Μετάβαση στο περιεχόμενο

Εγκατάσταση των διακομιστών Mediation Controller

Σημείωση

Υπενθυμίζεται ότι η μετάβαση στον χρήστη root στους υπολογιστές Debian πρέπει να γίνεται με την ακόλουθη εντολή:

1
su -

Οι οδηγίες αυτής της σελίδας πρέπει να επαναληφθούν και στους δύο διακομιστές Mediation Controller, ξεκινώντας από τον διακομιστή MASTER.
Όπου υπάρχουν διαφορές μεταξύ των διακομιστών MASTER και SLAVE, θα επισημαίνονται. Εάν δεν υπάρχει σχετική αναφορά, οι οδηγίες ισχύουν και για τους δύο διακομιστές MASTER και SLAVE.

Λήψη του ειδώλου και των απαραίτητων εργαλείων

Το κατοπτρικό αντίγραφο του CyberElements Cleanroom 4.6 και το κλειδί υπογραφής του αποθετηρίου της Systancia μπορούν να ληφθούν από αυτόν τον σύνδεσμο (απαιτείται η δημιουργία λογαριασμού πελάτη): Systancia Marketplace

Εκτός από το κατοπτρικό αντίγραφο και το κλειδί, για τη διαδικασία αναβάθμισης θα χρειαστούν εργαλεία τρίτων:

  • Ένα πρόγραμμα-πελάτης SSH (στα Windows, μπορείτε να χρησιμοποιήσετε το PuTTY)
  • Ένα πρόγραμμα-πελάτης SCP (στα Windows, μπορούν να χρησιμοποιηθούν τα εργαλεία WinSCP ή FileZilla)

Χρησιμοποιήστε το πρόγραμμα-πελάτη SSH για να συνδεθείτε απομακρυσμένα στον διακομιστή σας.

Χρησιμοποιήστε το πρόγραμμα-πελάτη SCP για να μεταφέρετε αρχεία στον απομακρυσμένο υπολογιστή σας.

Προετοιμασία για την εγκατάσταση

Διαμόρφωση του δικτύου

Εγκαταστήστε το πακέτο resolvconf ώστε να μπορεί να εφαρμοστεί η διαμόρφωση DNS που καθορίζεται στο αρχείο διαμόρφωσης που θα τροποποιηθεί σε λίγο:

1
apt install -y resolvconf

Είναι απαραίτητο να διαμορφώσετε μια στατική διεύθυνση δικτύου για το Mediation Controller. Για να το κάνετε αυτό, πρέπει πρώτα να ανακτήσετε το όνομα της διασύνδεσης δικτύου του υπολογιστή σας. Εκτελέστε την ακόλουθη εντολή ως root:

1
ip -br a | grep -ve "^lo"

Η εντολή αυτή εμφανίζει το όνομα της διασύνδεσης δικτύου, την κατάστασή της και τις διευθύνσεις IP που έχουν αντιστοιχιστεί στη διασύνδεση.

Παράδειγμα

Μετά την εκτέλεση της εντολής, εμφανίζεται η ακόλουθη έξοδος:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Το όνομα της διασύνδεσης δικτύου είναι ens192.

Αφού λάβετε το όνομα της διασύνδεσης δικτύου, μπορείτε πλέον να επεξεργαστείτε τη διαμόρφωση δικτύου του υπολογιστή.
Επεξεργαστείτε το αρχείο /etc/network/interfaces για να το τροποποιήσετε σύμφωνα με το ακόλουθο πρότυπο:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Όπου:

  • Το INTERFACE_NAME πρέπει να αντικατασταθεί από το όνομα της διασύνδεσης δικτύου που ανακτήσατε προηγουμένως.
  • Το RIP_MED_WEB_MASTER πρέπει να αντικατασταθεί από την κύρια πραγματική διεύθυνση IP του διακομιστή, η οποία θα είναι η διεύθυνση IP μέσω της οποίας θα είναι προσβάσιμες οι κονσόλες web.
  • Το NETMASK πρέπει να αντικατασταθεί από τη μάσκα δικτύου που σχετίζεται με τη διεύθυνση IP.
  • Το NETWORK_GATEWAY πρέπει να αντικατασταθεί από την προεπιλεγμένη πύλη δικτύου.
  • Το IP_DNS πρέπει να αντικατασταθεί από τη διεύθυνση IP του διακομιστή DNS. Εάν πρέπει να διαμορφωθούν περισσότεροι διακομιστές (έως 3), διαχωρίστε τους με κενό διάστημα.
  • Το DNS_SUFFIX πρέπει να αντικατασταθεί από το επίθημα DNS που θα χρησιμοποιηθεί. Εάν δεν χρειάζεται να καταχωρίσετε επίθημα, διαγράψτε τη γραμμή.
  • Το RIP_MED_SSL_MASTER πρέπει να αντικατασταθεί από τη δευτερεύουσα πραγματική διεύθυνση IP του διακομιστή. Αυτή θα είναι η διεύθυνση IP μέσω της οποίας θα είναι προσβάσιμο το SSL Router.
Παράδειγμα 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Τέλος, το μόνο που απομένει είναι η επανεκκίνηση της υπηρεσίας networking, ώστε να φορτωθεί η νέα διαμόρφωση δικτύου: 

1
systemctl restart networking

Είναι απαραίτητο να διαμορφώσετε μια στατική διεύθυνση δικτύου για το Mediation Controller. Για να το κάνετε αυτό, πρέπει πρώτα να ανακτήσετε το όνομα της διασύνδεσης δικτύου του υπολογιστή σας. Εκτελέστε την ακόλουθη εντολή ως root:

1
ip -br a | grep -ve "^lo"

Η εντολή αυτή εμφανίζει το όνομα της διασύνδεσης δικτύου, την κατάστασή της και τις διευθύνσεις IP που έχουν αντιστοιχιστεί στη διασύνδεση.

Παράδειγμα

Μετά την εκτέλεση της εντολής, εμφανίζεται η ακόλουθη έξοδος:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Το όνομα της διασύνδεσης δικτύου είναι ens192.

