Μετάβαση στο περιεχόμενο

Εγκατάσταση του διακομιστή Edge Gateway

Σημείωση

Υπενθυμίζεται ότι η μετάβαση στον χρήστη root στους υπολογιστές Debian πρέπει να γίνεται με την ακόλουθη εντολή:

1
su -

Λήψη του ειδώλου και των απαραίτητων εργαλείων

Το κατοπτρικό αντίγραφο του CyberElements Cleanroom 4.6 και το κλειδί υπογραφής του αποθετηρίου της Systancia μπορούν να ληφθούν από αυτόν τον σύνδεσμο (απαιτείται η δημιουργία λογαριασμού πελάτη): Systancia Marketplace

Εκτός από το κατοπτρικό αντίγραφο και το κλειδί, για τη διαδικασία αναβάθμισης θα χρειαστούν εργαλεία τρίτων:

  • Ένα πρόγραμμα-πελάτης SSH (στα Windows, μπορείτε να χρησιμοποιήσετε το PuTTY)
  • Ένα πρόγραμμα-πελάτης SCP (στα Windows, μπορούν να χρησιμοποιηθούν τα εργαλεία WinSCP ή FileZilla)

Χρησιμοποιήστε το πρόγραμμα-πελάτη SSH για να συνδεθείτε απομακρυσμένα στον διακομιστή σας.

Χρησιμοποιήστε το πρόγραμμα-πελάτη SCP για να μεταφέρετε αρχεία στον απομακρυσμένο υπολογιστή σας.

Προετοιμασία για την εγκατάσταση

Διαμόρφωση του δικτύου

Συνιστάται ανεπιφύλακτα να ορίσετε μια στατική διεύθυνση δικτύου για τον διακομιστή Edge Gateway. Για να το κάνετε αυτό, πρέπει πρώτα να ανακτήσετε το όνομα της διασύνδεσης δικτύου του υπολογιστή σας και τη διεύθυνση MAC της. Εκτελέστε την ακόλουθη εντολή ως root:

1
ip -br link | grep -ve "^lo"

Η εντολή αυτή εμφανίζει το όνομα της διασύνδεσης δικτύου, την κατάστασή της, τη διεύθυνση MAC της και τις ρυθμίσεις της διασύνδεσης.

Παράδειγμα

Μετά την εκτέλεση της εντολής, εμφανίζεται η ακόλουθη έξοδος:

1
ens192           UP             00:50:56:a1:56:9f <BROADCAST,MULTICAST,UP,LOWER_UP>

Το όνομα της διασύνδεσης δικτύου είναι ens192 και η διεύθυνση MAC της είναι 00:50:56:a1:56:9f.

Αφού λάβετε το όνομα της διασύνδεσης δικτύου και τη διεύθυνση MAC, μπορείτε πλέον να επεξεργαστείτε τη διαμόρφωση δικτύου του υπολογιστή.
Επεξεργαστείτε το αρχείο /etc/network/interfaces για να το τροποποιήσετε σύμφωνα με το ακόλουθο πρότυπο:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports INTERFACE_NAME
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw MAC_ADDRESS
    address IP_GW
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

Όπου:

  • Το INTERFACE_NAME πρέπει να αντικατασταθεί από το όνομα της διασύνδεσης δικτύου που ανακτήσατε προηγουμένως.
  • Το MAC_ADDRESS πρέπει να αντικατασταθεί από τη διεύθυνση MAC που ανακτήσατε προηγουμένως.
  • Το IP_GW πρέπει να αντικατασταθεί από τη διεύθυνση IP του διακομιστή.
  • Το NETMASK πρέπει να αντικατασταθεί από τη μάσκα δικτύου που σχετίζεται με τη διεύθυνση IP.
  • Το NETWORK_GATEWAY πρέπει να αντικατασταθεί από την προεπιλεγμένη πύλη δικτύου.
  • Το IP_DNS πρέπει να αντικατασταθεί από τη διεύθυνση IP του διακομιστή DNS. Εάν πρέπει να διαμορφωθούν περισσότεροι διακομιστές (έως 3), διαχωρίστε τους με κενό διάστημα.
  • Το DNS_SUFFIX πρέπει να αντικατασταθεί από το επίθημα DNS που θα χρησιμοποιηθεί. Εάν δεν χρειάζεται να καταχωρίσετε επίθημα, διαγράψτε τη γραμμή.
Παράδειγμα 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports ens192
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw 00:50:56:a1:56:9f
    address 172.16.10.10
    netmask 255.255.255.0
    gateway 172.16.10.254
    dns-nameservers 172.16.11.2 172.16.11.3
    dns-search domain.local

