Keri sisuni

Edge Gateway serveri installimine

Märkus

Tuletame meelde, et Debiani arvutites tuleb kasutajale root lülituda järgmise käsuga:

1
su -

Peegli ja vajalike tööriistade allalaadimine

CyberElements Cleanroom 4.6 peegli ja Systancia hoidla allkirjavõtme saab alla laadida sellelt lingilt (nõuab kliendikonto loomist): Systancia Marketplace

Lisaks peeglile ja võtmele on versiooniuuenduse protsessiks vaja kolmanda osapoole tööriistu:

  • SSH-klient (Windowsis saate kasutada programmi PuTTY)
  • SCP-klient (Windowsis saab kasutada tööriistu WinSCP või FileZilla)

Kasutage SSH-klienti, et luua serveriga kaugühendus.

Kasutage SCP-klienti, et edastada faile kaugarvutisse.

Installimiseks ettevalmistamine

Võrgu konfigureerimine

Edge Gateway serverile on tungivalt soovitatav määrata staatiline võrguaadress. Selleks peate esmalt hankima oma arvuti võrguliidese nime ja selle MAC-aadressi. Käivitage kasutajana root järgmine käsk:

1
ip -br link | grep -ve "^lo"

See käsk kuvab võrguliidese nime, selle oleku, selle MAC-aadressi ja liidese sätted.

Näide

Pärast käsu käivitamist kuvatakse järgmine väljund:

1
ens192           UP             00:50:56:a1:56:9f <BROADCAST,MULTICAST,UP,LOWER_UP>

Võrguliidese nimi on ens192 ja selle MAC-aadress on 00:50:56:a1:56:9f.

Kui võrguliidese nimi ja MAC-aadress on hangitud, saab nüüd arvuti võrgukonfiguratsiooni redigeerida.
Redigeerige faili /etc/network/interfaces, et muuta seda järgmise malli järgi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports INTERFACE_NAME
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw MAC_ADDRESS
    address IP_GW
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

Kus:

  • INTERFACE_NAME tuleb asendada varem hangitud võrguliidese nimega.
  • MAC_ADDRESS tuleb asendada varem hangitud MAC-aadressiga.
  • IP_GW tuleb asendada serveri IP-aadressiga.
  • NETMASK tuleb asendada IP-aadressiga seotud võrgumaskiga.
  • NETWORK_GATEWAY tuleb asendada võrgu vaikelüüsiga.
  • IP_DNS tuleb asendada DNS-serveri IP-aadressiga. Kui on vaja konfigureerida mitu serverit (kuni 3), eraldage need tühikuga.
  • DNS_SUFFIX tuleb asendada kasutatava DNS-järelliitega. Kui järelliidet pole vaja sisestada, kustutage rida.
Näide 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports ens192
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw 00:50:56:a1:56:9f
    address 172.16.10.10
    netmask 255.255.255.0
    gateway 172.16.10.254
    dns-nameservers 172.16.11.2 172.16.11.3
    dns-search domain.local

Enne konfiguratsiooni rakendamist tuleb teha veel kolm sammu.

Esimene on installida paketid resolvconf ja bridge-utils, et eelmises failis määratud DNS-konfiguratsiooni saaks rakendada ja liidest br0 saaks kasutada:

1
apt install -y resolvconf bridge-utils

Teine on kontrollida faili /etc/hosts konfiguratsiooni arvuti peamise IP-aadressi (IP_GW) osas.
Selleks redigeerige faili /etc/hosts ja kontrollige, et teine rida oleks järgmises vormingus:

2
IP_GW   FQDN    MACHINE_NAME
Näide

Kui arvuti nimi on EDGE-GATEWAY, see ei kuulu domeeni ja selle IP-aadress IP_GW on 172.16.10.10, täidetakse fail järgmiselt:

2
172.16.10.10  EDGE-GATEWAY

Kui arvuti kuulub domeeni DOMAIN.LOCAL, täidetakse fail järgmiselt:

2
172.16.10.10  EDGE-GATEWAY.DOMAIN.LOCAL   EDGE-GATEWAY

Tähelepanu!

