Μετάβαση στο περιεχόμενο

Προαπαιτούμενα για μια πλατφόρμα CyberElements Bastion Cluster

Υπολογιστής

Για την εγκατάσταση του CyberElements Bastion μπορούν να χρησιμοποιηθούν τόσο φυσικοί υπολογιστές όσο και εικονικές μηχανές.
Το προϊόν δεν εκτελεί καμία εικονικοποίηση, επομένως δεν χρειάζεται να ενεργοποιηθεί η επιλογή εμφωλευμένης εικονικοποίησης για τις εικονικές μηχανές.

OS

Το CyberElements Bastion εκτελείται σε υπολογιστές με Debian 12 (Bookworm) 64 bit.
Συνιστάται η χρήση υπολογιστών χωρίς γραφικό περιβάλλον και ο περιορισμός των εγκατεστημένων στοιχείων στον διακομιστή SSH.

CPU

Μια CPU με 4 πυρήνες καλύπτει τις περισσότερες περιπτώσεις χρήσης του προϊόντος.

RAM

Προσοχή

Οι τιμές RAM που δίνονται παρακάτω είναι ενδεικτικές, καθώς υπάρχουν πολλές μεταβλητές που μπορούν να επηρεάσουν την κατανάλωση RAM (λειτουργίες του προϊόντος που χρησιμοποιούνται ή στοιχεία που είναι εγκατεστημένα παράλληλα με το προϊόν στον υπολογιστή).

Η κατανάλωση RAM εξαρτάται γενικά από τον αριθμό των ταυτόχρονων χρηστών που μπορεί να εξυπηρετήσει η πλατφόρμα:

  • Από 1 έως 5 ταυτόχρονοι χρήστες: τουλάχιστον 2 GB RAM, συνιστώνται 4 GB.
  • Από 5 έως 20 ταυτόχρονοι χρήστες: τουλάχιστον 4 GB RAM.
  • Για 20 ή περισσότερους ταυτόχρονους χρήστες: τουλάχιστον 8 GB RAM.

Η κατανάλωση RAM εξαρτάται από τον αριθμό των ταυτόχρονων περιόδων λειτουργίας, καθώς και από τους τύπους των εφαρμογών που χρησιμοποιούνται.

Οι τυπικές τιμές είναι οι εξής:

  • Από 1 έως 5 ταυτόχρονοι χρήστες: τουλάχιστον 2 GB RAM, συνιστώνται 4 GB.
  • Από 5 έως 20 ταυτόχρονοι χρήστες: τουλάχιστον 4 GB RAM.
  • Για 20 ή περισσότερους ταυτόχρονους χρήστες: 8 GB RAM.

Λάβετε υπόψη ότι μια εφαρμογή RDP ή VNC χωρίς παράγοντα μπορεί να καταναλώνει έως 400 MB ανά εφαρμογή που εκκινείται.
Όταν αυτοί οι τύποι εφαρμογών χρησιμοποιούνται εκτενώς, συνιστάται η παρακολούθηση της χρήσης RAM, ώστε να προσαρμόζεται ανάλογα το μέγεθός της.

Η κατανάλωση RAM εξαρτάται από τον αριθμό των εφαρμογών HTML5 που είναι ανοιχτές ταυτόχρονα.

Ο βασικός διακομιστής πρέπει να διαθέτει 2 GB για τη λειτουργία του συστήματος, συν 50 MB ανά ταυτόχρονη εφαρμογή HTML5.

Εάν ο ρόλος HTML5 Gateway συνδυάζεται με διακομιστή Edge Gateway, τότε προσθέστε 50 MB ανά ταυτόχρονη εφαρμογή HTML5 στη συνιστώμενη ποσότητα RAM για τον διακομιστή Edge Gateway.

Δίσκος

Συνιστούμε τη διαμέριση του δίσκου με LVM, ώστε να υπάρχει μεγαλύτερη ευελιξία εάν χρειαστεί να αναθεωρηθεί το μέγεθος του υπολογιστή κατά τη χρήση.

Οι διάφοροι τύποι διακομιστών έχουν διαφορετικά μοτίβα χρήσης του δίσκου, με επίσης διαφορετικούς όγκους δεδομένων. Παρακάτω παρατίθενται οι πληροφορίες ανά τύπο διακομιστή:

Σε αυτόν τον διακομιστή, ο όγκος των δεδομένων θα αυξάνεται στους ακόλουθους καταλόγους:

  • /var/log/: κατάλογος που περιέχει τα διάφορα αρχεία καταγραφής του συστήματος.
  • /var/lib/postgresql/15/main/: κατάλογος που περιέχει τα δεδομένα της τοπικής βάσης δεδομένων.
  • /var/ipdiva/: κατάλογος που περιέχει τα δεδομένα που αφορούν ειδικά το προϊόν.

