Μετάβαση στο περιεχόμενο

Προαπαιτούμενα για μια πλατφόρμα CyberElements Bastion Standalone

Υπολογιστής

Για την εγκατάσταση του CyberElements Bastion μπορούν να χρησιμοποιηθούν τόσο φυσικοί υπολογιστές όσο και εικονικές μηχανές.
Το προϊόν δεν εκτελεί καμία εικονικοποίηση, επομένως δεν χρειάζεται να ενεργοποιηθεί η επιλογή εμφωλευμένης εικονικοποίησης για τις εικονικές μηχανές.

OS

Το CyberElements Bastion εκτελείται σε υπολογιστές με Debian 12 (Bookworm) 64 bit.
Συνιστάται η χρήση υπολογιστών χωρίς γραφικό περιβάλλον και ο περιορισμός των εγκατεστημένων στοιχείων στον διακομιστή SSH.

CPU

Μια CPU με 4 πυρήνες καλύπτει τις περισσότερες περιπτώσεις χρήσης του προϊόντος.

RAM

Προσοχή

Οι τιμές RAM που δίνονται παρακάτω είναι ενδεικτικές, καθώς υπάρχουν πολλές μεταβλητές που μπορούν να επηρεάσουν την κατανάλωση RAM (λειτουργίες του προϊόντος που χρησιμοποιούνται ή στοιχεία που είναι εγκατεστημένα παράλληλα με το προϊόν στον υπολογιστή).

Η κατανάλωση RAM εξαρτάται γενικά από τον αριθμό των ταυτόχρονων χρηστών που μπορεί να εξυπηρετήσει η πλατφόρμα:

  • Από 1 έως 5 ταυτόχρονοι χρήστες: τουλάχιστον 2 GB RAM, συνιστώνται 4 GB.
  • Από 5 έως 20 ταυτόχρονοι χρήστες: τουλάχιστον 4 GB RAM.
  • Για 20 ή περισσότερους ταυτόχρονους χρήστες: τουλάχιστον 8 GB RAM.

Η κατανάλωση RAM εξαρτάται από τον αριθμό των ταυτόχρονων περιόδων λειτουργίας, καθώς και από τους τύπους των εφαρμογών που χρησιμοποιούνται.

Οι τυπικές τιμές είναι οι εξής:

  • Από 1 έως 5 ταυτόχρονοι χρήστες: τουλάχιστον 2 GB RAM, συνιστώνται 4 GB.
  • Από 5 έως 20 ταυτόχρονοι χρήστες: τουλάχιστον 4 GB RAM.
  • Για 20 ή περισσότερους ταυτόχρονους χρήστες: 8 GB RAM.

Λάβετε υπόψη ότι μια εφαρμογή RDP ή VNC χωρίς παράγοντα μπορεί να καταναλώνει έως 400 MB ανά εφαρμογή που εκκινείται.
Όταν αυτοί οι τύποι εφαρμογών χρησιμοποιούνται εκτενώς, συνιστάται η παρακολούθηση της χρήσης RAM, ώστε να προσαρμόζεται ανάλογα το μέγεθός της.

Η κατανάλωση RAM εξαρτάται από τον αριθμό των εφαρμογών HTML5 που είναι ανοιχτές ταυτόχρονα.

Ο βασικός διακομιστής πρέπει να διαθέτει 2 GB για τη λειτουργία του συστήματος, συν 50 MB ανά ταυτόχρονη εφαρμογή HTML5.

Εάν ο ρόλος HTML5 Gateway συνδυάζεται με διακομιστή Edge Gateway, τότε προσθέστε 50 MB ανά ταυτόχρονη εφαρμογή HTML5 στη συνιστώμενη ποσότητα RAM για τον διακομιστή Edge Gateway.

Δίσκος

Συνιστούμε τη διαμέριση του δίσκου με LVM, ώστε να υπάρχει μεγαλύτερη ευελιξία εάν χρειαστεί να αναθεωρηθεί το μέγεθος του υπολογιστή κατά τη χρήση.