Αφού λάβετε το όνομα της διασύνδεσης δικτύου, μπορείτε πλέον να επεξεργαστείτε τη διαμόρφωση δικτύου του υπολογιστή.
Επεξεργαστείτε το αρχείο /etc/network/interfaces για να το τροποποιήσετε σύμφωνα με το ακόλουθο πρότυπο:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Όπου:

  • Το INTERFACE_NAME πρέπει να αντικατασταθεί από το όνομα της διασύνδεσης δικτύου που ανακτήσατε προηγουμένως.
  • Το RIP_MED_WEB_SLAVE πρέπει να αντικατασταθεί από την κύρια πραγματική διεύθυνση IP του διακομιστή, η οποία θα είναι η διεύθυνση IP μέσω της οποίας θα είναι προσβάσιμες οι κονσόλες web.
  • Το NETMASK πρέπει να αντικατασταθεί από τη μάσκα δικτύου που σχετίζεται με τη διεύθυνση IP.
  • Το NETWORK_GATEWAY πρέπει να αντικατασταθεί από την προεπιλεγμένη πύλη δικτύου.
  • Το IP_DNS πρέπει να αντικατασταθεί από τη διεύθυνση IP του διακομιστή DNS. Εάν πρέπει να διαμορφωθούν περισσότεροι διακομιστές (έως 3), διαχωρίστε τους με κενό διάστημα.
  • Το DNS_SUFFIX πρέπει να αντικατασταθεί από το επίθημα DNS που θα χρησιμοποιηθεί. Εάν δεν χρειάζεται να καταχωρίσετε επίθημα, διαγράψτε τη γραμμή.
  • Το RIP_MED_SSL_SLAVE πρέπει να αντικατασταθεί από τη δευτερεύουσα πραγματική διεύθυνση IP του διακομιστή. Αυτή θα είναι η διεύθυνση IP μέσω της οποίας θα είναι προσβάσιμο το SSL Router.
Παράδειγμα 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Τέλος, το μόνο που απομένει είναι η επανεκκίνηση της υπηρεσίας networking, ώστε να φορτωθεί η νέα διαμόρφωση δικτύου: 

1
systemctl restart networking

Απομένει ένα τελευταίο βήμα: τροποποιήστε την εσωτερική επίλυση ονομάτων του υπολογιστή ώστε να επιλύει την πραγματική κύρια διεύθυνση IP του (που αντιστοιχεί στη RIP_MED_WEB_MASTER ή στη RIP_MED_WEB_SLAVE).
Για να το κάνετε αυτό, επεξεργαστείτε το αρχείο /etc/hosts και αντικαταστήστε το 127.0.1.1 με τη RIP_MED_WEB_MASTER ή τη RIP_MED_WEB_SLAVE, ανάλογα με τον διακομιστή Mediation Controller.

Παράδειγμα

Για έναν διακομιστή Mediation Controller του οποίου η πραγματική διεύθυνση IP web είναι 10.0.10.10 και το όνομα είναι mediation-controller.domain.local, το αρχείο /etc/hosts θα έχει την ακόλουθη τιμή:

1
2
127.0.0.1       localhost
10.0.10.10      mediation-controller.domain.local   mediation-controller

Προσοχή!

Μια εσφαλμένη διαμόρφωση του αρχείου ενδέχεται να προκαλέσει σφάλμα κατά την εγκατάσταση του πακέτου collectd.

Διαμόρφωση του διαχειριστή πακέτων APT

Αποστείλετε τα αρχεία που λάβατε από το Systancia Marketplace στον κατάλογο /tmp/ του διακομιστή, χρησιμοποιώντας ένα πρόγραμμα-πελάτη SCP:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Συνδεθείτε στον διακομιστή ως root και, στη συνέχεια, εκτελέστε τις ακόλουθες εντολές για να αποσυμπιέσετε το αποθετήριο της Systancia, να διαμορφώσετε τη χρήση του στο APT και να επαληθεύσετε την αυθεντικότητά του.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Συνιστούμε ανεπιφύλακτα να απενεργοποιήσετε την εγκατάσταση μη απαραίτητων πακέτων κατά την εκτέλεση εντολών apt. Για να το κάνετε αυτό, εκτελέστε την ακόλουθη εντολή:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Έλεγχος για την ύπαρξη της τοπικής ρύθμισης en_US.utf8

Η εγκατάσταση του διακομιστή Mediation Controller απαιτεί τη δημιουργία των τοπικών ρυθμίσεων en_US.utf8.
Για να ελέγξετε εάν έχουν ήδη δημιουργηθεί στον διακομιστή, εκτελέστε την ακόλουθη εντολή ως root:

1
locale -a  | grep en_US.utf8

Εάν η έξοδος της εντολής εμφανίζει en_US.utf8, τότε μεταβείτε στο επόμενο βήμα, τη διαμόρφωση του GRUB.
Διαφορετικά, εκτελέστε τις ακόλουθες εντολές για να προσθέσετε αυτήν την τοπική ρύθμιση στον υπολογιστή:

1
2
sed -i "s/# en_US.UTF-8 UTF-8/en_US.UTF-8 UTF-8/" /etc/locale.gen
locale-gen

Διαμόρφωση του προγράμματος εκκίνησης GRUB

Μετά την εκτέλεση αυτών των εντολών, πρέπει να επανεκκινήσετε τον υπολογιστή, αφού πρώτα εφαρμόσετε μια ρύθμιση στο πρόγραμμα εκκίνησης GRUB:

1
2
3
sed '9s/quiet/quiet vsyscall=emulate/' -i /etc/default/grub
update-grub
reboot

Εγκατάσταση του διακομιστή Mediation Controller του CyberElements Bastion

Εγκατάσταση βασικών στοιχείων

Ξεκινήστε την εγκατάσταση των στοιχείων με την ακόλουθη εντολή ως root:

1
apt install -y ipdiva-base

Μετά τη λήψη όλων των εξαρτήσεων, ανοίγει ένα παράθυρο που σας ζητά να επιλέξετε τον τύπο διακομιστή. Επιλέξτε mediation:

Στη συνέχεια, επιλέξτε τη λειτουργία εγκατάστασης lbMaster:

