Keri sisuni

Mediation Controller serverite installimine

Märkus

Tuletame meelde, et Debiani arvutites tuleb kasutajale root lülituda järgmise käsuga:

1
su -

Sellel lehel antud juhiseid tuleb korrata mõlemas Mediation Controller serveris, alustades serverist MASTER.
Kui serverite MASTER ja SLAVE vahel on erinevusi, tuuakse need esile. Kui seda pole mainitud, kehtivad juhised nii serverile MASTER kui ka serverile SLAVE.

Süsteemi sätted

Arvutiga ühenduse loomine

Vaikimisi on virtuaalseadmetes kaks kontot: kasutajakonto ja superkasutaja konto.

  • Kasutajakonto
    • Kasutajanimi: systancia
    • Parool: systnci
  • Superkasutaja konto
    • Kasutajanimi: root
    • Parool: systnci

Looge arvutiga ühendus konsoolirežiimis.

Märkus

Vaikimisi klaviatuuripaigutus on QWERTY.

Klaviatuuripaigutuse muutmine

Klaviatuuripaigutust saab muuta järgmise käsureaga:

1
dpkg-reconfigure keyboard-configuration

Kuvatakse menüü, kus saate valida mõne muu klaviatuuripaigutuse.

Seejärel kasutage sätete rakendamiseks ja salvestamiseks järgmist käsurida:

1
setupcon -k --save

Sätted jõustuvad kohe pärast selle käsu käivitamist.

Võrgu konfigureerimine

Mediation Controller serverile on hädavajalik konfigureerida staatiline võrguaadress. Selleks peate esmalt hankima oma arvuti võrguliidese nime. Käivitage kasutajana root järgmine käsk:

1
ip -br a | grep -ve "^lo"

See käsk kuvab võrguliidese nime, selle oleku ja liidesele määratud IP-aadressid.

Näide

Pärast käsu käivitamist kuvatakse järgmine väljund:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Võrguliidese nimi on ens192.

Kui võrguliidese nimi on hangitud, saab nüüd arvuti võrgukonfiguratsiooni redigeerida.
Redigeerige faili /etc/network/interfaces, et muuta seda järgmise malli järgi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Kus:

  • INTERFACE_NAME tuleb asendada varem hangitud võrguliidese nimega.
  • RIP_MED_WEB_MASTER tuleb asendada serveri peamise tegeliku IP-aadressiga, mille kaudu on veebikonsoolidele juurdepääs.
  • NETMASK tuleb asendada IP-aadressiga seotud võrgumaskiga.
  • NETWORK_GATEWAY tuleb asendada võrgu vaikelüüsiga.
  • IP_DNS tuleb asendada DNS-serveri IP-aadressiga. Kui on vaja konfigureerida mitu serverit (kuni 3), eraldage need tühikuga.
  • DNS_SUFFIX tuleb asendada kasutatava DNS-järelliitega. Kui järelliidet pole vaja sisestada, kustutage rida.
  • RIP_MED_SSL_MASTER tuleb asendada serveri teisese tegeliku IP-aadressiga. Selle IP-aadressi kaudu on SSL Router teenus kättesaadav.
Näide 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Lõpuks jääb üle vaid taaskäivitada teenus networking, et laadida uus võrgukonfiguratsioon: 

1
systemctl restart networking

Mediation Controller serverile on hädavajalik konfigureerida staatiline võrguaadress. Selleks peate esmalt hankima oma arvuti võrguliidese nime. Käivitage kasutajana root järgmine käsk:

1
ip -br a | grep -ve "^lo"

See käsk kuvab võrguliidese nime, selle oleku ja liidesele määratud IP-aadressid.

Näide

Pärast käsu käivitamist kuvatakse järgmine väljund:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Võrguliidese nimi on ens192.