Οι διάφοροι τύποι διακομιστών έχουν διαφορετικά μοτίβα χρήσης του δίσκου, με επίσης διαφορετικούς όγκους δεδομένων. Παρακάτω παρατίθενται οι πληροφορίες ανά τύπο διακομιστή:

Σε αυτόν τον διακομιστή, ο όγκος των δεδομένων θα αυξάνεται στους ακόλουθους καταλόγους:

  • /var/log/: κατάλογος που περιέχει τα διάφορα αρχεία καταγραφής του συστήματος.
  • /var/lib/postgresql/15/main/: κατάλογος που περιέχει τα δεδομένα της τοπικής βάσης δεδομένων.
  • /var/ipdiva/: κατάλογος που περιέχει τα δεδομένα που αφορούν ειδικά το προϊόν.

Η απομόνωση των διαφόρων καταλόγων σε διαφορετικά διαμερίσματα δεν είναι υποχρεωτική, αλλά συνιστάται. Μπορείτε να ακολουθήσετε αυτές τις οδηγίες:

Σημείο προσάρτησης Επιλογές Ελάχιστο μέγεθος (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Καμία επιλογή Ανάλογα με τη RAM (το μισό της)
/ Καμία επιλογή 2 GB ή περισσότερο, ανάλογα με τον διαθέσιμο χώρο στον δίσκο

Παράδειγμα

Για έναν διακομιστή με 4 GB RAM (ο οποίος απαιτεί 2 GB swap), ο απαιτούμενος χώρος στον δίσκο με την προηγούμενη διαμέριση είναι τουλάχιστον 35 GB.

Σε αυτόν τον διακομιστή, ο όγκος των δεδομένων θα αυξάνεται στους ακόλουθους καταλόγους:

  • /var/log/: κατάλογος που περιέχει τα διάφορα αρχεία καταγραφής του συστήματος.
  • /var/lib/ipdiva/carerecord/recording/: κατάλογος που περιέχει τα αρχεία των εγγραφών σε εξέλιξη· πρόκειται επομένως για κατάλογο προσωρινής αποθήκευσης.
  • /var/lib/ipdiva/carerecord/archives/: προεπιλεγμένος κατάλογος που περιέχει τα γραφικά αρχεία του προϊόντος.
  • /var/ipdiva/care/sshrecord/: προεπιλεγμένος κατάλογος που περιέχει τα μη γραφικά αρχεία (SSH) του προϊόντος.

Η απομόνωση των διαφόρων καταλόγων σε διαφορετικά διαμερίσματα δεν είναι υποχρεωτική, αλλά συνιστάται. Μπορείτε να ακολουθήσετε αυτές τις οδηγίες:

Σημείο προσάρτησης Επιλογές Ελάχιστο μέγεθος (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Καμία επιλογή Ανάλογα με τη RAM (το μισό της)
/ Καμία επιλογή 2 GB ή περισσότερο, ανάλογα με τον διαθέσιμο χώρο στον δίσκο

Παράδειγμα

Για έναν διακομιστή με 4 GB RAM (ο οποίος απαιτεί 2 GB swap), ο απαιτούμενος χώρος στον δίσκο με την προηγούμενη διαμέριση είναι τουλάχιστον 35 GB.

Ωστόσο, συνιστάται ανεπιφύλακτα να διαθέσετε περισσότερο χώρο στον δίσκο για τα προσωρινά ή μακροπρόθεσμα γραφικά αρχεία με το σημείο προσάρτησης /var, εκτός εάν τα αρχεία αποθηκεύονται εξωτερικά.

Σε αυτόν τον διακομιστή, ο όγκος των δεδομένων θα αυξάνεται στους ακόλουθους καταλόγους:

  • /var/log/: κατάλογος που περιέχει τα διάφορα αρχεία καταγραφής του συστήματος.
  • /home/systanciahtml5share/: κατάλογος προσωρινής αποθήκευσης για τα αρχεία που ανταλλάσσονται με τις εφαρμογές HTML5.

Η απομόνωση των διαφόρων καταλόγων σε διαφορετικά διαμερίσματα δεν είναι υποχρεωτική, αλλά συνιστάται. Μπορείτε να ακολουθήσετε αυτές τις οδηγίες:

Σημείο προσάρτησης Επιλογές Ελάχιστο μέγεθος (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Καμία επιλογή Ανάλογα με τη RAM (το μισό της)
/ Καμία επιλογή 2 GB ή περισσότερο, ανάλογα με τον διαθέσιμο χώρο στον δίσκο

Παράδειγμα

Για έναν διακομιστή με 4 GB RAM (ο οποίος απαιτεί 2 GB swap), ο απαιτούμενος χώρος στον δίσκο με την προηγούμενη διαμέριση είναι τουλάχιστον 35 GB.