Η απομόνωση των διαφόρων καταλόγων σε διαφορετικά διαμερίσματα δεν είναι υποχρεωτική, αλλά συνιστάται. Μπορείτε να ακολουθήσετε αυτές τις οδηγίες:

Σημείο προσάρτησης Επιλογές Ελάχιστο μέγεθος (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Καμία επιλογή Ανάλογα με τη RAM (το μισό της)
/ Καμία επιλογή 2 GB ή περισσότερο, ανάλογα με τον διαθέσιμο χώρο στον δίσκο

Παράδειγμα

Για έναν διακομιστή με 4 GB RAM (ο οποίος απαιτεί 2 GB swap), ο απαιτούμενος χώρος στον δίσκο με την προηγούμενη διαμέριση είναι τουλάχιστον 35 GB.

Σε αυτόν τον διακομιστή, ο όγκος των δεδομένων θα αυξάνεται στους ακόλουθους καταλόγους:

  • /var/log/: κατάλογος που περιέχει τα διάφορα αρχεία καταγραφής του συστήματος.
  • /var/lib/ipdiva/carerecord/recording/: κατάλογος που περιέχει τα αρχεία των εγγραφών σε εξέλιξη· πρόκειται επομένως για κατάλογο προσωρινής αποθήκευσης.
  • /var/lib/ipdiva/carerecord/archives/: προεπιλεγμένος κατάλογος που περιέχει τα γραφικά αρχεία του προϊόντος.
  • /var/ipdiva/care/sshrecord/: προεπιλεγμένος κατάλογος που περιέχει τα μη γραφικά αρχεία (SSH) του προϊόντος.

Η απομόνωση των διαφόρων καταλόγων σε διαφορετικά διαμερίσματα δεν είναι υποχρεωτική, αλλά συνιστάται. Μπορείτε να ακολουθήσετε αυτές τις οδηγίες:

Σημείο προσάρτησης Επιλογές Ελάχιστο μέγεθος (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Καμία επιλογή Ανάλογα με τη RAM (το μισό της)
/ Καμία επιλογή 2 GB ή περισσότερο, ανάλογα με τον διαθέσιμο χώρο στον δίσκο

Παράδειγμα

Για έναν διακομιστή με 4 GB RAM (ο οποίος απαιτεί 2 GB swap), ο απαιτούμενος χώρος στον δίσκο με την προηγούμενη διαμέριση είναι τουλάχιστον 35 GB.

Ωστόσο, συνιστάται ανεπιφύλακτα να διαθέσετε περισσότερο χώρο στον δίσκο για τα προσωρινά ή μακροπρόθεσμα γραφικά αρχεία με το σημείο προσάρτησης /var, εκτός εάν τα αρχεία αποθηκεύονται εξωτερικά.

Σε αυτόν τον διακομιστή, ο όγκος των δεδομένων θα αυξάνεται στους ακόλουθους καταλόγους:

  • /var/log/: κατάλογος που περιέχει τα διάφορα αρχεία καταγραφής του συστήματος.
  • /home/systanciahtml5share/: κατάλογος προσωρινής αποθήκευσης για τα αρχεία που ανταλλάσσονται με τις εφαρμογές HTML5.

Η απομόνωση των διαφόρων καταλόγων σε διαφορετικά διαμερίσματα δεν είναι υποχρεωτική, αλλά συνιστάται. Μπορείτε να ακολουθήσετε αυτές τις οδηγίες:

Σημείο προσάρτησης Επιλογές Ελάχιστο μέγεθος (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Καμία επιλογή Ανάλογα με τη RAM (το μισό της)
/ Καμία επιλογή 2 GB ή περισσότερο, ανάλογα με τον διαθέσιμο χώρο στον δίσκο

Παράδειγμα

Για έναν διακομιστή με 4 GB RAM (ο οποίος απαιτεί 2 GB swap), ο απαιτούμενος χώρος στον δίσκο με την προηγούμενη διαμέριση είναι τουλάχιστον 35 GB.