Πριν από την εφαρμογή της διαμόρφωσης, απομένουν τρία ακόμη βήματα.

Το πρώτο είναι η εγκατάσταση των πακέτων resolvconf και bridge-utils, ώστε να μπορεί να εφαρμοστεί η διαμόρφωση DNS που καθορίστηκε στο προηγούμενο αρχείο και να μπορεί να χρησιμοποιηθεί η διασύνδεση br0:

1
apt install -y resolvconf bridge-utils

Το δεύτερο είναι ο έλεγχος της διαμόρφωσης του αρχείου /etc/hosts όσον αφορά την κύρια διεύθυνση IP του υπολογιστή (IP_GW).
Για να το κάνετε αυτό, επεξεργαστείτε το αρχείο /etc/hosts και ελέγξτε ότι η δεύτερη γραμμή έχει την ακόλουθη μορφή:

2
IP_GW   FQDN    MACHINE_NAME
Παράδειγμα

Εάν ο υπολογιστής ονομάζεται EDGE-GATEWAY χωρίς να ανήκει σε τομέα και η διεύθυνση IP του IP_GW είναι 172.16.10.10, το αρχείο θα συμπληρωνόταν ως εξής:

2
172.16.10.10  EDGE-GATEWAY

Εάν ο υπολογιστής ανήκει στον τομέα DOMAIN.LOCAL, το αρχείο θα συμπληρωνόταν ως εξής:

2
172.16.10.10  EDGE-GATEWAY.DOMAIN.LOCAL   EDGE-GATEWAY

Προσοχή!

Μια εσφαλμένη διαμόρφωση του αρχείου ενδέχεται να προκαλέσει σφάλμα κατά την εγκατάσταση του πακέτου collectd.

Το μόνο που απομένει είναι η επανεκκίνηση του διακομιστή: 

1
reboot

Διαμόρφωση του διαχειριστή πακέτων APT

Αποστείλετε τα αρχεία που λάβατε από το Systancia Marketplace στον κατάλογο /tmp/ του διακομιστή, χρησιμοποιώντας ένα πρόγραμμα-πελάτη SCP:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Συνδεθείτε στον διακομιστή ως root και, στη συνέχεια, εκτελέστε τις ακόλουθες εντολές για να αποσυμπιέσετε το αποθετήριο της Systancia, να διαμορφώσετε τη χρήση του στο APT και να επαληθεύσετε την αυθεντικότητά του.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Συνιστούμε ανεπιφύλακτα να απενεργοποιήσετε την εγκατάσταση μη απαραίτητων πακέτων κατά την εκτέλεση εντολών apt. Για να το κάνετε αυτό, εκτελέστε την ακόλουθη εντολή:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Εγκατάσταση του διακομιστή Edge Gateway του CyberElements Bastion

Εγκατάσταση βασικών στοιχείων

Ξεκινήστε την εγκατάσταση των στοιχείων με την ακόλουθη εντολή ως root:

1
apt install -y ipdiva-base

Μετά τη λήψη όλων των εξαρτήσεων, ανοίγει ένα παράθυρο που σας ζητά να επιλέξετε τον τύπο διακομιστή. Επιλέξτε gateway:

Τι πρέπει να κάνω σε περίπτωση σφάλματος;

Εάν υπάρχει σφάλμα στις πληροφορίες που καταχωρίσατε, συνεχίστε την εγκατάσταση του πακέτου ipdiva-base και, στη συνέχεια, χρησιμοποιήστε την ακόλουθη εντολή για να διαμορφώσετε ξανά τον διακομιστή:

1
dpkg-reconfigure ipdiva-base

Εγκατάσταση στοιχείων Edge Gateway

Στη συνέχεια, ξεκινήστε την εγκατάσταση των στοιχείων που αφορούν ειδικά το Edge Gateway με την ακόλουθη εντολή:

1
apt install -y ipdiva-safe-gateway ipdiva-gateway-setup

Τα στοιχεία του διακομιστή Edge Gateway έχουν πλέον εγκατασταθεί. Το μόνο που απομένει είναι η επανεκκίνηση του υπολογιστή, ώστε να μπορέσουν να αρχικοποιηθούν τα στοιχεία που μόλις εγκαταστάθηκαν:

1
reboot

Εγκατάσταση στοιχείων HTML5 Gateway

Χρησιμοποιήστε την ακόλουθη εντολή για να ξεκινήσετε την εγκατάσταση των στοιχείων του HTML5 Gateway στον διακομιστή Edge Gateway:

1
apt install -y ipdiva-html5gateway ipdiva-html5-webapp ipdiva-guacamole-server1

Χρησιμοποιήστε τις ακόλουθες γραμμές εντολών για να ενεργοποιήσετε και να διαμορφώσετε τις δυνατότητες μεταφοράς αρχείων και εικονικού εκτυπωτή:

1
2
3
apt install -y ghostscript
echo -e "printer=cyberelements HTML5 Printer\nprinterDriver=MS Publisher Imagesetter" > /etc/guacamole/printer-config
mkdir /home/systanciahtml5share

Ρυθμίσεις ειδικές για τη λειτουργία του CyberElements Bastion

Αφού εφαρμοστούν οι ρυθμίσεις δικτύου, πρέπει ακόμη να συνδέσετε τις παρουσίες του Edge Gateway και του HTML5 Gateway στους διακομιστές Mediation Controller.
Για τον σκοπό αυτό, οι πρώτες παρουσίες του Edge Gateway και του HTML5 Gateway θα συνδέονται στο Mediation Controller MASTER, ενώ οι δεύτερες παρουσίες θα συνδέονται στο Mediation Controller SLAVE.

Προσοχή!

Εάν η εγκατάσταση του Edge Gateway δεν βρίσκεται εντός του LAN και, επομένως, οι διευθύνσεις RIP_MED_SSL_MASTER και RIP_MED_SSL_SLAVE δεν είναι προσβάσιμες (ακόμη και με NAT).
Σε αυτή την περίπτωση, θα χρειαστεί να διαμορφώσετε μόνο την πρώτη παρουσία του Edge Gateway και του HTML5 Gateway, η οποία θα ρυθμιστεί ώστε να συνδέεται στη διεύθυνση VIP_MED_SSL.

Σε αυτό το πλαίσιο, μπορεί να χρησιμοποιηθεί η εικονική συσκευή Standalone. Η εικονική συσκευή Cluster είναι προρυθμισμένη με δύο παρουσίες, ενώ η αντίστοιχη Standalone είναι προρυθμισμένη με μία μόνο παρουσία.

Πριν συνεχίσετε με τις παρακάτω οδηγίες, βεβαιωθείτε ότι διαθέτετε τα ακόλουθα στοιχεία:

  • Πιστοποιητικό για τις παρουσίες του Edge Gateway και του HTML5 Gateway που θα συνδεθούν
  • Πιστοποιητικό για την υπηρεσία εγγραφής
  • Ένα πρόγραμμα-πελάτης SSH (στα Windows, μπορείτε να χρησιμοποιήσετε το PuTTY)
  • Ένα πρόγραμμα-πελάτης SCP (στα Windows, μπορούν να χρησιμοποιηθούν τα εργαλεία WinSCP ή FileZilla)

Μεταφέρετε τα πιστοποιητικά στον κατάλογο /tmp/ του υπολογιστή.