Δίκτυο

Μια πλατφόρμα CyberElements Bastion Standalone απαιτεί:

  • 2 διευθύνσεις IP για τον διακομιστή Mediation Controller (στην ίδια διασύνδεση δικτύου)
  • 1 διεύθυνση IP ανά υπολογιστή Edge Gateway ή HTML5 Gateway

Ο διακομιστής Mediation Controller τοποθετείται συνήθως σε μια ζώνη DMZ, αλλά μπορεί επίσης να τοποθετηθεί σε ιδιωτική ζώνη DMZ ή να φιλοξενηθεί σε δημόσιο cloud. Αυτό εξαρτάται από τη χρήση της πλατφόρμας (για παράδειγμα: απομακρυσμένη πρόσβαση για παρόχους υπηρεσιών ή ασφάλιση της εσωτερικής πρόσβασης σε προστατευμένες ζώνες).

Οι διακομιστές Edge Gateway τοποθετούνται συνήθως στο LAN, σε VLAN που τους επιτρέπουν να επικοινωνούν με τους πόρους-στόχους.

Οι διακομιστές HTML5 Gateway μπορούν να τοποθετηθούν είτε στο LAN είτε στη ζώνη DMZ. Αυτή η τεκμηρίωση προβλέπει την εγκατάσταση του στοιχείου HTML5 Gateway στον διακομιστή Edge Gateway, δηλαδή στο LAN.

Για την καλύτερη αναγνώριση των διαφόρων διευθύνσεων των υπολογιστών, αυτές θα αναφέρονται στην τεκμηρίωση ως εξής:

Όνομα διεύθυνσης IP Σημασία
IP_MED_WEB Κύρια διεύθυνση IP του διακομιστή Mediation Controller, η οποία επιτρέπει την πρόσβαση στις κονσόλες web.
IP_MED_SSL Δεύτερη διεύθυνση IP του διακομιστή Mediation Controller, η οποία χρησιμοποιείται από το στοιχείο SSL Router.
IP_GW Διεύθυνση IP του διακομιστή Edge Gateway.
IP_HTML5_GW Διεύθυνση IP του διακομιστή HTML5 Gateway.

Πληροφορίες

Οι πληροφορίες ροών που εμφανίζονται προϋποθέτουν ότι ο διακομιστής Mediation Controller βρίσκεται στη ζώνη DMZ και ότι ο διακομιστής Edge Gateway, ο οποίος έχει επίσης τον ρόλο HTML5 Gateway, βρίσκεται στο LAN.

Οι διευθύνσεις IP του διακομιστή Mediation Controller μπορούν να είναι είτε δημόσιες διευθύνσεις IP που αντιστοιχίζονται απευθείας στον διακομιστή Mediation Controller είτε δημόσιες διευθύνσεις IP που μεταφράζονται μέσω NAT σε ιδιωτικές διευθύνσεις IP (συνιστάται).