Δίκτυο

Μια πλατφόρμα CyberElements Bastion Cluster απαιτεί:

  • 2 πραγματικές διευθύνσεις IP ανά διακομιστή Mediation Controller (στην ίδια διασύνδεση δικτύου)
  • 3 εικονικές διευθύνσεις IP για τη λειτουργία του συμπλέγματος
  • 1 διεύθυνση IP ανά υπολογιστή Edge Gateway ή HTML5 Gateway

Πρόσθετες πληροφορίες

Οι πραγματικές και οι εικονικές διευθύνσεις IP των διακομιστών Mediation Controller πρέπει να ανήκουν όλες στο ίδιο υποδίκτυο.

Ασυμβατότητες με τη χρήση εικονικών IP

Οι εικονικές IP διαθέτουν εξισορρόπηση φορτίου, την οποία διαχειρίζεται το IPVS (IP Virtual Server).
Η εξισορρόπηση φορτίου απαιτεί αρκετά προαπαιτούμενα για να λειτουργεί σωστά:

  • Απενεργοποιήστε τις λειτουργίες Reverse Path Forwarding (RPF) για τους διακομιστές Mediation Controller και τις IP που φέρουν αυτοί οι υπολογιστές.
  • Αντιστοιχίστε έναν προσαρμογέα δικτύου E1000E αντί για VMXNET3 στο VMware για τους διακομιστές Mediation Controller.

Οι διακομιστές Mediation Controller τοποθετούνται συνήθως σε μια DMZ, αλλά μπορούν επίσης να τοποθετηθούν σε μια ιδιωτική DMZ ή να φιλοξενηθούν σε ένα δημόσιο cloud. Αυτό εξαρτάται από την περίπτωση χρήσης της πλατφόρμας (για παράδειγμα: απομακρυσμένη πρόσβαση για παρόχους υπηρεσιών ή ασφάλιση της εσωτερικής πρόσβασης σε προστατευμένες ζώνες).

Οι διακομιστές Edge Gateway τοποθετούνται συνήθως στο LAN, σε VLAN που τους επιτρέπουν να επικοινωνούν με τους πόρους-στόχους.

Οι διακομιστές HTML5 Gateway μπορούν να τοποθετηθούν είτε στο LAN είτε στη DMZ. Η παρούσα τεκμηρίωση προβλέπει την εγκατάσταση του στοιχείου HTML5 Gateway στους διακομιστές Edge Gateway, δηλαδή στο LAN.

Για την καλύτερη αναγνώριση των διαφόρων διευθύνσεων των υπολογιστών, αυτές θα αναφέρονται στην τεκμηρίωση ως εξής:

Όνομα διεύθυνσης IP Σημασία
RIP_MED_WEB_MASTER Κύρια διεύθυνση IP του διακομιστή Mediation Controller MASTER, η οποία παρέχει πρόσβαση στις κονσόλες web.
RIP_MED_WEB_SLAVE Κύρια διεύθυνση IP του διακομιστή Mediation Controller SLAVE, η οποία παρέχει πρόσβαση στις κονσόλες web.
RIP_MED_SSL_MASTER Δεύτερη διεύθυνση IP του διακομιστή Mediation Controller MASTER, η οποία χρησιμοποιείται από το στοιχείο SSL Router.
RIP_MED_SSL_SLAVE Δεύτερη διεύθυνση IP του διακομιστή Mediation Controller SLAVE, η οποία χρησιμοποιείται από το στοιχείο SSL Router.
VIP_MED_WEB Εικονική διεύθυνση IP του συμπλέγματος Mediation Controller, η οποία παρέχει πρόσβαση στις κονσόλες web.
VIP_MED_SSL Εικονική διεύθυνση IP του συμπλέγματος Mediation Controller, η οποία παρέχει πρόσβαση στο στοιχείο SSL Router.
VIP_MED_ZEO Εικονική διεύθυνση IP του συμπλέγματος Mediation Controller, η οποία παρέχει πρόσβαση σε μια εσωτερική βάση δεδομένων διαμόρφωσης του προϊόντος.
IP_GW Διεύθυνση IP του διακομιστή Edge Gateway.
IP_HTML5_GW Διεύθυνση IP του διακομιστή HTML5 Gateway.

Πληροφορίες

Οι πληροφορίες ροών που παρέχονται προϋποθέτουν ότι οι διακομιστές Mediation Controller βρίσκονται στη DMZ και ότι οι διακομιστές Edge Gateway, οι οποίοι λειτουργούν επίσης ως HTML5 Gateway, βρίσκονται στο LAN.

Οι διευθύνσεις IP του διακομιστή Mediation Controller μπορούν να είναι είτε δημόσιες διευθύνσεις IP που αντιστοιχίζονται απευθείας στον διακομιστή Mediation Controller είτε δημόσιες διευθύνσεις IP που μεταφράζονται μέσω NAT σε ιδιωτικές διευθύνσεις IP (συνιστάται).