Faili vale konfiguratsioon võib põhjustada tõrke paketi collectd installimisel.

Jääb üle vaid server taaskäivitada: 

1
reboot

APT-paketihalduri konfigureerimine

Laadige Systancia Marketplace'ist allalaaditud failid SCP-kliendi abil üles serveri kataloogi /tmp/:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Logige serverisse sisse kasutajana root ja käivitage seejärel järgmised käsud, et pakkida lahti Systancia hoidla, konfigureerida selle kasutamine APT-s ja see autentida.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Soovitame tungivalt apt-käskude käivitamisel mittevajalike pakettide installimise välja lülitada. Selleks käivitage järgmine käsk:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

CyberElements Bastion lahenduse Edge Gateway serveri installimine

Põhikomponentide installimine

Alustage komponentide installimist järgmise käsuga kasutajana root:

1
apt install -y ipdiva-base

Kui kõik sõltuvused on alla laaditud, avaneb aken, kus palutakse valida serveri tüüp. Valige gateway:

Mida teha tõrke korral?

Kui sisestatud teabes on viga, jätkake paketi ipdiva-base installimist ja seejärel kasutage serveri uuesti konfigureerimiseks järgmist käsku:

1
dpkg-reconfigure ipdiva-base

Edge Gateway komponentide installimine

Seejärel alustage Edge Gateway serveri spetsiifiliste komponentide installimist järgmise käsuga:

1
apt install -y ipdiva-safe-gateway ipdiva-gateway-setup

Edge Gateway serveri komponendid on nüüd installitud. Jääb üle vaid arvuti taaskäivitada, et äsja installitud komponendid saaksid lähtestuda:

1
reboot

HTML5 Gateway komponentide installimine

Kasutage järgmist käsku, et alustada HTML5 Gateway komponentide installimist Edge Gateway serverisse:

1
apt install -y ipdiva-html5gateway ipdiva-html5-webapp ipdiva-guacamole-server1

Kasutage järgmisi käsuridu failiedastuse ja virtuaalprinteri funktsioonide sisselülitamiseks ja konfigureerimiseks:

1
2
3
apt install -y ghostscript
echo -e "printer=cyberelements HTML5 Printer\nprinterDriver=MS Publisher Imagesetter" > /etc/guacamole/printer-config
mkdir /home/systanciahtml5share

CyberElements Bastion lahenduse tööks vajalikud sätted

Kui võrgusätted on rakendatud, tuleb Edge Gateway ja HTML5 Gateway eksemplarid veel ühendada Mediation Controller serveritega.
Selleks loovad esimesed Edge Gateway ja HTML5 Gateway eksemplarid ühenduse Mediation Controller serveriga MASTER, teised eksemplarid aga Mediation Controller serveriga SLAVE.

Tähelepanu!

Kui Edge Gateway installatsioon ei asu kohtvõrgus ja seetõttu pole aadressid RIP_MED_SSL_MASTER ja RIP_MED_SSL_SLAVE kättesaadavad (isegi NAT-i abil).
Sel juhul peate konfigureerima ainult Edge Gateway ja HTML5 Gateway esimese eksemplari, mis seadistatakse looma ühendust aadressiga VIP_MED_SSL.

Selles kontekstis saab kasutada Standalone-virtuaalseadet. Cluster-virtuaalseade on eelkonfigureeritud kahe eksemplariga, samas kui selle Standalone-vaste on eelkonfigureeritud ühe eksemplariga.

Enne järgmiste juhistega jätkamist veenduge, et teil on järgmised üksused:

  • Ühendatavate Edge Gateway ja HTML5 Gateway eksemplaride sertifikaat
  • Salvestusteenuse sertifikaat
  • SSH-klient (Windowsis saate kasutada programmi PuTTY)
  • SCP-klient (Windowsis saab kasutada tööriistu WinSCP või FileZilla)

Edastage sertifikaadid arvuti kataloogi /tmp/.