Πηγή Προορισμός Θύρα προορισμού Σχόλια
Σταθμός εργασίας χρήστη IP_MED_WEB TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Επιτρέπει την πρόσβαση στις κονσόλες web και στις εφαρμογές που εκτελούνται απευθείας στο πρόγραμμα περιήγησης.
Σταθμός εργασίας χρήστη IP_MED_SSL TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Δημιουργεί μια σήραγγα TLS για την κρυπτογράφηση της ροής που διέρχεται από το πρόγραμμα-πελάτη CyberElements Bastion.
IP_GW IP_MED_WEB TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Όταν το στοιχείο Edge Gateway βρίσκεται σε απομακρυσμένο δίκτυο. Σύνδεση με το σύστημα σύζευξης των στοιχείων Edge Gateway.
IP_GW IP_MED_SSL TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Όταν το στοιχείο Edge Gateway βρίσκεται σε απομακρυσμένο δίκτυο. Σύνδεση με τον δρομολογητή SSL για τη δημιουργία σήραγγας TLSv1.3 και τη δρομολόγηση των επικοινωνιών του προϊόντος μέσω αυτής.
Πηγή Προορισμός Θύρα προορισμού Σχόλια
IP_MED_WEB Αποθετήρια Debian TCP 80 Απαιτείται για την εγκατάσταση των εξαρτήσεων του CyberElements Bastion και τη διατήρηση του συστήματος ενημερωμένου. Η τεκμηρίωση και οι εικονικές συσκευές χρησιμοποιούν τα ftp.fr.debian.org και security.debian.org.
IP_MED_WEB packages.microsoft.com TCP 443 Αποθετήριο της Microsoft για την εγκατάσταση και την ενημέρωση των προγραμμάτων οδήγησης MS SQL. Απαιτείται μόνο εάν είναι επιθυμητή η πρόσβαση σε βάση δεδομένων MS SQL (οι εικονικές συσκευές διαθέτουν τα προγράμματα οδήγησης MS SQL).
IP_MED_WEB Διακομιστής ώρας NTP UDP 123 Προαιρετικό, εάν ο διακομιστής πρέπει να συγχρονίζει το ρολόι του με έναν διακομιστή στη ζώνη DMZ. Από προεπιλογή, χρησιμοποιούνται οι ομάδες διακομιστών (pools) του Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org και 3.debian.pool.ntp.org.
IP_MED_WEB Διακομιστής SMTP TCP 25, 465, 587 Απαιτείται εάν πρέπει να χρησιμοποιηθεί διακομιστής SMTP για την αποστολή μηνυμάτων ηλεκτρονικού ταχυδρομείου και αυτός βρίσκεται στο WAN.
IP_MED_WEB Διακομιστής DNS UDP 53 Απαιτείται για την επίλυση DNS. Μπορεί να βρίσκεται στο WAN ή στη ζώνη DMZ.
IP_MED_WEB api.neomia.ai TCP 443 (Προαιρετικό) Σύνδεση με τα API του προϊόντος MFA με βιομετρία συμπεριφοράς Neomia Pulse.
IP_MED_WEB EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Προαιρετικό) Σύνδεση με το θησαυροφυλάκιο Keeper EPM ανάλογα με τη θέση του.
Πηγή Προορισμός Θύρα προορισμού Σχόλια
IP_MED_WEB Διακομιστής ώρας NTP UDP 123 Εάν ο διακομιστής πρέπει να συγχρονίζει το ρολόι του με έναν διακομιστή στη ζώνη DMZ.
IP_MED_WEB Διακομιστής SMTP TCP 25, 465, 587 Απαιτείται εάν πρέπει να χρησιμοποιηθεί διακομιστής SMTP για την αποστολή μηνυμάτων ηλεκτρονικού ταχυδρομείου και αυτός βρίσκεται στη ζώνη DMZ.
IP_MED_WEB Διακομιστής βάσης δεδομένων TCP 1433, 5432 ή οποιαδήποτε άλλη προσαρμοσμένη θύρα Απαιτείται εάν θέλετε να χρησιμοποιήσετε μια εξωτερική βάση δεδομένων που βρίσκεται στη ζώνη DMZ.
IP_MED_WEB Διακομιστής DNS UDP 53 Απαιτείται για την επίλυση DNS. Μπορεί να βρίσκεται στη ζώνη DMZ ή στο WAN.
Πηγή Προορισμός Θύρα προορισμού Σχόλια
IP_GW Αποθετήρια Debian TCP 80 Απαιτείται για την εγκατάσταση των εξαρτήσεων του CyberElements Bastion και τη διατήρηση του συστήματος ενημερωμένου. Η τεκμηρίωση και οι εικονικές συσκευές χρησιμοποιούν τα ftp.fr.debian.org και security.debian.org.
IP_GW Διακομιστής DNS UDP 53 Απαιτείται για την επίλυση DNS. Προαιρετικό εάν είναι διαθέσιμος διακομιστής DNS στο LAN ή στη DMZ.