Πηγή Προορισμός Θύρα προορισμού Σχόλια
Σταθμός εργασίας χρήστη VIP_MED_WEB TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Παροχή πρόσβασης στις κονσόλες web και στις εφαρμογές που εκτελούνται απευθείας στο πρόγραμμα περιήγησης.
Σταθμός εργασίας χρήστη VIP_MED_SSL TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Δημιουργία σήραγγας TLS για την κρυπτογράφηση της ροής που διέρχεται από το πρόγραμμα-πελάτη CyberElements Bastion.
IP_GW VIP_MED_WEB TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Όταν το στοιχείο Edge Gateway βρίσκεται σε απομακρυσμένο δίκτυο. Σύνδεση με το σύστημα σύζευξης του στοιχείου Edge Gateway.
IP_GW VIP_MED_SSL TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Όταν το στοιχείο Edge Gateway βρίσκεται σε απομακρυσμένο δίκτυο. Σύνδεση με το στοιχείο SSL Router για τη δημιουργία σήραγγας TLSv1.3 και τη δρομολόγηση των επικοινωνιών του προϊόντος μέσω αυτής.
Πηγή Προορισμός Θύρα προορισμού Σχόλια
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Αποθετήρια Debian TCP 80 Απαιτείται για την εγκατάσταση των εξαρτήσεων του CyberElements Bastion και για τη διατήρηση του συστήματος ενημερωμένου. Η τεκμηρίωση και οι εικονικές συσκευές χρησιμοποιούν τα ftp.fr.debian.org και security.debian.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 packages.microsoft.com TCP 443 Αποθετήριο της Microsoft για την εγκατάσταση και την ενημέρωση των προγραμμάτων οδήγησης MS SQL. Απαιτείται μόνο εάν είναι επιθυμητή η πρόσβαση σε βάση δεδομένων MS SQL (οι εικονικές συσκευές διαθέτουν προγράμματα οδήγησης MS SQL).
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Διακομιστής ώρας NTP UDP 123 Προαιρετικό εάν ο διακομιστής πρέπει να συγχρονίζει το ρολόι του με έναν διακομιστή στη DMZ. Από προεπιλογή, χρησιμοποιούνται οι ομάδες διακομιστών του Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org και 3.debian.pool.ntp.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Διακομιστής SMTP TCP 25, 465, 587 Απαιτείται εάν πρέπει να χρησιμοποιηθεί διακομιστής SMTP για την αποστολή μηνυμάτων ηλεκτρονικού ταχυδρομείου και αυτός βρίσκεται στο WAN.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Διακομιστής DNS UDP 53 Απαιτείται για την επίλυση DNS. Μπορεί να βρίσκεται στο WAN ή στη DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 api.neomia.ai TCP 443 (Προαιρετικό) Σύνδεση με τα API του προϊόντος MFA με βιομετρικά στοιχεία συμπεριφοράς Neomia Pulse.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Προαιρετικό) Σύνδεση με το θησαυροφυλάκιο Keeper EPM ανάλογα με τη θέση του.
Πηγή Προορισμός Θύρα προορισμού Σχόλια
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Διακομιστής ώρας NTP UDP 123 Εάν ο διακομιστής πρέπει να συγχρονίζει το ρολόι του με έναν διακομιστή στη DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Διακομιστής SMTP TCP 25, 465, 587 Απαιτείται εάν πρέπει να χρησιμοποιηθεί διακομιστής SMTP για την αποστολή μηνυμάτων ηλεκτρονικού ταχυδρομείου και αυτός βρίσκεται στη DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Διακομιστής βάσης δεδομένων TCP 1433, 5432 ή οποιαδήποτε άλλη προσαρμοσμένη θύρα Απαιτείται εάν θέλετε να χρησιμοποιήσετε μια εξωτερική βάση δεδομένων που βρίσκεται στη DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Διακομιστής DNS UDP 53 Απαιτείται για την επίλυση DNS. Μπορεί να βρίσκεται στη DMZ ή στο WAN.

Πρόσθετες πληροφορίες

Οι διακομιστές Mediation Controller πρέπει να μπορούν να επικοινωνούν μεταξύ τους από και προς οποιαδήποτε από τις διευθύνσεις τους, ανεξάρτητα από το πρωτόκολλο.