Δημιουργία παρουσιών για σύνδεση με τον διακομιστή Mediation Controller SLAVE

Εκτελέστε τις ακόλουθες εντολές ως root για να δηλώσετε μια νέα παρουσία Edge Gateway και HTML5 Gateway που θα χρησιμοποιηθεί για τη σύνδεση με τον διακομιστή Mediation Controller SLAVE:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -slave
/usr/local/ipdiva/html5gateway/bin/gatewayCloner -slave

Σύνδεση των στοιχείων Edge Gateway

Αντιγράψτε το αρχείο πιστοποιητικού του Edge Gateway στους καταλόγους /etc/ipdiva/gateway/ssl/ και /etc/ipdiva/gateway-slave/ssl/. Μπορείτε να το κάνετε αυτό εκτελώντας ως root εντολές παρόμοιες με τις ακόλουθες (αντικαταστήστε το <CERT_NAME> με το όνομα του πιστοποιητικού για το Edge Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/gateway-slave/ssl/

Διαμορφώστε τις παρουσίες του Edge Gateway ώστε να μπορούν να συνδέονται στους διακομιστές Mediation Controller.
Οι διαμορφώσεις διαφέρουν ανάλογα με το Mediation Controller με το οποίο πρέπει να γίνει επικοινωνία. Εφαρμόστε και τις δύο ρυθμίσεις:

Επεξεργαστείτε το αρχείο /etc/ipdiva/gateway/gateway.xml και συμπληρώστε το με τις ακόλουθες πληροφορίες (ορισμένα τμήματα έχουν παραλειφθεί και υποδεικνύονται με […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Αντικαταστήστε τα ακόλουθα στοιχεία:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: πρέπει να αντικατασταθεί με τη διεύθυνση RIP_MED_SSL_MASTER, τον χαρακτήρα : και τη θύρα ακρόασης του SSL Router, η οποία ορίζεται κανονικά σε 443
  • keyfile.pem: πρέπει να αντικατασταθεί με το όνομα του αρχείου πιστοποιητικού
  • PASSWORD: πρέπει να αντικατασταθεί με τον κωδικό πρόσβασης του πιστοποιητικού
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Το RIP_MED_SSL_MASTER ισούται με: 10.0.10.11
  • Θύρα ακρόασης του SSL Router: 443
  • Όνομα αρχείου πιστοποιητικού: edge-gateway.p12
  • Κωδικός πρόσβασης πιστοποιητικού: Str0ngP@ssw0rd

Το αρχείο /etc/ipdiva/gateway/gateway.xml θα διαμορφωνόταν ως εξής:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9080</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Τέλος, εκκινήστε την παρουσία του Edge Gateway για να φορτώσει τις νέες ρυθμίσεις και να συνδεθεί στο Mediation Controller MASTER: 

1
/usr/local/ipdiva/gateway/bin/start

Επεξεργαστείτε το αρχείο /etc/ipdiva/gateway-slave/gateway.xml και συμπληρώστε το με τις ακόλουθες πληροφορίες (ορισμένα τμήματα έχουν παραλειφθεί και υποδεικνύονται με […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Αντικαταστήστε τα ακόλουθα στοιχεία:

  • @SERVER@: πρέπει να αντικατασταθεί με τη διεύθυνση RIP_MED_SSL_SLAVE
  • @SERVERPORT@: πρέπει να αντικατασταθεί με τη θύρα ακρόασης του SSL Router, η οποία ορίζεται κανονικά σε 443
  • keyfile.pem: πρέπει να αντικατασταθεί με το όνομα του αρχείου πιστοποιητικού
  • PASSWORD: πρέπει να αντικατασταθεί με τον κωδικό πρόσβασης του πιστοποιητικού
  • @RPC_PORT@: πρέπει να αντικατασταθεί με μια διαθέσιμη θύρα TCP στον υπολογιστή· συνήθως χρησιμοποιείται η θύρα 9081
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Το RIP_MED_SSL_SLAVE ισούται με: 10.0.10.13
  • Θύρα ακρόασης του SSL Router: 443
  • Όνομα αρχείου πιστοποιητικού: edge-gateway.p12
  • Κωδικός πρόσβασης πιστοποιητικού: Str0ngP@ssw0rd
  • Διαθέσιμη θύρα RPC: 9081