Στη συνέχεια, επιλέξτε τη λειτουργία εγκατάστασης lbSlave:

Στη συνέχεια, θα πρέπει να εισαγάγετε τη θύρα στην οποία θα ακούει το στοιχείο SSL Router. Αυτή η θύρα ακρόασης ορίζεται συνήθως σε 443, αλλά μπορεί επίσης να χρησιμοποιηθεί η θύρα 8443 εάν ο διακομιστής Mediation Controller χρησιμοποιεί μόνο μία IP:

Στη συνέχεια, ορίστε τη λειτουργία Cluster σε loadbalancing, ώστε το φορτίο των χρηστών να κατανέμεται και στους δύο διακομιστές Mediation Controller:

Καθορίστε την εικονική διεύθυνση IP web του συμπλέγματος, VIP_MED_WEB:

Εισαγάγετε την εικονική διεύθυνση IP SSL του συμπλέγματος, VIP_MED_SSL:

Εισαγάγετε την εικονική διεύθυνση IP της βάσης δεδομένων διαμόρφωσης του συμπλέγματος, VIP_MED_ZEO:

Εισαγάγετε την πραγματική διεύθυνση IP web του διακομιστή Mediation Controller MASTER, RIP_MED_WEB_MASTER:

Εισαγάγετε την πραγματική διεύθυνση IP SSL του διακομιστή Mediation Controller MASTER, RIP_MED_SSL_MASTER:

Εισαγάγετε την πραγματική διεύθυνση IP web του διακομιστή Mediation Controller SLAVE, RIP_MED_WEB_SLAVE:

Τέλος, εισαγάγετε την πραγματική διεύθυνση IP SSL του διακομιστή Mediation Controller SLAVE, RIP_MED_SSL_SLAVE:

Τι πρέπει να κάνω σε περίπτωση σφάλματος;

Εάν υπάρχει σφάλμα στις πληροφορίες που καταχωρίσατε, συνεχίστε την εγκατάσταση του πακέτου ipdiva-base και, στη συνέχεια, χρησιμοποιήστε την ακόλουθη εντολή για να διαμορφώσετε ξανά τον διακομιστή:

1
dpkg-reconfigure ipdiva-base

Εγκατάσταση των στοιχείων Cluster

Μετά την εγκατάσταση των βασικών στοιχείων, πρέπει να εγκατασταθούν τα στοιχεία Cluster στους διακομιστές Mediation Controller:

1
apt install -y ipdiva-mediation-cluster

Μετά την εγκατάσταση των στοιχείων, απαιτείται επανεκκίνηση:

1
reboot

Διαμόρφωση του συμπλέγματος

Αλλαγή του κωδικού πρόσβασης της κονσόλας /mediation/system του CyberElements Gate

Σε αυτό το στάδιο της εγκατάστασης, είναι διαθέσιμη μια νέα διεπαφή διαχείρισης: Αλλαγή κωδικού πρόσβασης

Εφαρμογή αδειών χρήσης και πιστοποιητικών

Εξακολουθώντας στην κονσόλα /mediation/system, θα πρέπει να καταχωρίσετε τα πιστοποιητικά και τις άδειες χρήσης του διακομιστή Mediation Controller.

Προσοχή!

Η άδεια χρήσης και το πιστοποιητικό του SSL Router είναι συγκεκριμένα για τον διακομιστή Mediation Controller MASTER ή SLAVE.
Η διαμόρφωση λανθασμένης άδειας χρήσης ή λανθασμένου πιστοποιητικού θα προκαλέσει δυσλειτουργίες αργότερα.

Εφαρμόστε την άδεια χρήσης και το πιστοποιητικό για το στοιχείο SSL Router:

  1. Κάντε κλικ στην καρτέλα Settings.
  2. Επιλέξτε SSL Connections από το μενού.
  3. Αναζητήστε το πιστοποιητικό για το SSL Router.
  4. Πληκτρολογήστε τον κωδικό πρόσβασης του πιστοποιητικού του SSL Router.
  5. Κάντε κλικ στο Apply για να εφαρμόσετε το πιστοποιητικό στο SSL Router.
  6. Επιλέξτε το αρχείο άδειας χρήσης του διακομιστή.
  7. Κάντε κλικ στο Modify για να εφαρμόσετε την άδεια χρήσης του διακομιστή.

Στη συνέχεια, καταχωρίστε τις πληροφορίες πιστοποιητικού για το πρόγραμμα-πελάτη CyberElements Bastion:

  1. Επιλέξτε την καρτέλα Plugin.
  2. Αναζητήστε το πιστοποιητικό του προγράμματος-πελάτη CyberElements Bastion.
  3. Πληκτρολογήστε τον κωδικό πρόσβασης του πιστοποιητικού.
  4. Κάντε κλικ στο Apply για να εφαρμόσετε το πιστοποιητικό.

Απομένει ακόμη να καταχωρίσετε τις πληροφορίες για το πιστοποιητικό του Watchdog:

  1. Επιλέξτε την καρτέλα Watchdog
  2. Αναζητήστε το πιστοποιητικό του Watchdog.
  3. Πληκτρολογήστε τον κωδικό πρόσβασης του πιστοποιητικού.
  4. Κάντε κλικ στο Apply για να εφαρμόσετε το πιστοποιητικό.

Για να τεθούν σε ισχύ αυτές οι αλλαγές, πρέπει να επανεκκινήσετε το SSL Router και το Watchdog:

Σύζευξη των διακομιστών Mediation Controller

Προσοχή!

Σε αυτό το σημείο, και οι δύο διακομιστές Mediation Controller πρέπει να έχουν διαμορφωθεί έως το βήμα εφαρμογής αδειών χρήσης και πιστοποιητικών.
Εάν ο διακομιστής Mediation Controller SLAVE δεν έχει διαμορφωθεί ακόμη, διαμορφώστε τον ξεκινώντας από την αρχή αυτής της τεκμηρίωσης.

Το βήμα σύζευξης των διακομιστών Mediation Controller δημιουργεί μια σχέση εμπιστοσύνης μεταξύ των δύο διακομιστών και αρχικοποιεί τη λειτουργία του συμπλέγματος.