Πηγή Προορισμός Θύρα προορισμού Σχόλια
IP_GW Αποθετήρια Debian TCP 80 Απαιτείται για την εγκατάσταση των εξαρτήσεων του CyberElements Bastion και για τη διατήρηση του συστήματος ενημερωμένου. Η τεκμηρίωση και οι εικονικές συσκευές χρησιμοποιούν τα ftp.fr.debian.org και security.debian.org.
IP_GW Διακομιστής DNS UDP 53 Απαιτείται για την επίλυση DNS. Προαιρετικό εάν είναι διαθέσιμος διακομιστής DNS στο LAN ή στη DMZ.
IP_GW Διακομιστής ώρας NTP UDP 123 Προαιρετικό εάν ο διακομιστής πρέπει να συγχρονίζει το ρολόι του με έναν διακομιστή στο LAN ή στη DMZ. Από προεπιλογή, χρησιμοποιούνται οι ομάδες διακομιστών του Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org και 3.debian.pool.ntp.org.
IP_GW Πάροχος SMS TCP 443 (Προαιρετικό) Σύνδεση με τα API των παρόχων SMS που υποστηρίζονται από το CyberElements Bastion.
Πηγή(-ές) Προορισμός Θύρα προορισμού Σχόλια
IP_GW
IP_HTML5_GW		 VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση με το σύστημα σύζευξης του στοιχείου Edge Gateway.
IP_GW
IP_HTML5_GW		 VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση με το στοιχείο SSL Router για τη δημιουργία σήραγγας TLSv1.3 και τη δρομολόγηση των επικοινωνιών του προϊόντος μέσω αυτής.
Σταθμός εργασίας πελάτη VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση με τις διάφορες κονσόλες web του προϊόντος.
Σταθμός εργασίας πελάτη VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Δημιουργία σήραγγας TLS για την κρυπτογράφηση της ροής που διέρχεται από το πρόγραμμα-πελάτη CyberElements Bastion.
Σταθμός εργασίας διαχειριστή RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 22 Σύνδεση SSH με τον διακομιστή Mediation Controller.
Πηγή Προορισμός Θύρα προορισμού Σχόλια
IP_GW Διακομιστής DNS UDP 53 Απαιτείται για την επίλυση DNS. Προαιρετικό εάν χρησιμοποιείται διακομιστής DNS στο WAN ή στη DMZ.
IP_GW Διακομιστές LDAP ή AD TCP 389 ή 636 Σύνδεση του CyberElements Bastion με διακομιστή LDAP ή AD.
IP_GW Διακομιστές AD TCP 139 και 445 Εναλλαγή κωδικών πρόσβασης λογαριασμών AD, χρησιμοποιείται μόνο εάν η εναλλαγή μέσω LDAPS δεν είναι δυνατή.
IP_GW Διακομιστές RDP TCP/UDP 3389 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση του CyberElements Bastion με διακομιστές RDP.
IP_GW Διακομιστές SSH TCP 22 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση του CyberElements Bastion με διακομιστές SSH.
IP_GW Διακομιστές VNC TCP 5900 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση του CyberElements Bastion με διακομιστές VNC.
IP_GW Διακομιστές web TCP 80 ή 443 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση του CyberElements Bastion με διακομιστές web.
IP_GW Διακομιστές Citrix Storefront TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση του CyberElements Bastion με διακομιστές Citrix Storefront.
IP_GW Διακομιστές εφαρμογών Citrix TCP 1494 Σύνδεση του CyberElements Bastion με διακομιστές εφαρμογών Citrix (εκκίνηση εφαρμογής ή επιφάνειας εργασίας με το πρόγραμμα-πελάτη ICA).
IP_GW Διακομιστές αρχείων TCP 139 και 445 Σύνδεση του CyberElements Bastion με διακομιστές αρχείων.
IP_GW Διακομιστής βάσης δεδομένων TCP 1433, 5432 ή οποιαδήποτε άλλη προσαρμοσμένη θύρα Απαιτείται εάν θέλετε να χρησιμοποιήσετε μια εξωτερική βάση δεδομένων που βρίσκεται στο LAN (για παράδειγμα, για τη μεταφορά της βάσης δεδομένων της λειτουργικής μονάδας Vault).
IP_GW Διακομιστές RDP TCP 139 και 445 Ανάπτυξη του παράγοντα εγγραφής μέσω της κονσόλας διαχείρισης.
Σταθμός εργασίας πελάτη IP_GW TCP [θύρα που ορίζεται από τον διαχειριστή] Σύνδεση άμεσης πρόσβασης SSH.
Σταθμός εργασίας πελάτη IP_GW TCP 3389 Σύνδεση άμεσης πρόσβασης RDP.
Διακομιστές RDP IP_GW TCP 8443 Σύνδεση μεταξύ του παράγοντα εγγραφής και του στοιχείου Edge Gateway για την αποστολή της εγγραφής της περιόδου λειτουργίας του χρήστη.
Σταθμός εργασίας διαχειριστή IP_GW TCP 22 Σύνδεση SSH με τον διακομιστή Edge Gateway.