Το αρχείο /etc/ipdiva/gateway-slave/gateway.xml θα διαμορφωνόταν ως εξής:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9081</rpc-listen>
[…]
</gateway>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9081</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Τέλος, εκκινήστε την παρουσία του Edge Gateway για να φορτώσει τις νέες ρυθμίσεις και να συνδεθεί στο Mediation Controller SLAVE: 

1
/usr/local/ipdiva/gateway-slave/bin/start

Διαμόρφωση της υπηρεσίας εγγραφής

Μετακινήστε το πιστοποιητικό για την υπηρεσία εγγραφής στον κατάλογο /etc/ipdiva/careserver/ με μια εντολή παρόμοια με την ακόλουθη (αντικαταστήστε το <CERT_NAME> με το όνομα του προβλεπόμενου πιστοποιητικού):

1
mv /tmp/<CERT_NAME> /etc/ipdiva/careserver/

Στη συνέχεια, διαμορφώστε την υπηρεσία τροποποιώντας το ακόλουθο αρχείο: /etc/ipdiva/careserver/careserver.xml. Η διαμόρφωση του αρχείου θα πρέπει να μοιάζει κάπως έτσι (το ακόλουθο απόσπασμα παραλείπει πολλές γραμμές του αρχείου, οι οποίες επισημαίνονται με […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/recording_service.p12</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>

Κάντε τις ακόλουθες αλλαγές:

  • Αλλάξτε τη διεύθυνση IP ακρόασης της υπηρεσίας εγγραφής σε 0.0.0.0 (ακρόαση σε όλες τις διαθέσιμες διευθύνσεις IP)
  • Αντικαταστήστε το recording_service.p12 με το όνομα του πιστοποιητικού για την υπηρεσία εγγραφής
  • Αντικαταστήστε το PASSWORD με τον κωδικό πρόσβασης του πιστοποιητικού της υπηρεσίας εγγραφής
  • Προσθέστε τη γραμμή <element>http://127.0.0.1:9081</element>
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Όνομα αρχείου πιστοποιητικού: fqdn.edge-gateway.local.p12
  • Κωδικός πρόσβασης πιστοποιητικού: Str0ngP@ssw0rd

Το αρχείο /etc/ipdiva/careserver/careserver.xml θα διαμορφωνόταν ως εξής:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>


    <archivesdirectory>/var/lib/ipdiva/carerecord/archives</archivesdirectory>
    <recordingdirectory>/var/lib/ipdiva/carerecord/recording</recordingdirectory>
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
        <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
        <min-version>tls1.2</min-version>
        <max-version/>
        <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
        <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
        <verify-cert>true</verify-cert>
        <no-fail-if-no-peer-cert>true</no-fail-if-no-peer-cert>
    </ssl>
    <gopsize>10</gopsize>
        <webgopsize>5</webgopsize>
    <webfakeframespersec>2</webfakeframespersec>
        <webhlslistsize>20</webhlslistsize>
    <webcaptureinterval>10000</webcaptureinterval>
    <webcapturetimeout>30000</webcapturetimeout>
    <captureinterval>250</captureinterval>
    <hlslistsize>20</hlslistsize>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
</careserver>

Επικυρώστε τις νέες ρυθμίσεις επανεκκινώντας την υπηρεσία εγγραφής: 

1
systemctl restart ipdivacarerecord

Σύνδεση των παρουσιών HTML5 Gateway

Εάν πρέπει να διαμορφωθεί η παρουσία HTML5 Gateway, εκτελέστε την ακόλουθη εντολή στον διακομιστή Edge Gateway ως root για να ενεργοποιήσετε την αυτόματη εκκίνηση της παρουσίας:

1
chmod +x /etc/ipdiva/services/50html5gateway

Αντιγράψτε το αρχείο πιστοποιητικού του HTML5 Gateway στους καταλόγους /etc/ipdiva/html5gateway/ssl/ και /etc/ipdiva/html5gateway-slave/ssl/. Μπορείτε να το κάνετε αυτό εκτελώντας ως root εντολές παρόμοιες με τις ακόλουθες (αντικαταστήστε το <CERT_NAME> με το όνομα του πιστοποιητικού για το HTML5 Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/html5gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/html5gateway-slave/ssl/

Διαμορφώστε τις παρουσίες του HTML5 Gateway ώστε να μπορούν να συνδέονται στους διακομιστές Mediation Controller.
Οι διαμορφώσεις διαφέρουν ανάλογα με το Mediation Controller με το οποίο πρέπει να γίνει επικοινωνία. Εφαρμόστε και τις δύο ρυθμίσεις:

Επεξεργαστείτε το αρχείο /etc/ipdiva/html5gateway/html5gateway.xml και συμπληρώστε το με τις ακόλουθες πληροφορίες (ορισμένα τμήματα έχουν παραλειφθεί και υποδεικνύονται με […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Αντικαταστήστε τα ακόλουθα στοιχεία:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: πρέπει να αντικατασταθεί με τη διεύθυνση RIP_MED_SSL_MASTER, τον χαρακτήρα : και τη θύρα ακρόασης του SSL Router, η οποία ορίζεται κανονικά σε 443
  • keyfile.pem: πρέπει να αντικατασταθεί με το όνομα του αρχείου πιστοποιητικού
  • PASSWORD: πρέπει να αντικατασταθεί με τον κωδικό πρόσβασης του πιστοποιητικού
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Το RIP_MED_SSL_MASTER ισούται με: 10.0.10.11
  • Θύρα ακρόασης του SSL Router: 443
  • Όνομα αρχείου πιστοποιητικού: html5-gateway.p12
  • Κωδικός πρόσβασης πιστοποιητικού: Str0ngP@ssw0rd

Το αρχείο /etc/ipdiva/html5gateway/html5gateway.xml θα διαμορφωνόταν ως εξής:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9088</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Τέλος, επανεκκινήστε την παρουσία του HTML5 Gateway για να φορτώσει τις νέες ρυθμίσεις και να συνδεθεί στο Mediation Controller MASTER: 

1
/usr/local/ipdiva/html5gateway/bin/start

Επεξεργαστείτε το αρχείο /etc/ipdiva/html5gateway-slave/html5gateway.xml και συμπληρώστε το με τις ακόλουθες πληροφορίες (ορισμένα τμήματα έχουν παραλειφθεί και υποδεικνύονται με […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Αντικαταστήστε τα ακόλουθα στοιχεία:

  • @SERVER@: πρέπει να αντικατασταθεί με τη διεύθυνση RIP_MED_SSL_SLAVE
  • @SERVERPORT@: πρέπει να αντικατασταθεί με τη θύρα ακρόασης του SSL Router, η οποία ορίζεται κανονικά σε 443
  • keyfile.pem: πρέπει να αντικατασταθεί με το όνομα του αρχείου πιστοποιητικού
  • PASSWORD: πρέπει να αντικατασταθεί με τον κωδικό πρόσβασης του πιστοποιητικού
  • @RPC_PORT@: πρέπει να αντικατασταθεί με μια διαθέσιμη θύρα TCP στον υπολογιστή· συνήθως χρησιμοποιείται η θύρα 9089
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Το RIP_MED_SSL_SLAVE ισούται με: 10.0.10.13
  • Θύρα ακρόασης του SSL Router: 443
  • Όνομα αρχείου πιστοποιητικού: html5-gateway.p12
  • Κωδικός πρόσβασης πιστοποιητικού: Str0ngP@ssw0rd
  • Διαθέσιμη θύρα RPC: 9089

Το αρχείο /etc/ipdiva/html5gateway-slave/html5gateway.xml θα διαμορφωνόταν ως εξής:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9089</rpc-listen>
[…]
</gateway>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9089</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Τέλος, επανεκκινήστε την παρουσία του HTML5 Gateway για να φορτώσει τις νέες ρυθμίσεις και να συνδεθεί στο Mediation Controller SLAVE: 

1
/usr/local/ipdiva/html5gateway-slave/bin/start

Διαμορφώσεις πριν από τη σύνδεση των στοιχείων HTML5 Gateway

Για να λειτουργούν οι εφαρμογές HTML5, πρέπει να διαμορφωθούν πρόσθετες ρυθμίσεις στους διακομιστές Mediation Controller. Συνδεθείτε στους διακομιστές Mediation Controller MASTER και SLAVE ως root.