Στον διακομιστή Mediation Controller SLAVE

Εκτελέστε την ακόλουθη εντολή ως root για να εκκινήσετε ένα αίτημα σύζευξης με τον διακομιστή Mediation Controller MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Αντικαταστήστε το RIP_MED_WEB_MASTER με την αντίστοιχη διεύθυνση IP.

Παράδειγμα

Εάν το RIP_MED_WEB_MASTER είναι ίσο με 10.0.10.10, η εντολή που πρέπει να εισαγάγετε είναι η εξής:

1
hostManagerCtl bootstrap 10.0.10.10

Στον διακομιστή Mediation Controller MASTER

Εκτελέστε την ακόλουθη εντολή ως root για να ελέγξετε τα εκκρεμή αιτήματα σύζευξης και να ανακτήσετε το αναγνωριστικό του αιτήματος: 

1
hostManagerCtl getPendingRequests

Στη συνέχεια, εκτελέστε την ακόλουθη εντολή για να αποδεχτείτε το αίτημα σύζευξης, αντικαθιστώντας το ID με το αναγνωριστικό που ανακτήσατε με την προηγούμενη εντολή:

1
hostManagerCtl acceptRequest ID
Παράδειγμα

Εάν η τιμή επιστροφής της εντολής hostManagerCtl getPendingRequests είναι η εξής:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Τότε η εντολή αποδοχής του αιτήματος σύζευξης είναι η εξής:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Για να επαληθεύσετε τη συσχέτιση, χρησιμοποιήστε την ακόλουθη εντολή στον διακομιστή Mediation Controller (είτε MASTER είτε SLAVE):

1
hostManagerCtl listPeers

Το αποτέλεσμα διαφέρει ανάλογα με τον διακομιστή στον οποίο εκτελείται η εντολή:

Το αναμενόμενο αποτέλεσμα στον διακομιστή Mediation Controller MASTER είναι το εξής:

1
slave -> RIP_MED_WEB_SLAVE
Παράδειγμα 
1
slave -> 10.0.10.12

Το αναμενόμενο αποτέλεσμα στον διακομιστή Mediation Controller SLAVE είναι το εξής:

1
master -> RIP_MED_WEB_MASTER
Παράδειγμα 
1
master -> 10.0.10.10

Στον διακομιστή Mediation Controller SLAVE

Μπορείτε να ελέγξετε την κατάσταση της διαδικασίας bootstrap από τον διακομιστή SLAVE χρησιμοποιώντας την ακόλουθη εντολή:

1
hostManagerCtl getBootstrapStatus

Ένα σύμπλεγμα που δεν αντιμετωπίζει προβλήματα συγχρονισμού επιστρέφει την τιμή 0.

Απαιτείται μια τελευταία σειρά εντολών, πάλι στον διακομιστή SLAVE, για τον συγχρονισμό ενός κοινόχρηστου μυστικού μεταξύ των δύο διακομιστών Mediation Controller:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Ποιος είναι ο σκοπός της σύνδεσης μεταξύ διακομιστών;

Πρόκειται για μια ειδική σύνδεση για τη λειτουργία συμπλέγματος, η οποία επιτρέπει σε έναν διακομιστή Mediation Controller να δρομολογεί την κίνηση προς έναν άλλο διακομιστή Mediation Controller σε περιπτώσεις όπου το Edge Gateway προορισμού δεν είναι συνδεδεμένο στον πρώτο διακομιστή αλλά μόνο στον δεύτερο.

Για παράδειγμα, εάν ο διακομιστής Mediation Controller MASTER δεν είναι πλέον συνδεδεμένος στο Edge Gateway, μπορεί να χρησιμοποιήσει τη σύνδεση μεταξύ διακομιστών για να φτάσει στο Edge Gateway μέσω του διακομιστή Mediation Controller SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Η σύνδεση χάθηκε| GW(Edge Gateway)
    MASTER --> |Σύνδεση μεταξύ διακομιστών| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Στον διακομιστή Mediation Controller MASTER

Επεξεργαστείτε το αρχείο /etc/ipdiva/server/remoteServers.xml για να υποδείξετε το CN του πιστοποιητικού μεταξύ διακομιστών:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Αντικαταστήστε το SLAVECN με το CN του πιστοποιητικού που προορίζεται για τη σύνδεση μεταξύ διακομιστών.
Εάν δεν γνωρίζετε το CN του πιστοποιητικού μεταξύ διακομιστών, μπορείτε να καταχωρίσετε τον χαρακτήρα * (συνιστάται σε περίπτωση αμφιβολίας):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • CN πιστοποιητικού μεταξύ διακομιστών: my-interserver-cert

Το αρχείο /etc/ipdiva/server/remoteServers.xml στον διακομιστή Mediation Controller MASTER θα συμπληρωνόταν ως εξής:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Στον διακομιστή Mediation Controller SLAVE

Στείλτε το πιστοποιητικό μεταξύ διακομιστών στο Mediation Controller SLAVE, στον κατάλογο /tmp/.
Στη συνέχεια, εκτελέστε τις ακόλουθες εντολές ως root για να το μετακινήσετε στον κατάλογο προορισμού με τις κατάλληλες άδειες:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Στη συνέχεια, επεξεργαστείτε το αρχείο /etc/ipdiva/server/remoteServers.xml για να προσθέσετε το ακόλουθο περιεχόμενο στην ετικέτα <remoteConfig> (η παλιά ετικέτα <localCluster> μπορεί να διαγραφεί εντελώς):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Αντικαταστήστε:

  • MASTERCN: καθορίστε το CN του πιστοποιητικού του SSL Router του Mediation Controller MASTER, το οποίο είναι συνήθως RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: αντιστοιχεί στη δευτερεύουσα διεύθυνση IP του Mediation Controller MASTER.
  • PORT_RIP_MED_SSL_MASTER: πρόκειται για τη θύρα ακρόασης του SSL Router του Mediation Controller MASTER· είναι συνήθως η 443.
  • INTERSERVER.P12: όνομα του πιστοποιητικού που προορίζεται για τη σύνδεση μεταξύ διακομιστών.
  • PASSWORD: κωδικός πρόσβασης του πιστοποιητικού μεταξύ διακομιστών.
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Όνομα πιστοποιητικού μεταξύ διακομιστών: my-interserver-cert.p12
  • Κωδικός πρόσβασης πιστοποιητικού μεταξύ διακομιστών: MySecurePassword
  • RIP SSL του Mediation Controller MASTER: 10.0.10.11
  • Θύρα στη διεύθυνση RIP SSL του Mediation Controller MASTER: 443
  • CN του πιστοποιητικού του Mediation Controller MASTER: 10.0.10.11