Kui võrguliidese nimi on hangitud, saab nüüd arvuti võrgukonfiguratsiooni redigeerida.
Redigeerige faili /etc/network/interfaces, et muuta seda järgmise malli järgi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Kus:

  • INTERFACE_NAME tuleb asendada varem hangitud võrguliidese nimega.
  • RIP_MED_WEB_SLAVE tuleb asendada serveri peamise tegeliku IP-aadressiga, mille kaudu on veebikonsoolidele juurdepääs.
  • NETMASK tuleb asendada IP-aadressiga seotud võrgumaskiga.
  • NETWORK_GATEWAY tuleb asendada võrgu vaikelüüsiga.
  • IP_DNS tuleb asendada DNS-serveri IP-aadressiga. Kui on vaja konfigureerida mitu serverit (kuni 3), eraldage need tühikuga.
  • DNS_SUFFIX tuleb asendada kasutatava DNS-järelliitega. Kui järelliidet pole vaja sisestada, kustutage rida.
  • RIP_MED_SSL_SLAVE tuleb asendada serveri teisese tegeliku IP-aadressiga. Selle IP-aadressi kaudu on SSL Router teenus kättesaadav.
Näide 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Lõpuks jääb üle vaid taaskäivitada teenus networking, et laadida uus võrgukonfiguratsioon: 

1
systemctl restart networking

Näpunäide

Nüüd, kui võrgusätted on rakendatud, pääseb serverile juurde SSH kaudu.

Kohalike kontode paroolide muutmine

CyberElements soovitab tungivalt muuta nende kontode paroolid pärast virtuaalseadme juurutamist.

Kasutage järgmist käsku ja sisestage standardkonto systancia uus parool:

1
passwd systancia

Seejärel korrake toimingut superkasutaja konto root jaoks:

1
passwd root

Arvuti nime konfigureerimine

Serveri nime saate muuta, konfigureerides serveri failid hostname ja hosts.

Arvuti nime määramiseks muutke faili /etc/hostname.
Toode vajab uut nime ka teises asukohas, seetõttu tuleb eelmisest failist teha koopia järgmise käsuga:

1
cp /etc/hostname /var/ipdiva/zopeChroot/etc/hostname

Faili /etc/hosts konfiguratsioonis tuleb kajastada arvuti tegelikku esmast IP-aadressi (RIP_MED_WEB_MASTER).
Selleks redigeerige faili /etc/hosts ja kontrollige, et teine rida oleks järgmises vormingus:

2
RIP_MED_WEB_MASTER  FQDN    MACHINE_NAME
Näide

Kui arvuti nimi on MEDIATION-CONTROLLER-MASTER, see ei kuulu domeeni ja selle tegelik IP-aadress RIP_MED_WEB_MASTER on 10.0.10.10, täidetakse fail järgmiselt:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER

Kui arvuti kuulub domeeni DOMAIN.LOCAL, täidetakse fail järgmiselt:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER.DOMAIN.LOCAL   MEDIATION-CONTROLLER-MASTER

Faili /etc/hosts konfiguratsioonis tuleb kajastada arvuti tegelikku esmast IP-aadressi (RIP_MED_WEB_SLAVE).
Selleks redigeerige faili /etc/hosts ja kontrollige, et teine rida oleks järgmises vormingus:

2
RIP_MED_WEB_SLAVE  FQDN    MACHINE_NAME
Näide

Kui arvuti nimi on MEDIATION-CONTROLLER-SLAVE, see ei kuulu domeeni ja selle tegelik IP-aadress RIP_MED_WEB_SLAVE on 10.0.10.12, täidetakse fail järgmiselt:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE

Kui arvuti kuulub domeeni DOMAIN.LOCAL, täidetakse fail järgmiselt:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE.DOMAIN.LOCAL   MEDIATION-CONTROLLER-SLAVE

Uue konfiguratsiooni rakendamiseks taaskäivitage server:

1
reboot

Ajavööndi muutmine

Vaikimisi on virtuaalseadme ajavööndiks määratud Europe/Paris.

Selle ajavööndi muutmiseks hankige esmalt järgmise käsuga saadaolevate ajavööndite süntaks:

1
timedatectl list-timezones

Seejärel kasutage järgmist käsurida:

1
timedatectl set-timezone your_time_zone
Näide

Londoni ajavööndi määramiseks tuleb käivitada järgmine käsk:

1
timedatectl set-timezone Europe/London

Kontrollige serveri ajavööndit järgmise käsureaga:

1
timedatectl

Mediation Controller serveri initsialiseerimine

Mediation Controller serveri initsialiseerimine

Mediation Controller server initsialiseeritakse konfiguratsiooniskripti abil. See skript konfigureerib uuesti klastri IP-aadressid toote eri teenustes ja eelkonfigureerib HTML5 Gateway komponendi tööks vajalikud sätted.
Käivitage see kasutajana root järgmise käsureaga:

1
/opt/systancia/initializeCluster

Skript palub teil sisestada järgmised andmed:

  • IP VIP HTTPS: klastri virtuaalne veebi-IP-aadress, st VIP_MED_WEB.
  • IP VIP SSL: klastri virtuaalne SSL-i IP-aadress, st VIP_MED_SSL.
  • IP VIP ZIO: virtuaalne IP-aadress, mille kaudu Mediation Controller server SLAVE loob ühenduse serveri MASTER sisemise konfiguratsiooniandmebaasiga, st VIP_MED_ZEO.
  • IP Master HTTPS: Mediation Controller serveri MASTER tegelik veebi-IP-aadress, st RIP_MED_WEB_MASTER.
  • IP Master SSL: Mediation Controller serveri MASTER SSL Router komponendi tegelik IP-aadress, st RIP_MED_SSL_MASTER.
  • IP Slave HTTPS: Mediation Controller serveri SLAVE tegelik veebi-IP-aadress, st RIP_MED_WEB_SLAVE.
  • IP Slave SSL: Mediation Controller serveri SLAVE SSL Router komponendi tegelik IP-aadress, st RIP_MED_SSL_SLAVE.
  • HTML5 port: kohalik kuulamisport, mille kaudu suunatakse juurdepääs HTML5 Gateway teenusele; soovitame sisestada pordi 1234.
  • Gateway: Edge Gateway komponendi nimi; sisestage esimese Edge Gateway komponendi nimi.
  • Organization: selle organisatsiooni nimi, millega Edge Gateway ja HTML5 Gateway komponendid ühenduse loovad.

Kui initsialiseerimine on lõpule viidud, taaskäivitage server:

1
reboot

CyberElements Gate konsooli /mediation/system parooli muutmine

Installimise selles etapis on saadaval uus haldusliides: Muutke parooli

Litsentside ja sertifikaatide rakendamine

Endiselt konsoolis /mediation/system olles peate sisestama Mediation Controller serveri sertifikaadid ja litsentsid.

Tähelepanu!

SSL Router teenuse litsents ja sertifikaat on omased Mediation Controller serverile MASTER või SLAVE.
Vale litsentsi või sertifikaadi konfigureerimine põhjustab hiljem talitlushäireid.

Rakendage SSL Router komponendi litsents ja sertifikaat:

  1. Klõpsake vahekaarti Settings.
  2. Valige menüüst SSL Connections.
  3. Otsige üles SSL Router teenuse sertifikaat.
  4. Sisestage SSL Router teenuse sertifikaadi parool.
  5. Klõpsake Apply, et rakendada sertifikaat SSL Router teenusele.
  6. Valige serveri litsentsifail.
  7. Klõpsake Modify, et rakendada serveri litsents.

Järgmisena sisestage CyberElements Bastion kliendi sertifikaadi teave:

  1. Valige vahekaart Plugin.
  2. Otsige üles CyberElements Bastion kliendi sertifikaat.
  3. Sisestage sertifikaadi parool.
  4. Klõpsake Apply, et sertifikaat rakendada.

Jääb veel sisestada Watchdog teenuse sertifikaadi teave:

  1. Valige vahekaart Watchdog
  2. Otsige üles Watchdog teenuse sertifikaat.
  3. Sisestage sertifikaadi parool.
  4. Klõpsake Apply, et sertifikaat rakendada.

Nende muudatuste jõustumiseks peate taaskäivitama SSL Router ja Watchdog teenused:

Mediation Controller serverite pairing

Tähelepanu!

Selleks hetkeks peavad mõlemad Mediation Controller serverid olema konfigureeritud kuni etapini litsentside ja sertifikaatide rakendamine.
Kui Mediation Controller serverit SLAVE pole veel konfigureeritud, tehke seda, alustades selle dokumentatsiooni algusest.

Mediation Controller serverite pairingu etapp loob kahe serveri vahel usaldusseose ja lähtestab klastri töö.

Mediation Controller serveris SLAVE

Käivitage kasutajana root järgmine käsk, et algatada pairingu taotlus Mediation Controller serverile MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Asendage RIP_MED_WEB_MASTER vastava IP-aadressiga.