IP_GW Διακομιστής ώρας NTP UDP 123 Προαιρετικό εάν ο διακομιστής πρέπει να συγχρονίζει το ρολόι του με έναν διακομιστή στο LAN ή στη DMZ. Από προεπιλογή, χρησιμοποιούνται οι ομάδες διακομιστών του Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org και 3.debian.pool.ntp.org.
IP_GW Πάροχος SMS TCP 443 (Προαιρετικό) Σύνδεση με τα API των παρόχων SMS που υποστηρίζονται από το CyberElements Bastion.
Πηγές Προορισμοί Θύρα προορισμού Σχόλια
IP_GW
IP_HTML5_GW		 IP_MED_WEB TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση με το σύστημα σύζευξης των στοιχείων Edge Gateway.
IP_GW
IP_HTML5_GW		 IP_MED_SSL TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση με το στοιχείο SSL Router για τη δημιουργία σήραγγας TLSv1.3 και τη δρομολόγηση των επικοινωνιών του προϊόντος μέσω αυτής.
Σταθμός εργασίας προγράμματος-πελάτη IP_MED_WEB TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση με τις διάφορες κονσόλες web του προϊόντος.
Σταθμός εργασίας προγράμματος-πελάτη IP_MED_SSL TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Δημιουργεί μια σήραγγα TLS για την κρυπτογράφηση της ροής που διέρχεται από το πρόγραμμα-πελάτη CyberElements Bastion.
Σταθμός εργασίας διαχειριστή IP_MED_WEB TCP 22 Σύνδεση SSH με τον διακομιστή Mediation Controller.
Πηγή Προορισμός Θύρα προορισμού Σχόλια
IP_GW Διακομιστής DNS UDP 53 Απαιτείται για την επίλυση DNS. Προαιρετικό εάν χρησιμοποιείται διακομιστής DNS στο WAN ή στη ζώνη DMZ.
IP_GW Διακομιστές LDAP ή AD TCP 389 ή 636 Σύνδεση του CyberElements Bastion με διακομιστή LDAP ή AD.
IP_GW Διακομιστές AD TCP 139 και 445 Εναλλαγή των κωδικών πρόσβασης των λογαριασμών AD· χρησιμοποιείται μόνο εάν η εναλλαγή μέσω LDAPS δεν είναι δυνατή.
IP_GW Διακομιστές RDP TCP/UDP 3389 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση του CyberElements Bastion με τους διακομιστές RDP.
IP_GW Διακομιστές SSH TCP 22 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση του CyberElements Bastion με διακομιστές SSH.
IP_GW Διακομιστές VNC TCP 5900 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση του CyberElements Bastion με διακομιστές VNC.
IP_GW Διακομιστές web TCP 80 ή 443 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση του CyberElements Bastion με τους διακομιστές web.
IP_GW Διακομιστές Citrix Storefront TCP 443 (εάν χρησιμοποιείται η τυπική θύρα) Σύνδεση του CyberElements Bastion με διακομιστές Citrix Storefront.
IP_GW Διακομιστές εφαρμογών Citrix TCP 1494 Σύνδεση του CyberElements Bastion με διακομιστές εφαρμογών Citrix (εκκίνηση εφαρμογής ή επιφάνειας εργασίας με το πρόγραμμα-πελάτη ICA).
IP_GW Διακομιστές αρχείων TCP 139 και 445 Σύνδεση του CyberElements Bastion με διακομιστές αρχείων.
IP_GW Διακομιστής βάσης δεδομένων TCP 1433, 5432 ή οποιαδήποτε άλλη προσαρμοσμένη θύρα Απαιτείται εάν θέλετε να χρησιμοποιήσετε μια εξωτερική βάση δεδομένων που βρίσκεται στο LAN (για παράδειγμα, για τη μεταφορά της βάσης δεδομένων της λειτουργικής μονάδας Vault).
IP_GW Διακομιστές RDP TCP 139 και 445 Ανάπτυξη του παράγοντα εγγραφής μέσω της κονσόλας διαχείρισης.
Σταθμός εργασίας πελάτη IP_GW TCP [θύρα που ορίζεται από τον διαχειριστή] Σύνδεση άμεσης πρόσβασης SSH.
Σταθμός εργασίας πελάτη IP_GW TCP 3389 Σύνδεση άμεσης πρόσβασης RDP.
Διακομιστές RDP IP_GW TCP 8443 Σύνδεση μεταξύ του παράγοντα εγγραφής και του στοιχείου Edge Gateway για την αποστολή της εγγραφής της περιόδου λειτουργίας του χρήστη.
Σταθμός εργασίας διαχειριστή IP_GW TCP 22 Σύνδεση SSH με τον διακομιστή Edge Gateway.