Το αρχείο /etc/ipdiva/server/remoteServers.xml στον διακομιστή Mediation Controller SLAVE θα συμπληρωνόταν ως εξής:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Τροποποιήστε τη διαμόρφωση του SSL Router SLAVE εκτελώντας την ακόλουθη εντολή:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Στους διακομιστές Mediation Controller MASTER και SLAVE

Επανεκκινήστε το SSL Router για να εφαρμόσετε τις ρυθμίσεις της σύνδεσης μεταξύ διακομιστών:

1
/usr/local/ipdiva/server/bin/restart

Για να επιβεβαιώσετε ότι η σύνδεση μεταξύ διακομιστών λειτουργεί σωστά, η ακόλουθη εντολή θα πρέπει να επιστρέψει ένα αποτέλεσμα:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Η προηγούμενη εντολή θα πρέπει να παραγάγει μια καταχώρηση στο αρχείο καταγραφής που περιέχει τα εξής: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Εάν δεν εμφανίζεται τέτοια καταχώρηση, ελέγξτε τη διαμόρφωση που ορίστηκε σε αυτό το κεφάλαιο.

Στην κονσόλα web /mediation/system του Mediation Controller MASTER

Ενεργοποιήστε τη σύνδεση μεταξύ των δύο διακομιστών Mediation Controller, επεξεργαζόμενοι τον εικονικό κεντρικό υπολογιστή SSL default:

Συμπληρώστε τα διάφορα πεδία σύμφωνα με τις παρακάτω οδηγίες και ενεργοποιήστε τη δυνατότητα σύνδεσης μεταξύ διακομιστών, επιλέγοντας το πλαίσιο ελέγχου με την ετικέτα Is cross-server linking configured?:

  • Public address for plugin connections: αντιστοιχεί στη διεύθυνση VIP_MED_SSL, ακολουθούμενη από τη θύρα ακρόασής της (συνήθως 443).
  • Actual public IP addresses for web connections: αντιστοιχεί στο ζεύγος των πραγματικών διευθύνσεων IP web (RIP_MED_WEB_MASTER και RIP_MED_WEB_SLAVE) με τις αντίστοιχες θύρες τους, μία γραμμή ανά ζεύγος διεύθυνσης IP και θύρας.
  • Actual public IP addresses for SSL connections: αντιστοιχεί στο ζεύγος των πραγματικών διευθύνσεων IP SSL (RIP_MED_SSL_MASTER και RIP_MED_SSL_SLAVE) με τις αντίστοιχες θύρες τους, μία γραμμή ανά ζεύγος διεύθυνσης IP και θύρας.

Εγκατάσταση των ειδικών στοιχείων του CyberElements Bastion

Ξεκινήστε την εγκατάσταση των στοιχείων του CyberElements Bastion στους διακομιστές Mediation Controller με την ακόλουθη εντολή:

1
apt install -y ipdiva-safe-server

Οι διακομιστές πρέπει να επανεκκινηθούν για να ολοκληρωθεί η εγκατάσταση:

1
reboot

Σύνδεση με τη βάση δεδομένων PostgreSQL

Για να λειτουργήσει, το CyberElements Bastion απαιτεί τη χρήση μιας εξωτερικής βάσης δεδομένων (DB) PostgreSQL για την αποθήκευση των ρυθμίσεών του και των διάφορων αρχείων καταγραφής στην κονσόλα /system.
Εάν η DB είναι άμεσα προσβάσιμη από τους διακομιστές Mediation Controller, μεταβείτε απευθείας στο βήμα αρχικοποίησης της DB.

Σύνδεση με βάση δεδομένων στο LAN

Για να είναι δυνατή η σύνδεση με μια βάση δεδομένων που βρίσκεται στο LAN χωρίς να ανοίξει μια ροή από τη DMZ προς το LAN, η ροή της βάσης δεδομένων θα ανακατευθυνθεί μέσω μιας σήραγγας TLS μεταξύ των στοιχείων Edge Gateway και των διακομιστών Mediation Controller.
Για να επιτευχθεί αυτό, είναι απαραίτητο να διαμορφώσετε ένα στοιχείο Edge Gateway (ή δύο στοιχεία Edge Gateway) χρησιμοποιώντας την υποκείμενη τεχνολογία CyberElements Gate.

Δήλωση των στοιχείων Edge Gateway του CyberElements Gate

Για να το κάνετε αυτό, ξεκινήστε συνδεόμενοι στην κονσόλα /mediation/system του CyberElements Gate.

Στη συνέχεια, μεταβείτε στο μενού «Organizations» και κάντε κλικ στο «Add»:

Πληκτρολογήστε το όνομα του οργανισμού, το οποίο πρέπει να διαφέρει από αυτό που έχει δοθεί στο CyberElements Bastion (για παράδειγμα, tunnel), και καθορίστε τουλάχιστον μία άδεια χρήσης περιόδου λειτουργίας χρήστη, καθώς και τον κωδικό πρόσβασης για τον λογαριασμό admin:

Συνδεθείτε στη διασύνδεση διαχείρισης του οργανισμού που δημιουργήσατε προηγουμένως με τον λογαριασμό admin, μεταβαίνοντας στη διεύθυνση /gate/admin:

Στη συνέχεια, δηλώστε και τα δύο Edge Gateway που θα χρησιμοποιηθούν για τη δημιουργία της σήραγγας.
Στα αριστερά, τοποθετήστε τον δείκτη του ποντικιού πάνω από το Infrastructure, κάντε κλικ στο Gateways και, στη συνέχεια, κάντε κλικ στο κουμπί Add:

Πληκτρολογήστε το όνομα του πρώτου Edge Gateway και επιβεβαιώστε την καταχώρηση:

Πληροφορίες

Υπενθυμίζεται ότι το όνομα ενός Edge Gateway συνδέεται με το πιστοποιητικό που θα χρησιμοποιεί για τον έλεγχο ταυτότητάς του στο SSL Router του Mediation Controller.
Το όνομα αυτό έχει την ακόλουθη μορφή <GW_NAME>@<ORGANIZATION_NAME>, όπου το <GW_NAME> αντιστοιχεί στο όνομα του Edge Gateway και το <ORGANIZATION_NAME> αντιστοιχεί στο όνομα του οργανισμού που δημιουργήθηκε στην κονσόλα συστήματος του CyberElements Gate.