Δημιουργήστε ή επεξεργαστείτε το αρχείο /etc/ipdiva/httpd/commonParameters.extra.conf για να προσθέσετε ένα τμήμα αντίστοιχο με το ακόλουθο για το HTML5 Gateway:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
<Location /URL_HTML5/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /URL_HTML5/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Όπου:

  • Το URL_HTML5 πρέπει να αντικατασταθεί με το περιεχόμενο του πεδίου URL για το HTML5 Gateway που διαμορφώθηκε στην κονσόλα διαχείρισης κατά τη δήλωση του HTML5 Gateway (για ένα σύμπλεγμα, είναι γενικά HTML5-1 και HTML5-2).
  • Το GW_NAME πρέπει να αντικατασταθεί με το όνομα ενός Edge Gateway που βρίσκεται στον ίδιο διακομιστή με το HTML5 Gateway. Ο χαρακτήρας | στο τέλος της γραμμής πρέπει να διατηρηθεί.
  • Το ORGANIZATION_NAME πρέπει να αντικατασταθεί με το όνομα του οργανισμού στον οποίο συνδέεται το προηγούμενο Edge Gateway.
Παράδειγμα

Για μια πλατφόρμα με τις ακόλουθες ρυθμίσεις:

  • Όνομα οργανισμού: my-organization-name
  • Δήλωση του πρώτου HTML5 Gateway στην κονσόλα διαχείρισης:
    • Name: html5-gateway-1
    • URL: HTML5-1
    • Protocol: WebSocket
  • Δήλωση του δεύτερου HTML5 Gateway στην κονσόλα διαχείρισης:
    • Name: html5-gateway-2
    • URL: HTML5-2
    • Protocol: WebSocket
  • Ένας διακομιστής Edge Gateway στο πρώτο HTML5 Gateway διαθέτει:
    • Μια υπηρεσία Edge Gateway με το όνομα edge-gateway-1
    • Μια υπηρεσία HTML5 Gateway με το όνομα html5-gateway-1
  • Ένας διακομιστής Edge Gateway στο δεύτερο HTML5 Gateway διαθέτει:
    • Μια υπηρεσία Edge Gateway με το όνομα edge-gateway-2
    • Μια υπηρεσία HTML5 Gateway με το όνομα html5-gateway-2

Το αρχείο διαμόρφωσης /etc/ipdiva/httpd/commonParameters.extra.conf που δημιουργήθηκε θα ρυθμιστεί ως εξής: 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
<Location /HTML5-1/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-1/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

<Location /HTML5-2/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-2/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Πριν από την εφαρμογή των νέων ρυθμίσεων, πρέπει να ελέγξετε ότι η νέα διαμόρφωση δεν προκαλεί σφάλματα που εμποδίζουν τη λειτουργία του διακομιστή web Apache2.
Για να το κάνετε αυτό, εκτελέστε την ακόλουθη εντολή:

1
apache2ctl configtest

Εάν η απόκριση είναι Syntax OK, οι αλλαγές μπορούν να εφαρμοστούν με την παρακάτω εντολή. Διαφορετικά, ελέγξτε τη διαμόρφωσή σας στο αρχείο /etc/ipdiva/httpd/commonParameters.extra.conf.

1
systemctl reload apache2

Διαμόρφωση διακομιστή ώρας NTP

Συνιστάται να ρυθμίσετε έναν διακομιστή ώρας για να διατηρείται ενημερωμένο το ρολόι του συστήματος. Τα απαραίτητα βήματα περιγράφονται στη σελίδα διαμόρφωσης NTP.