Βάση δεδομένων

Το CyberElements Bastion χρησιμοποιεί διάφορες βάσεις δεδομένων (DB) για τη λειτουργία του.

  1. Βάση δεδομένων διαμόρφωσης του συστήματος. Αυτή η βάση δεδομένων χρησιμοποιείται για την αποθήκευση όλων των ρυθμίσεων του περιβάλλοντος διαχείρισης /system. Σε μια εγκατάσταση Standalone, το προϊόν δημιουργεί και διαχειρίζεται απευθείας αυτή τη βάση δεδομένων μέσω ενός διακομιστή PostgreSQL εγκατεστημένου στον διακομιστή Mediation Controller.
  2. Βάση δεδομένων διαμόρφωσης του οργανισμού. Κάθε οργανισμός που δημιουργείται στον διακομιστή Mediation Controller απαιτεί ξεχωριστή βάση δεδομένων (DB), η οποία περιέχει όλες τις ρυθμίσεις και τα αρχεία καταγραφής του οργανισμού. Αυτή η βάση δεδομένων φιλοξενείται συνήθως στον διακομιστή Mediation Controller και στην τοπική βάση δεδομένων PostgreSQL του, αλλά μπορεί επίσης να μετακινηθεί στη ζώνη DMZ ή στο LAN.
  3. Βάση δεδομένων της λειτουργικής μονάδας Vault. Κάθε οργανισμός που δημιουργείται προκαλεί τη δημιουργία μιας ειδικής βάσης δεδομένων για τη λειτουργική μονάδα Vault του προϊόντος, η οποία αποθηκεύεται από προεπιλογή στον διακομιστή Mediation Controller. Αυτή η βάση δεδομένων μπορεί να μεταφερθεί εξωτερικά στο LAN, υπό την προϋπόθεση ότι ένα στοιχείο Edge Gateway μπορεί να έχει πρόσβαση σε αυτήν.

Όταν χρησιμοποιούνται εξωτερικές βάσεις δεδομένων, οι υποστηριζόμενοι τύποι βάσεων δεδομένων είναι οι εξής:

Άδεια χρήσης

Ο διακομιστής Mediation Controller απαιτεί άδεια χρήσης για να λειτουργήσει.
Η άδεια χρήσης μπορεί να ληφθεί από τη Systancia μέσω της ακόλουθης φόρμας αιτήματος άδειας χρήσης: Αίτημα άδειας χρήσης

Πιστοποιητικά

Το CyberElements Bastion χρησιμοποιεί κρυπτογράφηση TLS για τις εσωτερικές επικοινωνίες και HTTPS για την ασφάλεια της πρόσβασης web, γεγονός που απαιτεί τη χρήση διαφόρων πιστοποιητικών x509. Οι παρακάτω πληροφορίες συνοψίζουν τα διάφορα απαιτούμενα πιστοποιητικά, τον σκοπό τους και τις ελάχιστες ρυθμίσεις.

Περιορισμός ασφαλείας πιστοποιητικού

Ανεξάρτητα από το πιστοποιητικό που χρησιμοποιείται, βεβαιωθείτε ότι συμμορφώνεται με το επίπεδο ασφαλείας 2 του OpenSSL, το οποίο μπορεί να συνοψιστεί ως εξής:

  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit.
  • Η υπογραφή του πιστοποιητικού δεν πρέπει να είναι MD5 ή SHA-1 (προτιμάται το SHA-512).

Αυτός ο διακομιστής χρησιμοποιεί τέσσερα διαφορετικά πιστοποιητικά:

  • Ένα πιστοποιητικό web για την ενεργοποίηση του HTTPS.
  • Ένα πιστοποιητικό για το στοιχείο SSL Router, το οποίο είναι υπεύθυνο για τη δημιουργία σηράγγων TLS και τη δρομολόγηση της κίνησης μεταξύ τους.
  • Ένα πιστοποιητικό για το στοιχείο Watchdog, το οποίο είναι υπεύθυνο για την παρακολούθηση της σωστής λειτουργίας του στοιχείου SSL Router.
  • Ένα πιστοποιητικό για το πρόγραμμα-πελάτη CyberElements Bastion, ώστε να μπορεί να συνδέεται στο στοιχείο SSL Router και να δημιουργεί μια σήραγγα TLSv1.3.

Πιστοποιητικό web

Σύσταση

Το πιστοποιητικό web θα πρέπει κατά προτίμηση να έχει εκδοθεί από δημόσια αρχή έκδοσης πιστοποιητικών (CA) που αναγνωρίζεται ως αξιόπιστη.
Με αυτόν τον τρόπο διασφαλίζεται, χωρίς καμία πρόσθετη ενέργεια, ότι οι χρήστες δεν θα λαμβάνουν ειδοποιήσεις σχετικά με το πιστοποιητικό που χρησιμοποιείται (εφόσον είναι έγκυρο και καλύπτει το όνομα με το οποίο ο χρήστης ξεκίνησε τη σύνδεση). Η χρήση πιστοποιητικού που έχει εκδοθεί από εσωτερική PKI απαιτεί την ανάπτυξη του πιστοποιητικού της CA στους σταθμούς εργασίας των χρηστών.