Näide

Kui RIP_MED_WEB_MASTER on 10.0.10.10, tuleb sisestada järgmine käsk:

1
hostManagerCtl bootstrap 10.0.10.10

Mediation Controller serveris MASTER

Käivitage kasutajana root järgmine käsk, et kontrollida ootel pairingu taotlusi ja hankida taotluse ID: 

1
hostManagerCtl getPendingRequests

Seejärel käivitage järgmine käsk, et pairingu taotlus vastu võtta, asendades ID eelmise käsuga hangitud ID-ga:

1
hostManagerCtl acceptRequest ID
Näide

Kui käsu hostManagerCtl getPendingRequests tagastusväärtus on järgmine:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Siis on pairingu taotluse vastuvõtmise käsk järgmine:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Seose kontrollimiseks kasutage Mediation Controller serveris (kas MASTER või SLAVE) järgmist käsku:

1
hostManagerCtl listPeers

Tulemus erineb olenevalt serverist, kus käsk käivitatakse:

Oodatav tulemus Mediation Controller serveris MASTER on järgmine:

1
slave -> RIP_MED_WEB_SLAVE
Näide 
1
slave -> 10.0.10.12

Oodatav tulemus Mediation Controller serveris SLAVE on järgmine:

1
master -> RIP_MED_WEB_MASTER
Näide 
1
master -> 10.0.10.10

Mediation Controller serveris SLAVE

Bootstrap-olekut saate kontrollida serverist SLAVE järgmise käsuga:

1
hostManagerCtl getBootstrapStatus

Klaster, millel pole sünkroonimisprobleeme, tagastab väärtuse 0.

Vaja on veel viimast käsuseeriat, taas serveris SLAVE, et sünkroonida mõlema Mediation Controller serveri ühine saladus:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Milleks on serveritevaheline ühendus?

See on klastri tööks mõeldud eriühendus, mis võimaldab Mediation Controller serveril suunata liiklust teisele Mediation Controller serverile juhul, kui sihtmärgiks olev Edge Gateway komponent pole ühendatud esimese serveriga, vaid ainult teisega.

Näiteks kui Mediation Controller server MASTER pole enam Edge Gateway komponendiga ühendatud, saab see kasutada serveritevahelist seost, et jõuda Edge Gateway komponendini Mediation Controller serveri SLAVE kaudu.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Ühendus katkes| GW(Edge Gateway)
    MASTER --> |Serveritevaheline ühendus| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Mediation Controller serveris MASTER

Redigeerige faili /etc/ipdiva/server/remoteServers.xml, et märkida serveritevahelise sertifikaadi CN:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Asendage SLAVECN serveritevaheliseks ühenduseks mõeldud sertifikaadi CN-iga.
Kui te ei tea serveritevahelise sertifikaadi CN-i, võib sisestada märgi * (soovitatav kahtluse korral):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Näide

Arvestades järgmist teavet:

  • Serveritevahelise sertifikaadi CN: my-interserver-cert

Mediation Controller serveri MASTER fail /etc/ipdiva/server/remoteServers.xml täidetakse järgmiselt:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Mediation Controller serveris SLAVE

Saatke serveritevaheline sertifikaat Mediation Controller serveri SLAVE kataloogi /tmp/.
Seejärel käivitage kasutajana root järgmised käsud, et teisaldada see sobivate lubadega sihtkataloogi:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Seejärel redigeerige faili /etc/ipdiva/server/remoteServers.xml, et lisada sildi <remoteConfig> sisse järgmine sisu (vana sildi <localCluster> võib täielikult kustutada):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Asendage:

  • MASTERCN: määrake Mediation Controller serveri MASTER SSL Router teenuse sertifikaadi CN, mis on tavaliselt RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: vastab Mediation Controller serveri MASTER teisesele IP-aadressile.
  • PORT_RIP_MED_SSL_MASTER: see on port, mida Mediation Controller serveri MASTER SSL Router teenus kuulab; tavaliselt on see 443.
  • INTERSERVER.P12: serveritevaheliseks ühenduseks mõeldud sertifikaadi nimi.
  • PASSWORD: serveritevahelise sertifikaadi parool.
Näide

Arvestades järgmist teavet:

  • Serveritevahelise sertifikaadi nimi: my-interserver-cert.p12
  • Serveritevahelise sertifikaadi parool: MySecurePassword
  • Mediation Controller serveri MASTER RIP SSL: 10.0.10.11
  • Mediation Controller serveri MASTER SSL RIP-i port: 443
  • Mediation Controller serveri MASTER sertifikaadi CN: 10.0.10.11