Βάση δεδομένων

Το CyberElements Bastion χρησιμοποιεί διάφορες βάσεις δεδομένων (DB) για τη λειτουργία του.

  1. Βάση δεδομένων διαμόρφωσης συστήματος. Αυτή η βάση δεδομένων χρησιμοποιείται για την αποθήκευση όλων των ρυθμίσεων της διεπαφής διαχείρισης /system και πρέπει να ονομάζεται default.

    Προσοχή!

    Πρέπει να δημιουργήσετε τη βάση δεδομένων default πριν συνδεθείτε στο CyberElements Bastion (δεν δημιουργείται αυτόματα).

  2. Βάση δεδομένων διαμόρφωσης οργανισμού. Κάθε οργανισμός που δημιουργείται στον διακομιστή Mediation Controller απαιτεί μια διαφορετική DB, η οποία περιέχει όλες τις ρυθμίσεις και τα αρχεία καταγραφής του οργανισμού.

  3. Βάση δεδομένων της λειτουργικής μονάδας Vault. Κάθε οργανισμός που δημιουργείται προκαλεί τη δημιουργία μιας ειδικής DB για τη λειτουργική μονάδα Vault του προϊόντος, η οποία αποθηκεύεται από προεπιλογή στον διακομιστή Mediation Controller. Αυτή η βάση δεδομένων μπορεί να μεταφερθεί στο LAN, υπό την προϋπόθεση ότι ένα στοιχείο Edge Gateway μπορεί να έχει πρόσβαση σε αυτήν.

Όταν χρησιμοποιούνται εξωτερικές βάσεις δεδομένων (τυπική περίπτωση σε Cluster), οι υποστηριζόμενοι τύποι βάσεων δεδομένων είναι:

Άδεια χρήσης

Ο διακομιστής Mediation Controller απαιτεί άδεια χρήσης για να λειτουργήσει.
Η άδεια χρήσης μπορεί να ληφθεί από τη Systancia μέσω της ακόλουθης φόρμας αιτήματος άδειας χρήσης: Αίτημα άδειας χρήσης

Πιστοποιητικά

Το CyberElements Bastion χρησιμοποιεί κρυπτογράφηση TLS για τις εσωτερικές επικοινωνίες και HTTPS για την ασφάλεια της πρόσβασης web, γεγονός που απαιτεί τη χρήση διαφόρων πιστοποιητικών x509. Οι παρακάτω πληροφορίες συνοψίζουν τα διάφορα απαιτούμενα πιστοποιητικά, τον σκοπό τους και τις ελάχιστες ρυθμίσεις.

Περιορισμός ασφαλείας πιστοποιητικού

Ανεξάρτητα από το πιστοποιητικό που χρησιμοποιείται, βεβαιωθείτε ότι συμμορφώνεται με το επίπεδο ασφαλείας 2 του OpenSSL, το οποίο μπορεί να συνοψιστεί ως εξής:

  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit.
  • Η υπογραφή του πιστοποιητικού δεν πρέπει να είναι MD5 ή SHA-1 (προτιμάται το SHA-512).

Αυτός ο διακομιστής χρησιμοποιεί πέντε διαφορετικά πιστοποιητικά:

  • Ένα πιστοποιητικό web για την ενεργοποίηση του HTTPS.
  • Ένα πιστοποιητικό για το στοιχείο SSL Router, το οποίο είναι υπεύθυνο για τη δημιουργία σηράγγων TLS και τη δρομολόγηση της κίνησης μεταξύ τους.
  • Ένα πιστοποιητικό για το στοιχείο Watchdog, το οποίο είναι υπεύθυνο για την παρακολούθηση της σωστής λειτουργίας του στοιχείου SSL Router.
  • Ένα πιστοποιητικό για το πρόγραμμα-πελάτη CyberElements Bastion, ώστε να μπορεί να συνδέεται στο στοιχείο SSL Router και να δημιουργεί μια σήραγγα TLSv1.3.
  • Ένα πιστοποιητικό για τις ανταλλαγές μεταξύ των διακομιστών Mediation Controller (μόνο για τον διακομιστή SLAVE).