Το πιστοποιητικό web πρέπει να συμμορφώνεται με τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 398 ημέρες (13 μήνες).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Η τιμή του χαρακτηριστικού Common Name πρέπει να είναι το όνομα DNS (ή το όνομα με χαρακτήρα μπαλαντέρ) για το οποίο προορίζεται το πιστοποιητικό.
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical, digitalSignature και keyEncipherment.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή id-kp-serverAuth (το OpenSSL χρησιμοποιεί την τιμή serverAuth).
  • Το χαρακτηριστικό Subject Alternative Name πρέπει να περιέχει τουλάχιστον μία καταχώρηση που αντιστοιχεί στο κύριο όνομα DNS· μπορούν να προστεθούν και άλλες καταχωρήσεις για την κάλυψη άλλων ονομάτων DNS ή διευθύνσεων IP.

Αποδεκτή μορφή πιστοποιητικού: P12 ή PEM (με δύο αρχεία, ένα για το πιστοποιητικό και ένα για το ιδιωτικό κλειδί).

Πιστοποιητικό του στοιχείου SSL Router

Το πιστοποιητικό του στοιχείου SSL Router πρέπει να συμμορφώνεται με τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Η τιμή του χαρακτηριστικού Common Name πρέπει να είναι η διεύθυνση IP ή ένα όνομα DNS που ανακατευθύνει στο IP_MED_SSL.
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical, digitalSignature και keyEncipherment.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή serverAuth.

Αποδεκτή μορφή πιστοποιητικού: P12.

Πιστοποιητικό του στοιχείου Watchdog

Το πιστοποιητικό του στοιχείου Watchdog πρέπει να συμμορφώνεται με τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Το χαρακτηριστικό Common Name πρέπει να έχει ως τιμή ένα όνομα αναγνώρισης για το στοιχείο Watchdog, για παράδειγμα «Watchdog».
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical και digitalSignature.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή clientAuth.

Αποδεκτή μορφή πιστοποιητικού: P12.

Πιστοποιητικό του προγράμματος-πελάτη CyberElements Bastion

Το πιστοποιητικό του προγράμματος-πελάτη CyberElements Bastion πρέπει να συμμορφώνεται με τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Το χαρακτηριστικό Common Name πρέπει να έχει ως τιμή ένα όνομα αναγνώρισης του πελάτη, για παράδειγμα «cyberelements-cleanroom-client».
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical και digitalSignature.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή clientAuth.

Αποδεκτή μορφή πιστοποιητικού: P12 με κωδικό πρόσβασης τουλάχιστον 8 αλφαριθμητικών χαρακτήρων (δεν υποστηρίζονται ειδικοί χαρακτήρες, τονισμένα γράμματα ή ενωτικά).

Αυτός ο διακομιστής χρησιμοποιεί δύο διαφορετικά πιστοποιητικά:

  • Ένα πιστοποιητικό για τον έλεγχο ταυτότητας του στοιχείου Edge Gateway στο στοιχείο SSL Router.
  • Ένα πιστοποιητικό για την υπηρεσία εγγραφής, ώστε οι παράγοντες εγγραφής να μπορούν να συνδέονται σε αυτήν.

Πληροφορίες

Ένας διακομιστής Edge Gateway μπορεί να έχει πολλές παρουσίες Edge Gateway, κάτι που απαιτεί τόσα πιστοποιητικά όσες είναι οι παρουσίες Edge Gateway (εκτός από την ειδική περίπτωση της αρχιτεκτονικής Cluster).

Ωστόσο, ένας διακομιστής Edge Gateway διαθέτει μόνο μία υπηρεσία εγγραφής, επομένως θα απαιτείται μόνο ένα πιστοποιητικό ανά υπολογιστή.