Mediation Controller serveri SLAVE fail /etc/ipdiva/server/remoteServers.xml täidetakse järgmiselt:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Muutke SSL Router teenuse SLAVE konfiguratsiooni, käivitades järgmise käsu:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Mediation Controller serverites MASTER ja SLAVE

Taaskäivitage SSL Router teenus, et rakendada serveritevahelise seose sätted:

1
/usr/local/ipdiva/server/bin/restart

Et kinnitada serveritevahelise seose nõuetekohast toimimist, peaks järgmine käsk tagastama tulemuse:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Eelmine käsk peaks looma logi, mis sisaldab järgmist: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Kui sellist logi ei kuvata, kontrollige selles peatükis seadistatud konfiguratsiooni.

Mediation Controller serveri MASTER veebikonsoolis /mediation/system

Lülitage kahe Mediation Controller serveri vaheline ühendus sisse, redigeerides SSL-i virtuaalhosti default:

Täitke erinevad väljad allolevate juhiste järgi ja lülitage serveritevahelise sidumise funktsioon sisse, märkides märkeruudu Is cross-server linking configured?:

  • Public address for plugin connections: vastab aadressile VIP_MED_SSL koos selle kuulamispordiga (tavaliselt 443).
  • Actual public IP addresses for web connections: vastab tegelike veebi-IP-aadresside paarile (RIP_MED_WEB_MASTER ja RIP_MED_WEB_SLAVE) koos nende vastavate portidega, üks rida iga IP-aadressi ja pordi paari kohta.
  • Actual public IP addresses for SSL connections: vastab tegelike SSL-IP-aadresside paarile (RIP_MED_SSL_MASTER ja RIP_MED_SSL_SLAVE) koos nende vastavate portidega, üks rida iga IP-aadressi ja pordi paari kohta.

CyberElements Bastion lahenduse initsialiseerimine

Ühenduse loomine PostgreSQL-andmebaasiga

Toimimiseks vajab CyberElements Bastion välist PostgreSQL-andmebaasi (DB), et talletada oma sätted ja konsooli /system mitmesugused logid.
Kui DB on Mediation Controller serveritest otse juurdepääsetav, liikuge otse DB initsialiseerimise etappi.

Ühenduse loomine kohtvõrgus asuva andmebaasiga

Et võimaldada ühendust kohtvõrgus asuva andmebaasiga ilma DMZ-ist kohtvõrku suunduvat voogu avamata, suunatakse andmebaasi voog Edge Gateway komponentide ja Mediation Controller serverite vahelise TLS-tunneli kaudu.
Selleks tuleb konfigureerida üks Edge Gateway komponent (või kaks Edge Gateway komponenti), kasutades selle aluseks olevat CyberElements Gate tehnoloogiat.

CyberElements Gate Edge Gateway komponentide deklareerimine

Selleks logige esmalt sisse toote CyberElements Gate konsooli /mediation/system.

Seejärel avage menüü „Organizations“ ja klõpsake „Add“:

Sisestage organisatsiooni nimi, mis peab erinema tootele CyberElements Bastion määratud nimest (näiteks tunnel), ja määrake vähemalt üks kasutajaseansi litsents koos konto admin parooliga:

Logige kontoga admin sisse varem loodud organisatsiooni haldusliidesesse, avades /gate/admin:

Seejärel deklareerige mõlemad Edge Gateway komponendid, mida kasutatakse tunneli seadistamiseks.
Viige kursor vasakul üksusele Infrastructure, klõpsake Gateways ja seejärel nuppu Add:

Sisestage esimese Edge Gateway komponendi nimi ja kinnitage sisestus:

Teave

Tuletame meelde, et Edge Gateway komponendi nimi on seotud sertifikaadiga, mida see kasutab enda autentimiseks Mediation Controller serveri SSL Router teenuses.
See nimi on kujul <GW_NAME>@<ORGANIZATION_NAME>, kus <GW_NAME> vastab Edge Gateway komponendi nimele ja <ORGANIZATION_NAME> vastab toote CyberElements Gate süsteemikonsoolis loodud organisatsiooni nimele.

Korrake Edge Gateway komponendi deklareerimise etappi teise Edge Gateway komponendi jaoks.

Tunneliühendused ja sätted Edge Gateway komponentides

Teave

Järgmisi samme saab korrata mõlemas Edge Gateway komponendis, mida kasutatakse tunnelis andmebaasile juurdepääsuks.