Επαναλάβετε το βήμα δήλωσης του Edge Gateway για το δεύτερο Edge Gateway.

Συνδέσεις και ρυθμίσεις σήραγγας στα στοιχεία Edge Gateway

Πληροφορίες

Τα παρακάτω βήματα μπορούν να επαναληφθούν και στα δύο Edge Gateway που χρησιμοποιούνται για τη σήραγγα πρόσβασης στη βάση δεδομένων.

Προαπαιτούμενα

Για να ολοκληρώσετε αυτό το μέρος, θα χρειαστεί να χρησιμοποιήσετε ένα από τα εξής:

Πρώτα, χρησιμοποιήστε ένα εργαλείο όπως το WinSCP ή το FileZilla για να μεταφέρετε μέσω SCP το πιστοποιητικό που απαιτείται για τη σύνδεση στον κατάλογο /tmp/ του Edge Gateway.

Στη συνέχεια, συνδεθείτε μέσω SSH και μεταβείτε στον χρήστη root.

Για να συνδέσετε το Edge Gateway και με τους δύο διακομιστές Mediation Controller, πρέπει να δημιουργήσετε δύο νέες παρουσίες του Edge Gateway: η μία θα συνδέεται στο Mediation Controller MASTER και η άλλη στο Mediation Controller SLAVE.
Για να τις δημιουργήσετε, εκτελέστε τις ακόλουθες εντολές:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Αντιγράψτε το αρχείο πιστοποιητικού στους καταλόγους /etc/ipdiva/gateway-tunnel-master/ssl/ και /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Αντικαταστήστε το <CERT_NAME> με το όνομα του πιστοποιητικού που πρέπει να χρησιμοποιεί το Edge Gateway για να συνδεθεί στο Mediation Controller.

Διαμορφώστε τις παρουσίες του Edge Gateway ώστε να μπορούν να συνδέονται στους διακομιστές Mediation Controller.
Οι διαμορφώσεις διαφέρουν ανάλογα με το Mediation Controller με το οποίο πρέπει να γίνει επικοινωνία. Εφαρμόστε και τις δύο ρυθμίσεις:

Επεξεργαστείτε το αρχείο /etc/ipdiva/gateway-tunnel-master/gateway.xml και συμπληρώστε το με τις ακόλουθες πληροφορίες (ορισμένα τμήματα έχουν παραλειφθεί και υποδεικνύονται με […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Αντικαταστήστε τα ακόλουθα στοιχεία:

  • @SERVER@: πρέπει να αντικατασταθεί με τη διεύθυνση RIP_MED_SSL_MASTER
  • @SERVERPORT@: πρέπει να αντικατασταθεί με τη θύρα ακρόασης του SSL Router, η οποία ορίζεται κανονικά σε 443
  • keyfile.pem: πρέπει να αντικατασταθεί με το όνομα του αρχείου πιστοποιητικού
  • PASSWORD: πρέπει να αντικατασταθεί με τον κωδικό πρόσβασης του πιστοποιητικού
  • @RPC_PORT@: πρέπει να αντικατασταθεί με μια θύρα στην οποία δεν γίνεται αυτήν τη στιγμή ακρόαση στον υπολογιστή· μπορεί να χρησιμοποιηθεί η θύρα 9082
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Το RIP_MED_SSL_MASTER ισούται με: 10.0.10.11
  • Θύρα ακρόασης του SSL Router: 443
  • Όνομα αρχείου πιστοποιητικού: gate-tunnel.p12
  • Κωδικός πρόσβασης πιστοποιητικού: Str0ngP@ssw0rd

Το αρχείο /etc/ipdiva/gateway-tunnel-master/gateway.xml θα διαμορφωνόταν ως εξής:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Επεξεργαστείτε το αρχείο /etc/ipdiva/gateway-tunnel-slave/gateway.xml και συμπληρώστε το με τις ακόλουθες πληροφορίες (ορισμένα τμήματα έχουν παραλειφθεί και υποδεικνύονται με […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Αντικαταστήστε τα ακόλουθα στοιχεία:

  • @SERVER@: πρέπει να αντικατασταθεί με τη διεύθυνση RIP_MED_SSL_SLAVE
  • @SERVERPORT@: πρέπει να αντικατασταθεί με τη θύρα ακρόασης του SSL Router, η οποία ορίζεται κανονικά σε 443
  • keyfile.pem: πρέπει να αντικατασταθεί με το όνομα του αρχείου πιστοποιητικού
  • PASSWORD: πρέπει να αντικατασταθεί με τον κωδικό πρόσβασης του πιστοποιητικού
  • @RPC_PORT@: πρέπει να αντικατασταθεί με μια θύρα που δεν χρησιμοποιείται αυτήν τη στιγμή στον υπολογιστή· μπορεί να χρησιμοποιηθεί η θύρα 9083
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Το RIP_MED_SSL_SLAVE ισούται με: 10.0.10.13
  • Θύρα ακρόασης του SSL Router: 443
  • Όνομα αρχείου πιστοποιητικού: gate-tunnel.p12
  • Κωδικός πρόσβασης πιστοποιητικού: Str0ngP@ssw0rd