Πιστοποιητικό του στοιχείου Edge Gateway

Το πιστοποιητικό του στοιχείου Edge Gateway πρέπει να συμμορφώνεται με τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Το χαρακτηριστικό Common Name πρέπει να έχει μια τιμή που προσδιορίζει το λογικό στοιχείο Edge Gateway. Το όνομα αυτό έχει τη μορφή <GW_NAME>@<ORGANIZATION_NAME>, όπου το <GW_NAME> αντιστοιχεί στο όνομα του στοιχείου Edge Gateway (όπως καταχωρήθηκε στην κονσόλα διαχείρισης) και το <ORGANIZATION_NAME> αντιστοιχεί στο όνομα του οργανισμού στον οποίο θα συνδεθεί το στοιχείο Edge Gateway.
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical και digitalSignature.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή clientAuth.

Αποδεκτή μορφή πιστοποιητικού: P12.

Πιστοποιητικό της υπηρεσίας εγγραφής

Το πιστοποιητικό της υπηρεσίας εγγραφής πρέπει να τηρεί τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Η τιμή του χαρακτηριστικού Common Name πρέπει να είναι το FQDN ή τουλάχιστον το όνομα του υπολογιστή του στοιχείου Edge Gateway.
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical, digitalSignature και keyEncipherment.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή serverAuth.

Αποδεκτή μορφή πιστοποιητικού: P12.

Αυτός ο διακομιστής χρησιμοποιεί ένα μόνο πιστοποιητικό: αυτό για τον έλεγχο ταυτότητας του στοιχείου HTML5 Gateway έναντι του στοιχείου SSL Router.

Πληροφορίες

Ένας διακομιστής HTML5 Gateway μπορεί να φιλοξενεί πολλές παρουσίες HTML5 Gateway, οπότε απαιτούνται τόσα πιστοποιητικά όσες και οι παρουσίες HTML5 Gateway (εκτός από την ειδική περίπτωση της αρχιτεκτονικής Cluster).

Πιστοποιητικό του στοιχείου HTML5 Gateway

Το πιστοποιητικό του στοιχείου HTML5 Gateway πρέπει να τηρεί τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Το χαρακτηριστικό Common Name πρέπει να έχει μια τιμή που προσδιορίζει το λογικό στοιχείο Edge Gateway. Το όνομα αυτό έχει τη μορφή <HTML5_GW_NAME>@<ORGANIZATION_NAME>, όπου το <HTML5_GW_NAME> αντιστοιχεί στο όνομα του στοιχείου Edge Gateway (όπως καταχωρήθηκε στην κονσόλα διαχείρισης) και το <ORGANIZATION_NAME> αντιστοιχεί στο όνομα του οργανισμού στον οποίο θα συνδεθεί το στοιχείο Edge Gateway.
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical και digitalSignature.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή clientAuth.

Αποδεκτή μορφή πιστοποιητικού: P12.

Για τη λειτουργία άμεσης πρόσβασης, ο παράγοντας εγγραφής άμεσης πρόσβασης χρησιμοποιεί ένα πιστοποιητικό για τον έλεγχο ταυτότητάς του έναντι της υπηρεσίας εγγραφής ενός στοιχείου Edge Gateway.

Το πιστοποιητικό πρέπει να τηρεί τους ακόλουθους περιορισμούς για τα χαρακτηριστικά του:

  • Η περίοδος ισχύος του πιστοποιητικού δεν πρέπει να υπερβαίνει τις 1095 ημέρες (3 έτη).
  • Η συνάρτηση κατακερματισμού που χρησιμοποιείται για την υπογραφή πρέπει να ανήκει στην οικογένεια SHA-2· συνιστούμε το SHA-512.
  • Το πιστοποιητικό και τα πιστοποιητικά των αρχών έκδοσης πιστοποιητικών του πρέπει να διαθέτουν ιδιωτικό κλειδί τουλάχιστον 2048 bit με κρυπτογράφηση RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit. Συνιστούμε μέγεθος 4096 bit για το RSA και καμπύλη ECDSA secp384r1 μεγέθους 384 bit.
  • Το χαρακτηριστικό Common Name πρέπει να έχει ως τιμή το σύντομο όνομα, το FQDN ή οποιοδήποτε άλλο όνομα προσδιορίζει μοναδικά τον υπολογιστή. Το όνομα αυτό χρησιμοποιείται για τον προσδιορισμό και την παρακολούθηση των ενεργειών που εκτελούνται στον υπολογιστή.
  • Το χαρακτηριστικό Key Usage πρέπει να έχει τις τιμές critical και digitalSignature.
  • Το χαρακτηριστικό Extended Key Usage πρέπει να έχει την τιμή clientAuth.

Αποδεκτή μορφή πιστοποιητικού: P12.