Πιστοποιητικό web

Σύσταση

Το πιστοποιητικό web θα πρέπει κατά προτίμηση να έχει εκδοθεί από δημόσια αρχή έκδοσης πιστοποιητικών (CA) που αναγνωρίζεται ως αξιόπιστη.
Με αυτόν τον τρόπο διασφαλίζεται, χωρίς καμία πρόσθετη ενέργεια, ότι οι χρήστες δεν θα λαμβάνουν ειδοποιήσεις σχετικά με το πιστοποιητικό που χρησιμοποιείται (εφόσον είναι έγκυρο και καλύπτει το όνομα με το οποίο ο χρήστης ξεκίνησε τη σύνδεση). Η χρήση πιστοποιητικού που έχει εκδοθεί από εσωτερική PKI απαιτεί την ανάπτυξη του πιστοποιητικού της CA στους σταθμούς εργασίας των χρηστών.

Το πιστοποιητικό web πρέπει να συμμορφώνεται με τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 398 ημέρες (13 μήνες).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Η τιμή του χαρακτηριστικού Common Name πρέπει να είναι το όνομα DNS (ή το όνομα με χαρακτήρα μπαλαντέρ) για το οποίο προορίζεται το πιστοποιητικό.
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical, digitalSignature και keyEncipherment.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή id-kp-serverAuth (το OpenSSL χρησιμοποιεί την τιμή serverAuth).
  • Το χαρακτηριστικό Subject Alternative Name πρέπει να περιέχει τουλάχιστον μία καταχώρηση που αντιστοιχεί στο κύριο όνομα DNS· μπορούν να προστεθούν και άλλες καταχωρήσεις για την κάλυψη άλλων ονομάτων DNS ή διευθύνσεων IP.

Αποδεκτή μορφή πιστοποιητικού: P12 ή PEM (με δύο αρχεία, ένα για το πιστοποιητικό και ένα για το ιδιωτικό κλειδί).

Πιστοποιητικό του στοιχείου SSL Router

Το πιστοποιητικό του στοιχείου SSL Router πρέπει να συμμορφώνεται με τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Η τιμή του χαρακτηριστικού Common Name πρέπει να είναι η διεύθυνση IP ή ένα όνομα DNS που ανακατευθύνει στο IP_MED_SSL.
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical, digitalSignature και keyEncipherment.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή serverAuth.

Αποδεκτή μορφή πιστοποιητικού: P12.

Πιστοποιητικό του στοιχείου Watchdog

Το πιστοποιητικό του στοιχείου Watchdog πρέπει να συμμορφώνεται με τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Το χαρακτηριστικό Common Name πρέπει να έχει ως τιμή ένα όνομα αναγνώρισης για το στοιχείο Watchdog, για παράδειγμα «Watchdog».
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical και digitalSignature.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή clientAuth.

Αποδεκτή μορφή πιστοποιητικού: P12.

Πιστοποιητικό του προγράμματος-πελάτη CyberElements Bastion

Το πιστοποιητικό του προγράμματος-πελάτη CyberElements Bastion πρέπει να συμμορφώνεται με τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Το χαρακτηριστικό Common Name πρέπει να έχει ως τιμή ένα όνομα αναγνώρισης του πελάτη, για παράδειγμα «cyberelements-cleanroom-client».
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical και digitalSignature.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή clientAuth.

Αποδεκτή μορφή πιστοποιητικού: P12 με κωδικό πρόσβασης τουλάχιστον 8 αλφαριθμητικών χαρακτήρων (δεν υποστηρίζονται ειδικοί χαρακτήρες, τονισμένα γράμματα ή ενωτικά).

Πιστοποιητικό μεταξύ διακομιστών

Το πιστοποιητικό μεταξύ διακομιστών του CyberElements Bastion πρέπει να συμμορφώνεται με τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Το χαρακτηριστικό Common Name πρέπει να έχει ως τιμή ένα όνομα αναγνώρισης, για παράδειγμα «interserver-cleanroom».
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical και digitalSignature.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή clientAuth.

Αποδεκτή μορφή πιστοποιητικού: P12 με κωδικό πρόσβασης τουλάχιστον 8 χαρακτήρων χωρίς ειδικούς χαρακτήρες.

Αυτός ο διακομιστής χρησιμοποιεί δύο διαφορετικά πιστοποιητικά:

  • Ένα πιστοποιητικό για τον έλεγχο ταυτότητας του στοιχείου Edge Gateway έναντι του στοιχείου SSL Router.
  • Ένα πιστοποιητικό για την υπηρεσία εγγραφής, ώστε οι παράγοντες εγγραφής να μπορούν να συνδέονται σε αυτήν.