Eeltingimused

Selle osa lõpuleviimiseks peate kasutama kas:

Esmalt kasutage tööriista, näiteks WinSCP või FileZilla, et edastada ühenduseks vajalik sertifikaat SCP kaudu Edge Gateway serveri kataloogi /tmp/.

Seejärel looge SSH-ühendus ja lülituge kasutajale root.

Edge Gateway serveri ühendamiseks mõlema Mediation Controller serveriga peate looma kaks uut Edge Gateway eksemplari: üks loob ühenduse Mediation Controller serveriga MASTER, teine aga Mediation Controller serveriga SLAVE.
Nende loomiseks käivitage järgmised käsud:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Kopeerige sertifikaadifail kataloogidesse /etc/ipdiva/gateway-tunnel-master/ssl/ ja /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Asendage <CERT_NAME> selle sertifikaadi nimega, mida Edge Gateway komponent peab Mediation Controller serveriga ühenduse loomiseks kasutama.

Konfigureerige Edge Gateway eksemplarid nii, et need saaksid luua ühenduse Mediation Controller serveritega.
Konfiguratsioonid erinevad olenevalt sellest, millise Mediation Controller serveriga ühendust võetakse. Tehke mõlemad seadistused:

Redigeerige faili /etc/ipdiva/gateway-tunnel-master/gateway.xml ja täitke see järgmise teabe põhjal (mitu osa on välja jäetud ja tähistatud märgiga […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Asendage järgmised elemendid:

  • @SERVER@: tuleb asendada aadressiga RIP_MED_SSL_MASTER
  • @SERVERPORT@: tuleb asendada SSL Router teenuse kuulamispordiga, mis on tavaliselt 443
  • keyfile.pem: tuleb asendada sertifikaadifaili nimega
  • PASSWORD: tuleb asendada sertifikaadi parooliga
  • @RPC_PORT@: tuleb asendada pordiga, mida arvutis praegu ei kuulata; kasutada saab porti 9082
Näide

Arvestades järgmist teavet:

  • RIP_MED_SSL_MASTER on: 10.0.10.11
  • SSL Router teenuse kuulamisport: 443
  • Sertifikaadifaili nimi: gate-tunnel.p12
  • Sertifikaadi parool: Str0ngP@ssw0rd

Fail /etc/ipdiva/gateway-tunnel-master/gateway.xml konfigureeritakse järgmiselt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Redigeerige faili /etc/ipdiva/gateway-tunnel-slave/gateway.xml ja täitke see järgmise teabe põhjal (mitu osa on välja jäetud ja tähistatud märgiga […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Asendage järgmised elemendid:

  • @SERVER@: tuleb asendada aadressiga RIP_MED_SSL_SLAVE
  • @SERVERPORT@: tuleb asendada SSL Router teenuse kuulamispordiga, mis on tavaliselt 443
  • keyfile.pem: tuleb asendada sertifikaadifaili nimega
  • PASSWORD: tuleb asendada sertifikaadi parooliga
  • @RPC_PORT@: tuleb asendada pordiga, mis pole arvutis praegu kasutusel; kasutada saab porti 9083
Näide

Arvestades järgmist teavet:

  • RIP_MED_SSL_SLAVE on: 10.0.10.13
  • SSL Router teenuse kuulamisport: 443
  • Sertifikaadifaili nimi: gate-tunnel.p12
  • Sertifikaadi parool: Str0ngP@ssw0rd

Fail /etc/ipdiva/gateway-tunnel-slave/gateway.xml konfigureeritakse järgmiselt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Nüüd, kui eksemplarid on konfigureeritud Mediation Controller serveritega ühenduse loomiseks, tuleb need veel konfigureerida suunama Mediation Controller serveri ühendus andmebaasi.
Selleks redigeerige faili /etc/ipdiva/gateway-tunnel-master/services.xml ja muutke seda järgmiselt: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Asendage DB_SERVER andmebaasiga ühenduse loomiseks kasutatava DNS-nime või IP-aadressiga ja DB_PORT andmebaasi eksemplari kuulamispordiga.
Korrake neid sätteid Mediation Controller serveriga SLAVE ühenduva eksemplari jaoks, kopeerides faili:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Lõpuks käivitage Edge Gateway eksemplarid, et need looksid ühenduse Mediation Controller serveritega:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Mediation Controller serverite tunneli konfigureerimine