Το αρχείο /etc/ipdiva/gateway-tunnel-slave/gateway.xml θα διαμορφωνόταν ως εξής:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Τώρα που οι παρουσίες έχουν διαμορφωθεί ώστε να συνδέονται στους διακομιστές Mediation Controller, πρέπει ακόμη να διαμορφωθούν ώστε να ανακατευθύνουν τη σύνδεση του Mediation Controller προς τη βάση δεδομένων.
Για να το κάνετε αυτό, επεξεργαστείτε το αρχείο /etc/ipdiva/gateway-tunnel-master/services.xml και τροποποιήστε το ως εξής: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Αντικαταστήστε το DB_SERVER με το όνομα DNS ή τη διεύθυνση IP που χρησιμοποιείται για τη σύνδεση στη βάση δεδομένων και το DB_PORT με τη θύρα ακρόασης της παρουσίας της βάσης δεδομένων.
Αναπαραγάγετε αυτές τις ρυθμίσεις για την παρουσία που συνδέεται στον διακομιστή Mediation Controller SLAVE, αντιγράφοντας το αρχείο:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Τέλος, εκκινήστε τις παρουσίες του Edge Gateway ώστε να δημιουργήσουν σύνδεση με τους διακομιστές Mediation Controller:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Διαμόρφωση της σήραγγας των διακομιστών Mediation Controller

Για να μπορούν οι διακομιστές Mediation Controller να χρησιμοποιούν τη σήραγγα, πρέπει ακόμη να δηλώσετε την ύπαρξή της.
Για να το κάνετε αυτό, συνδεθείτε ως root στους διακομιστές Mediation Controller και επεξεργαστείτε το αρχείο /etc/ipdiva/server/services.xml για να προσθέσετε το ακόλουθο τμήμα (ορισμένα τμήματα έχουν παραλειφθεί και επισημαίνονται με […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Αντικαταστήστε τα ακόλουθα στοιχεία:

  • GW1_NAME με το όνομα του πρώτου Edge Gateway
  • GW2_NAME με το όνομα του δεύτερου Edge Gateway
  • ORGANIZATION_NAME με το όνομα του οργανισμού του CyberElements Gate που δημιουργήθηκε προηγουμένως
Παράδειγμα

Λαμβάνοντας υπόψη τις ακόλουθες πληροφορίες:

  • Όνομα του Edge Gateway 1: gate-tunnel-1
  • Όνομα του Edge Gateway 2: gate-tunnel-2
  • Όνομα του οργανισμού του CyberElements Gate: tunnel

Το αρχείο /etc/ipdiva/server/services.xml θα συμπληρωνόταν ως εξής:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Πλήρες αρχείο 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Για να εφαρμόσετε τη νέα διαμόρφωση, επανεκκινήστε το SSL Router με την ακόλουθη εντολή:

1
/usr/local/ipdiva/server/bin/restart

Αρχικοποίηση της βάσης δεδομένων

Προσοχή!

Πρέπει να δημιουργήσετε τη βάση δεδομένων default πριν την αρχικοποιήσει το CyberElements Bastion (δεν δημιουργείται αυτόματα).

Για να αρχικοποιήσετε τη βάση δεδομένων PostgreSQL της διαμόρφωσης συστήματος, πρέπει πρώτα να διαμορφώσετε τις ρυθμίσεις σύνδεσης στους διακομιστές Mediation Controller.
Για να το κάνετε αυτό, επεξεργαστείτε το αρχείο /etc/ipdiva/care/databasesettings.ini και στους δύο διακομιστές και προσθέστε τις ακόλουθες καταχωρήσεις:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Αντικαταστήστε τα ακόλουθα στοιχεία:

  • DB_USERNAME με το όνομα χρήστη που χρησιμοποιείται για τη σύνδεση στη βάση δεδομένων.
  • DB_PWD με τον κωδικό πρόσβασης του χρήστη που συνδέεται.
  • DB_HOST με τη διεύθυνση IP ή το όνομα DNS που χρησιμοποιείται για τη σύνδεση στη βάση δεδομένων· εάν χρησιμοποιείται σύνδεση μέσω Edge Gateway, θα πρέπει να καταχωρίσετε 127.0.0.1.
  • DB_PORT με τη θύρα που χρησιμοποιείται για τη σύνδεση στην παρουσία της βάσης δεδομένων· εάν χρησιμοποιείται σύνδεση μέσω Edge Gateway, θα πρέπει να καταχωρίσετε 1432.

Η αρχικοποίηση της βάσης δεδομένων μπορεί να εκκινηθεί με τις ακόλουθες εντολές, οι οποίες πρέπει να εκτελεστούν μόνο σε ένα Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Στη συνέχεια, το μόνο που απομένει είναι η επανεκκίνηση της υπηρεσίας apache2 και στους δύο διακομιστές Mediation Controller για την εφαρμογή της αρχικοποίησης της βάσης δεδομένων συστήματος:

1
systemctl restart apache2

Εγκατάσταση προγραμμάτων οδήγησης για σύνδεση με βάσεις δεδομένων Microsoft SQL

Εάν θέλετε να συνδεθείτε σε μια εξωτερική βάση δεδομένων και πρόκειται για Microsoft SQL Server, πρέπει να εγκατασταθούν πρόσθετα προγράμματα οδήγησης ODBC.

Διατίθενται δύο εκδόσεις: η έκδοση 17 και η έκδοση 18.

Απαιτείται σύνδεση TLS για τα προγράμματα οδήγησης της έκδοσης 18

Η χρήση των προγραμμάτων οδήγησης ODBC 18 απαιτεί την κρυπτογράφηση της σύνδεσης με TLS. Για να το κάνετε αυτό, πρέπει να διαμορφώσετε τον MS SQL Server για κρυπτογράφηση των συνδέσεων.