Πληροφορίες

Ένας διακομιστής Edge Gateway μπορεί να έχει πολλές παρουσίες Edge Gateway, κάτι που απαιτεί τόσα πιστοποιητικά όσες είναι οι παρουσίες Edge Gateway (εκτός από την ειδική περίπτωση της αρχιτεκτονικής Cluster).

Ωστόσο, ένας διακομιστής Edge Gateway διαθέτει μόνο μία υπηρεσία εγγραφής, επομένως θα απαιτείται μόνο ένα πιστοποιητικό ανά υπολογιστή.

Πιστοποιητικό του στοιχείου Edge Gateway

Το πιστοποιητικό του στοιχείου Edge Gateway πρέπει να συμμορφώνεται με τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Το χαρακτηριστικό Common Name πρέπει να έχει μια τιμή που προσδιορίζει το λογικό στοιχείο Edge Gateway. Το όνομα αυτό έχει τη μορφή <GW_NAME>@<ORGANIZATION_NAME>, όπου το <GW_NAME> αντιστοιχεί στο όνομα του στοιχείου Edge Gateway (όπως καταχωρήθηκε στην κονσόλα διαχείρισης) και το <ORGANIZATION_NAME> αντιστοιχεί στο όνομα του οργανισμού στον οποίο θα συνδεθεί το στοιχείο Edge Gateway.
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical και digitalSignature.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή clientAuth.

Αποδεκτή μορφή πιστοποιητικού: P12.

Πιστοποιητικό της υπηρεσίας εγγραφής

Το πιστοποιητικό της υπηρεσίας εγγραφής πρέπει να τηρεί τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Η τιμή του χαρακτηριστικού Common Name πρέπει να είναι το FQDN ή τουλάχιστον το όνομα του υπολογιστή του στοιχείου Edge Gateway.
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical, digitalSignature και keyEncipherment.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή serverAuth.

Αποδεκτή μορφή πιστοποιητικού: P12.

Αυτός ο διακομιστής χρησιμοποιεί ένα μόνο πιστοποιητικό: αυτό για τον έλεγχο ταυτότητας του στοιχείου HTML5 Gateway έναντι του στοιχείου SSL Router.

Πληροφορίες

Ένας διακομιστής HTML5 Gateway μπορεί να έχει πολλές παρουσίες HTML5 Gateway, κάτι που απαιτεί τόσα πιστοποιητικά όσες είναι οι παρουσίες HTML5 Gateway (εκτός από την ειδική περίπτωση της αρχιτεκτονικής Cluster).

Πιστοποιητικό του στοιχείου HTML5 Gateway

Το πιστοποιητικό του στοιχείου HTML5 Gateway πρέπει να τηρεί τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Το χαρακτηριστικό Common Name πρέπει να έχει μια τιμή που προσδιορίζει το λογικό στοιχείο Edge Gateway. Το όνομα αυτό έχει τη μορφή <HTML5_GW_NAME>@<ORGANIZATION_NAME>, όπου το <HTML5_GW_NAME> αντιστοιχεί στο όνομα του στοιχείου Edge Gateway (όπως καταχωρήθηκε στην κονσόλα διαχείρισης) και το <ORGANIZATION_NAME> αντιστοιχεί στο όνομα του οργανισμού στον οποίο θα συνδεθεί το στοιχείο Edge Gateway.
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical και digitalSignature.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή clientAuth.

Αποδεκτή μορφή πιστοποιητικού: P12.

Για τη λειτουργία άμεσης πρόσβασης, ο παράγοντας εγγραφής άμεσης πρόσβασης χρησιμοποιεί ένα πιστοποιητικό για τον έλεγχο ταυτότητάς του έναντι της υπηρεσίας εγγραφής ενός στοιχείου Edge Gateway.

Το πιστοποιητικό πρέπει να τηρεί τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Το χαρακτηριστικό Common Name πρέπει να έχει ως τιμή το σύντομο όνομα, το FQDN ή οποιοδήποτε άλλο όνομα προσδιορίζει μοναδικά τον υπολογιστή. Το όνομα αυτό χρησιμοποιείται για τον προσδιορισμό και την παρακολούθηση των ενεργειών που εκτελούνται στον υπολογιστή.
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical και digitalSignature.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή clientAuth.

Αποδεκτή μορφή πιστοποιητικού: P12.