Eksemplaride loomine ühenduse loomiseks Mediation Controller serveriga SLAVE

Käivitage kasutajana root järgmised käsud, et deklareerida uus Edge Gateway ja HTML5 Gateway eksemplar, mida kasutatakse ühenduse loomiseks Mediation Controller serveriga SLAVE:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -slave
/usr/local/ipdiva/html5gateway/bin/gatewayCloner -slave

Edge Gateway komponentide ühendamine

Kopeerige Edge Gateway komponendi sertifikaadifail kataloogidesse /etc/ipdiva/gateway/ssl/ ja /etc/ipdiva/gateway-slave/ssl/. Selleks saate käivitada kasutajana root järgmistega sarnaseid käske (asendage <CERT_NAME> Edge Gateway komponendi sertifikaadi nimega):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/gateway-slave/ssl/

Konfigureerige Edge Gateway eksemplarid nii, et need saaksid luua ühenduse Mediation Controller serveritega.
Konfiguratsioonid erinevad olenevalt sellest, millise Mediation Controller serveriga ühendust võetakse. Tehke mõlemad seadistused:

Redigeerige faili /etc/ipdiva/gateway/gateway.xml ja täitke see järgmise teabe põhjal (mitu osa on välja jäetud ja tähistatud märgiga […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Asendage järgmised elemendid:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: tuleb asendada aadressi RIP_MED_SSL_MASTER, märgi : ja SSL Router teenuse kuulamispordiga, mis on tavaliselt 443
  • keyfile.pem: tuleb asendada sertifikaadifaili nimega
  • PASSWORD: tuleb asendada sertifikaadi parooliga
Näide

Arvestades järgmist teavet:

  • RIP_MED_SSL_MASTER on: 10.0.10.11
  • SSL Router teenuse kuulamisport: 443
  • Sertifikaadifaili nimi: edge-gateway.p12
  • Sertifikaadi parool: Str0ngP@ssw0rd

Fail /etc/ipdiva/gateway/gateway.xml konfigureeritakse järgmiselt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9080</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Lõpuks käivitage Edge Gateway eksemplar, et laadida uued sätted ja ühendada see Mediation Controller serveriga MASTER: 

1
/usr/local/ipdiva/gateway/bin/start

Redigeerige faili /etc/ipdiva/gateway-slave/gateway.xml ja täitke see järgmise teabe põhjal (mitu osa on välja jäetud ja tähistatud märgiga […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Asendage järgmised elemendid:

  • @SERVER@: tuleb asendada aadressiga RIP_MED_SSL_SLAVE
  • @SERVERPORT@: tuleb asendada SSL Router teenuse kuulamispordiga, mis on tavaliselt 443
  • keyfile.pem: tuleb asendada sertifikaadifaili nimega
  • PASSWORD: tuleb asendada sertifikaadi parooliga
  • @RPC_PORT@: tuleb asendada arvutis saadaoleva TCP-pordiga; tavaliselt kasutatakse porti 9081
Näide

Arvestades järgmist teavet:

  • RIP_MED_SSL_SLAVE on: 10.0.10.13
  • SSL Router teenuse kuulamisport: 443
  • Sertifikaadifaili nimi: edge-gateway.p12
  • Sertifikaadi parool: Str0ngP@ssw0rd
  • Saadaolev RPC-port: 9081

Fail /etc/ipdiva/gateway-slave/gateway.xml konfigureeritakse järgmiselt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9081</rpc-listen>
[…]
</gateway>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9081</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Lõpuks käivitage Edge Gateway eksemplar, et laadida uued sätted ja ühendada see Mediation Controller serveriga SLAVE: 

1
/usr/local/ipdiva/gateway-slave/bin/start

Salvestusteenuse konfigureerimine

Teisaldage salvestusteenuse sertifikaat kataloogi /etc/ipdiva/careserver/ järgmisega sarnase käsuga (asendage <CERT_NAME> vastava sertifikaadi nimega):

1
mv /tmp/<CERT_NAME> /etc/ipdiva/careserver/

Seejärel konfigureerige teenus, muutes järgmist faili: /etc/ipdiva/careserver/careserver.xml. Faili konfiguratsioon peaks olema umbes selline (järgmises väljavõttes on paljud faili read välja jäetud ja tähistatud märgiga […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/recording_service.p12</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>

Tehke järgmised muudatused:

  • Muutke salvestusteenuse kuulamise IP-aadressiks 0.0.0.0 (kuulab kõiki saadaolevaid IP-aadresse)
  • Asendage recording_service.p12 salvestusteenuse sertifikaadi nimega
  • Asendage PASSWORD salvestusteenuse sertifikaadi parooliga
  • Lisage rida <element>http://127.0.0.1:9081</element>
Näide

Arvestades järgmist teavet:

  • Sertifikaadifaili nimi: fqdn.edge-gateway.local.p12
  • Sertifikaadi parool: Str0ngP@ssw0rd

Fail /etc/ipdiva/careserver/careserver.xml konfigureeritakse järgmiselt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>


    <archivesdirectory>/var/lib/ipdiva/carerecord/archives</archivesdirectory>
    <recordingdirectory>/var/lib/ipdiva/carerecord/recording</recordingdirectory>
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
        <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
        <min-version>tls1.2</min-version>
        <max-version/>
        <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
        <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
        <verify-cert>true</verify-cert>
        <no-fail-if-no-peer-cert>true</no-fail-if-no-peer-cert>
    </ssl>
    <gopsize>10</gopsize>
        <webgopsize>5</webgopsize>
    <webfakeframespersec>2</webfakeframespersec>
        <webhlslistsize>20</webhlslistsize>
    <webcaptureinterval>10000</webcaptureinterval>
    <webcapturetimeout>30000</webcapturetimeout>
    <captureinterval>250</captureinterval>
    <hlslistsize>20</hlslistsize>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
</careserver>

Kinnitage uued sätted, taaskäivitades salvestusteenuse: 

1
systemctl restart ipdivacarerecord

HTML5 Gateway eksemplaride ühendamine

Kui HTML5 Gateway eksemplar tuleb konfigureerida, käivitage Edge Gateway serveris kasutajana root järgmine käsk, et lülitada sisse eksemplari automaatne käivitamine:

1
chmod +x /etc/ipdiva/services/50html5gateway

Kopeerige HTML5 Gateway komponendi sertifikaadifail kataloogidesse /etc/ipdiva/html5gateway/ssl/ ja /etc/ipdiva/html5gateway-slave/ssl/. Selleks saate käivitada kasutajana root järgmistega sarnaseid käske (asendage <CERT_NAME> HTML5 Gateway komponendi sertifikaadi nimega):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/html5gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/html5gateway-slave/ssl/

Konfigureerige HTML5 Gateway eksemplarid nii, et need saaksid luua ühenduse Mediation Controller serveritega.
Konfiguratsioonid erinevad olenevalt sellest, millise Mediation Controller serveriga ühendust võetakse. Tehke mõlemad seadistused:

Redigeerige faili /etc/ipdiva/html5gateway/html5gateway.xml ja täitke see järgmise teabe põhjal (mitu osa on välja jäetud ja tähistatud märgiga […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Asendage järgmised elemendid:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: tuleb asendada aadressi RIP_MED_SSL_MASTER, märgi : ja SSL Router teenuse kuulamispordiga, mis on tavaliselt 443
  • keyfile.pem: tuleb asendada sertifikaadifaili nimega
  • PASSWORD: tuleb asendada sertifikaadi parooliga
Näide

Arvestades järgmist teavet:

  • RIP_MED_SSL_MASTER on: 10.0.10.11
  • SSL Router teenuse kuulamisport: 443
  • Sertifikaadifaili nimi: html5-gateway.p12
  • Sertifikaadi parool: Str0ngP@ssw0rd

Fail /etc/ipdiva/html5gateway/html5gateway.xml konfigureeritakse järgmiselt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9088</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Lõpuks taaskäivitage HTML5 Gateway eksemplar, et laadida uued sätted ja ühendada see Mediation Controller serveriga MASTER: 

1
/usr/local/ipdiva/html5gateway/bin/start

Redigeerige faili /etc/ipdiva/html5gateway-slave/html5gateway.xml ja täitke see järgmise teabe põhjal (mitu osa on välja jäetud ja tähistatud märgiga […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Asendage järgmised elemendid:

  • @SERVER@: tuleb asendada aadressiga RIP_MED_SSL_SLAVE
  • @SERVERPORT@: tuleb asendada SSL Router teenuse kuulamispordiga, mis on tavaliselt 443
  • keyfile.pem: tuleb asendada sertifikaadifaili nimega
  • PASSWORD: tuleb asendada sertifikaadi parooliga
  • @RPC_PORT@: tuleb asendada arvutis saadaoleva TCP-pordiga; tavaliselt kasutatakse porti 9089
Näide

Arvestades järgmist teavet:

  • RIP_MED_SSL_SLAVE on: 10.0.10.13
  • SSL Router teenuse kuulamisport: 443
  • Sertifikaadifaili nimi: html5-gateway.p12
  • Sertifikaadi parool: Str0ngP@ssw0rd
  • Saadaolev RPC-port: 9089

Fail /etc/ipdiva/html5gateway-slave/html5gateway.xml konfigureeritakse järgmiselt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9089</rpc-listen>
[…]
</gateway>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9089</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Lõpuks taaskäivitage HTML5 Gateway eksemplar, et laadida uued sätted ja ühendada see Mediation Controller serveriga SLAVE: 

1
/usr/local/ipdiva/html5gateway-slave/bin/start

Konfiguratsioonid enne HTML5 Gateway komponentide ühendamist

HTML5-rakenduste toimimiseks tuleb Mediation Controller serverites konfigureerida täiendavad sätted. Logige kasutajana root sisse Mediation Controller serveritesse MASTER ja SLAVE.

Looge fail /etc/ipdiva/httpd/commonParameters.extra.conf või redigeerige seda, et lisada HTML5 Gateway komponendi jaoks järgmisega samaväärne osa:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
<Location /URL_HTML5/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /URL_HTML5/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Kus:

  • URL_HTML5 tuleb asendada selle HTML5 Gateway komponendi välja URL sisuga, mis konfigureeriti halduskonsoolis HTML5 Gateway komponendi deklareerimisel (klastri puhul on see tavaliselt HTML5-1 ja HTML5-2).
  • GW_NAME tuleb asendada sellise Edge Gateway komponendi nimega, mis asub HTML5 Gateway komponendiga samas serveris. Rea lõpus olev märk | tuleb säilitada.
  • ORGANIZATION_NAME tuleb asendada selle organisatsiooni nimega, millega eelmine Edge Gateway komponent ühenduse loob.
Näide

Platvormi puhul, millel on järgmised sätted:

  • Organisatsiooni nimi: my-organization-name
  • Esimese HTML5 Gateway komponendi deklaratsioon halduskonsoolis:
    • Name: html5-gateway-1
    • URL: HTML5-1
    • Protocol: WebSocket
  • Teise HTML5 Gateway komponendi deklaratsioon halduskonsoolis:
    • Name: html5-gateway-2
    • URL: HTML5-2
    • Protocol: WebSocket
  • Esimese HTML5 Gateway komponendi Edge Gateway serveril on:
    • Edge Gateway teenus nimega edge-gateway-1
    • HTML5 Gateway teenus nimega html5-gateway-1
  • Teise HTML5 Gateway komponendi Edge Gateway serveril on:
    • Edge Gateway teenus nimega edge-gateway-2
    • HTML5 Gateway teenus nimega html5-gateway-2

Loodud konfiguratsioonifail /etc/ipdiva/httpd/commonParameters.extra.conf seadistatakse järgmiselt: 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
<Location /HTML5-1/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-1/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

<Location /HTML5-2/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-2/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Enne uute sätete rakendamist peate kontrollima, et uus konfiguratsioon ei põhjusta veebiserverile Apache2 blokeerivaid tõrkeid.
Selleks käivitage järgmine käsk:

1
apache2ctl configtest

Kui vastus on Syntax OK, saab muudatused rakendada alloleva käsuga. Vastasel juhul kontrollige oma konfiguratsiooni failis /etc/ipdiva/httpd/commonParameters.extra.conf.

1
systemctl reload apache2

NTP-ajaserveri konfigureerimine

Süsteemi kella ajakohasena hoidmiseks on soovitatav seadistada ajaserver. Vajalikud toimingud on kirjeldatud NTP konfigureerimise lehel.