Πριν ξεκινήσετε την εγκατάσταση των προγραμμάτων οδήγησης ODBC, πρέπει να εγκαταστήσετε τα απαραίτητα πακέτα προετοιμασίας και, στη συνέχεια, να προετοιμάσετε το αποθετήριο της Microsoft για την εγκατάσταση των πακέτων:

1
2
3
4
apt install -y curl apt-transport-https gpg
curl -fsSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor -o /usr/share/keyrings/microsoft-prod.gpg
curl https://packages.microsoft.com/config/debian/12/prod.list > /etc/apt/sources.list.d/mssql-release.list
apt update

Στη συνέχεια, εγκαταστήστε τα προγράμματα οδήγησης σύμφωνα με την έκδοση που επιλέξατε και διαμορφώστε το σύστημα ώστε να χρησιμοποιεί την εντολή sqlcmd:

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql17 mssql-tools python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools/bin/sqlcmd /usr/bin/sqlcmd

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql18 mssql-tools18 python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools18/bin/sqlcmd /usr/bin/sqlcmd

Τα προγράμματα οδήγησης ODBC έχουν πλέον εγκατασταθεί σωστά.
Εάν ο διακομιστής Mediation Controller έχει πρόσβαση σε έναν διακομιστή MS SQL, η ακόλουθη εντολή θα πρέπει να επιτρέπει τη σύνδεση στον απομακρυσμένο διακομιστή: 

1
sqlcmd -S SERVER\INSTANCE_NAME,PORT -U USER

Όπου:

  • Το SERVER πρέπει να αντικατασταθεί με το όνομα DNS ή τη διεύθυνση IP του διακομιστή MS SQL.
  • Το INSTANCE_NAME πρέπει να αντικατασταθεί με το όνομα της παρουσίας στην οποία θα γίνει η σύνδεση· εάν δεν είναι απαραίτητο, καταργήστε επίσης τον χαρακτήρα \.
  • Το PORT πρέπει να αντικατασταθεί με τη θύρα σύνδεσης στην παρουσία της βάσης δεδομένων MS SQL.
  • Το USER πρέπει να αντικατασταθεί με το όνομα χρήστη για τη δημιουργία της σύνδεσης.
Παραδείγματα

Εάν ο διακομιστής Mediation Controller έχει πρόσβαση σε έναν διακομιστή βάσης δεδομένων MS SQL μέσω της διεύθυνσης IP 10.0.10.100, η παρουσία στην οποία πρέπει να αποκτηθεί πρόσβαση κάνει ακρόαση στη θύρα 1433 και ο λογαριασμός πρόσβασης είναι ο sql-user, τότε η εντολή σύνδεσης είναι η εξής:

1
sqlcmd -S 10.0.10.100,1433 -U sql-user

Εάν έπρεπε να καθοριστεί η παρουσία σύνδεσης με το όνομα MSSQLINSTANCE, η εντολή θα τροποποιούνταν ως εξής:

1
sqlcmd -S 10.0.10.100\MSSQLINSTANCE,1433 -U sql-user

Διαμόρφωση διακομιστή ώρας NTP

Συνιστάται να ρυθμίσετε έναν διακομιστή ώρας για να διατηρείται ενημερωμένο το ρολόι του συστήματος. Τα απαραίτητα βήματα περιγράφονται στη σελίδα διαμόρφωσης NTP.

Αρχικές διαμορφώσεις στο CyberElements Bastion

Εξουσιοδότηση πρόσβασης στις διεπαφές web με την εικονική IP

Από προεπιλογή, δεν επιτρέπεται η σύνδεση στις διασυνδέσεις web του προϊόντος CyberElements Bastion με την εικονική διεύθυνση IP VIP_MED_WEB.
Για να προσθέσετε την εξουσιοδότηση, εκτελέστε ως root τις ακόλουθες εντολές στους διακομιστές Mediation Controller:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Αντικαταστήστε το IP με τη διεύθυνση IP που αντιστοιχεί στο VIP_MED_WEB.

Αρχικές διαμορφώσεις

Σε αυτό το στάδιο, οι διακομιστές Mediation Controller έχουν εγκατασταθεί, αλλά απαιτούνται ακόμη αρκετές ενέργειες:

  • Αλλαγή των προεπιλεγμένων κωδικών πρόσβασης

    Αλλάξτε τους προεπιλεγμένους κωδικούς πρόσβασης των κονσολών συστήματος.

    Αλλαγή

  • Εγκατάσταση πιστοποιητικών και αδειών χρήσης

    Ο διακομιστής Mediation Controller απαιτεί διάφορα πιστοποιητικά και μια άδεια χρήσης για να είναι λειτουργικός.
    Μόνο το πιστοποιητικό για το πρόγραμμα-πελάτη CyberElements Bastion πρέπει να δηλωθεί εκ νέου και στους δύο διακομιστές Mediation Controller (χρησιμοποιήστε τις RIP RIP_MED_WEB_MASTER και RIP_MED_WEB_SLAVE).

    Εγκατάσταση πιστοποιητικών και άδειας χρήσης

  • Διαμόρφωση του πιστοποιητικού web

    Διαμορφώστε το πιστοποιητικό web που χρησιμοποιείται για τη σύνδεση στις διεπαφές web

    Διαμόρφωση

  • Δήλωση ονόματος DNS

    Προσθέστε ένα όνομα DNS που είναι εξουσιοδοτημένο να συνδέεται στις διεπαφές web.

    Προσθήκη

  • Διαμόρφωση του οργανισμού

    Διαμορφώστε τον οργανισμό του CyberElements Bastion.

    Διαμόρφωση με άμεση πρόσβαση στη βάση δεδομένων

    Διαμόρφωση με πρόσβαση στη βάση δεδομένων μέσω της σήραγγας των στοιχείων Edge Gateway

  • Δήλωση των στοιχείων Edge Gateway

    Δηλώστε το στοιχείο ή τα στοιχεία Edge Gateway ή HTML5 Gateway που θα εγκατασταθούν.

    Δημιουργία στοιχείων Edge Gateway

  • Δημιουργία λογικής τοποθεσίας

    Δημιουργήστε και διαμορφώστε μια λογική τοποθεσία που ομαδοποιεί τα στοιχεία Edge Gateway και HTML5 Gateway που μπορούν να έχουν πρόσβαση σε τοπικούς πόρους.

    Δημιουργία τοποθεσίας

  • Εγκατάσταση στοιχείου Edge Gateway

    Εγκαταστήστε και διαμορφώστε ένα νέο στοιχείο Edge Gateway με τους πρόσφατα εγκατεστημένους διακομιστές Mediation Controller.
    Θα διαμορφωθεί επίσης μια παρουσία HTML5 Gateway.

    Εγκαταστήστε