Selleks et Mediation Controller serverid saaksid tunnelit kasutada, tuleb veel deklareerida selle olemasolu.
Selleks logige kasutajana root sisse Mediation Controller serveritesse ja redigeerige faili /etc/ipdiva/server/services.xml, et lisada järgmine osa (mitu osa on välja jäetud ja tähistatud märgiga […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Asendage järgmised elemendid:

  • GW1_NAME esimese Edge Gateway komponendi nimega
  • GW2_NAME teise Edge Gateway komponendi nimega
  • ORGANIZATION_NAME varem loodud CyberElements Gate organisatsiooni nimega
Näide

Arvestades järgmist teavet:

  • Edge Gateway 1 komponendi nimi: gate-tunnel-1
  • Edge Gateway 2 komponendi nimi: gate-tunnel-2
  • CyberElements Gate organisatsiooni nimi: tunnel

Fail /etc/ipdiva/server/services.xml täidetakse järgmiselt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Uue konfiguratsiooni rakendamiseks taaskäivitage SSL Router teenus järgmise käsuga:

1
/usr/local/ipdiva/server/bin/restart

Andmebaasi initsialiseerimine

Tähelepanu!

Peate looma andmebaasi default enne, kui CyberElements Bastion selle lähtestab (seda ei looda automaatselt).

Süsteemikonfiguratsiooni PostgreSQL-andmebaasi lähtestamiseks peate esmalt konfigureerima ühendussätted Mediation Controller serverites.
Selleks redigeerige mõlemas serveris faili /etc/ipdiva/care/databasesettings.ini ja lisage järgmised kirjed:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Asendage järgmised elemendid:

  • DB_USERNAME andmebaasiga ühenduse loomiseks kasutatava kasutajanimega.
  • DB_PWD sisselogiva kasutaja parooliga.
  • DB_HOST andmebaasiga ühenduse loomiseks kasutatava IP-aadressi või DNS-nimega; kui kasutatakse ühendust Edge Gateway komponentide kaudu, tuleb sisestada 127.0.0.1.
  • DB_PORT andmebaasi eksemplariga ühenduse loomiseks kasutatava pordiga; kui kasutatakse ühendust Edge Gateway komponentide kaudu, tuleb sisestada 1432.

Andmebaasi lähtestamise saab käivitada järgmiste käskudega, mis tuleb käivitada ainult ühes Mediation Controller serveris:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Seejärel jääb üle vaid taaskäivitada teenus apache2 mõlemas Mediation Controller serveris, et süsteemiandmebaasi lähtestamine jõustuks:

1
systemctl restart apache2

NTP-ajaserveri konfigureerimine

Süsteemi kella ajakohasena hoidmiseks on soovitatav seadistada ajaserver. Vajalikud toimingud on kirjeldatud NTP konfigureerimise lehel.

CyberElements Bastion lahenduse algkonfiguratsioonid

Juurdepääsu autoriseerimine veebiliidestele virtuaalse IP-aadressiga

Vaikimisi ei ole lubatud luua ühendust toote CyberElements Bastion veebiliidestega virtuaalse IP-aadressi VIP_MED_WEB kaudu.
Autoriseerimise lisamiseks käivitage kasutajana root Mediation Controller serverites järgmised käsud:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Asendage IP IP-aadressiga, mis vastab aadressile VIP_MED_WEB.

Algkonfiguratsioonid

Selles etapis on Mediation Controller serverid installitud, kuid veel tuleb teha mitu toimingut:

  • Muutke vaikeparoolid

    Muutke süsteemikonsoolide vaikeparoolid.

    Muutke

  • Installige sertifikaadid ja litsentsid

    Mediation Controller komponent vajab töötamiseks mitmesuguseid sertifikaate ja litsentsi.
    Ainult CyberElements Bastion kliendi sertifikaat tuleb mõlemas Mediation Controller serveris uuesti deklareerida (kasutage RIP-aadresse RIP_MED_WEB_MASTER ja RIP_MED_WEB_SLAVE).

    Installige sertifikaadid ja litsents

  • Konfigureerige veebisertifikaat

    Konfigureerige veebisertifikaat, mida kasutatakse veebiliidestega ühenduse loomiseks

    Konfigureerige

  • Deklareerige DNS-nimi

    Lisage DNS-nimi, mis on lubatud veebiliidestega ühenduse loomiseks.

    Lisage