restart

Αρχικοποίηση της βάσης δεδομένων

Προσοχή!

Πρέπει να δημιουργήσετε τη βάση δεδομένων default πριν την αρχικοποιήσει το CyberElements Bastion (δεν δημιουργείται αυτόματα).

Για να αρχικοποιήσετε τη βάση δεδομένων PostgreSQL της διαμόρφωσης συστήματος, πρέπει πρώτα να διαμορφώσετε τις ρυθμίσεις σύνδεσης στους διακομιστές Mediation Controller.
Για να το κάνετε αυτό, επεξεργαστείτε το αρχείο /etc/ipdiva/care/databasesettings.ini και στους δύο διακομιστές και προσθέστε τις ακόλουθες καταχωρήσεις:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Αντικαταστήστε τα ακόλουθα στοιχεία:

  • DB_USERNAME με το όνομα χρήστη που χρησιμοποιείται για τη σύνδεση στη βάση δεδομένων.
  • DB_PWD με τον κωδικό πρόσβασης του χρήστη που συνδέεται.
  • DB_HOST με τη διεύθυνση IP ή το όνομα DNS που χρησιμοποιείται για τη σύνδεση στη βάση δεδομένων· εάν χρησιμοποιείται σύνδεση μέσω Edge Gateway, θα πρέπει να καταχωρίσετε 127.0.0.1.
  • DB_PORT με τη θύρα που χρησιμοποιείται για τη σύνδεση στην παρουσία της βάσης δεδομένων· εάν χρησιμοποιείται σύνδεση μέσω Edge Gateway, θα πρέπει να καταχωρίσετε 1432.

Η αρχικοποίηση της βάσης δεδομένων μπορεί να εκκινηθεί με τις ακόλουθες εντολές, οι οποίες πρέπει να εκτελεστούν μόνο σε ένα Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Στη συνέχεια, το μόνο που απομένει είναι η επανεκκίνηση της υπηρεσίας apache2 και στους δύο διακομιστές Mediation Controller για την εφαρμογή της αρχικοποίησης της βάσης δεδομένων συστήματος:

1
systemctl restart apache2

Διαμόρφωση διακομιστή ώρας NTP

Συνιστάται να ρυθμίσετε έναν διακομιστή ώρας για να διατηρείται ενημερωμένο το ρολόι του συστήματος. Τα απαραίτητα βήματα περιγράφονται στη σελίδα διαμόρφωσης NTP.

Αρχικές διαμορφώσεις του CyberElements Bastion

Εξουσιοδότηση πρόσβασης στις διεπαφές web με την εικονική IP

Από προεπιλογή, δεν επιτρέπεται η σύνδεση στις διασυνδέσεις web του προϊόντος CyberElements Bastion με την εικονική διεύθυνση IP VIP_MED_WEB.
Για να προσθέσετε την εξουσιοδότηση, εκτελέστε ως root τις ακόλουθες εντολές στους διακομιστές Mediation Controller:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Αντικαταστήστε το IP με τη διεύθυνση IP που αντιστοιχεί στο VIP_MED_WEB.

Αρχικές διαμορφώσεις

Σε αυτό το στάδιο, οι διακομιστές Mediation Controller έχουν εγκατασταθεί, αλλά απαιτούνται ακόμη αρκετές ενέργειες:

  • Αλλαγή των προεπιλεγμένων κωδικών πρόσβασης

    Αλλάξτε τους προεπιλεγμένους κωδικούς πρόσβασης των κονσολών συστήματος.

    Αλλαγή

  • Εγκατάσταση πιστοποιητικών και αδειών χρήσης

    Ο διακομιστής Mediation Controller απαιτεί διάφορα πιστοποιητικά και μια άδεια χρήσης για να είναι λειτουργικός.
    Μόνο το πιστοποιητικό για το πρόγραμμα-πελάτη CyberElements Bastion πρέπει να δηλωθεί εκ νέου και στους δύο διακομιστές Mediation Controller (χρησιμοποιήστε τις RIP RIP_MED_WEB_MASTER και RIP_MED_WEB_SLAVE).

    Εγκατάσταση πιστοποιητικών και άδειας χρήσης

  • Διαμόρφωση του πιστοποιητικού web

    Διαμορφώστε το πιστοποιητικό web που χρησιμοποιείται για τη σύνδεση στις διεπαφές web

    Διαμόρφωση

  • Δήλωση ονόματος DNS

    Προσθέστε ένα όνομα DNS που είναι εξουσιοδοτημένο να συνδέεται στις διεπαφές web.

    Προσθήκη