Keri sisuni

Mediation Controller serverite installimine

Märkus

Tuletame meelde, et Debiani arvutites tuleb kasutajale root lülituda järgmise käsuga:

1
su -

Sellel lehel antud juhiseid tuleb korrata mõlemas Mediation Controller serveris, alustades serverist MASTER.
Kui serverite MASTER ja SLAVE vahel on erinevusi, tuuakse need esile. Kui seda pole mainitud, kehtivad juhised nii serverile MASTER kui ka serverile SLAVE.

Peegli ja vajalike tööriistade allalaadimine

CyberElements Cleanroom 4.6 peegli ja Systancia hoidla allkirjavõtme saab alla laadida sellelt lingilt (nõuab kliendikonto loomist): Systancia Marketplace

Lisaks peeglile ja võtmele on versiooniuuenduse protsessiks vaja kolmanda osapoole tööriistu:

  • SSH-klient (Windowsis saate kasutada programmi PuTTY)
  • SCP-klient (Windowsis saab kasutada tööriistu WinSCP või FileZilla)

Kasutage SSH-klienti, et luua serveriga kaugühendus.

Kasutage SCP-klienti, et edastada faile kaugarvutisse.

Installimiseks ettevalmistamine

Võrgu konfigureerimine

Installige pakett resolvconf, et saaks rakendada DNS-konfiguratsiooni, mis on määratud peagi muudetavas konfiguratsioonifailis:

1
apt install -y resolvconf

Mediation Controller serverile on hädavajalik konfigureerida staatiline võrguaadress. Selleks peate esmalt hankima oma arvuti võrguliidese nime. Käivitage kasutajana root järgmine käsk:

1
ip -br a | grep -ve "^lo"

See käsk kuvab võrguliidese nime, selle oleku ja liidesele määratud IP-aadressid.

Näide

Pärast käsu käivitamist kuvatakse järgmine väljund:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Võrguliidese nimi on ens192.

Kui võrguliidese nimi on hangitud, saab nüüd arvuti võrgukonfiguratsiooni redigeerida.
Redigeerige faili /etc/network/interfaces, et muuta seda järgmise malli järgi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Kus:

  • INTERFACE_NAME tuleb asendada varem hangitud võrguliidese nimega.
  • RIP_MED_WEB_MASTER tuleb asendada serveri peamise tegeliku IP-aadressiga, mille kaudu on veebikonsoolidele juurdepääs.
  • NETMASK tuleb asendada IP-aadressiga seotud võrgumaskiga.
  • NETWORK_GATEWAY tuleb asendada võrgu vaikelüüsiga.
  • IP_DNS tuleb asendada DNS-serveri IP-aadressiga. Kui on vaja konfigureerida mitu serverit (kuni 3), eraldage need tühikuga.
  • DNS_SUFFIX tuleb asendada kasutatava DNS-järelliitega. Kui järelliidet pole vaja sisestada, kustutage rida.
  • RIP_MED_SSL_MASTER tuleb asendada serveri teisese tegeliku IP-aadressiga. Selle IP-aadressi kaudu on SSL Router teenus kättesaadav.
Näide 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Lõpuks jääb üle vaid taaskäivitada teenus networking, et laadida uus võrgukonfiguratsioon: 

1
systemctl restart networking

Mediation Controller serverile on hädavajalik konfigureerida staatiline võrguaadress. Selleks peate esmalt hankima oma arvuti võrguliidese nime. Käivitage kasutajana root järgmine käsk:

1
ip -br a | grep -ve "^lo"

See käsk kuvab võrguliidese nime, selle oleku ja liidesele määratud IP-aadressid.

Näide

Pärast käsu käivitamist kuvatakse järgmine väljund:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Võrguliidese nimi on ens192.

Kui võrguliidese nimi on hangitud, saab nüüd arvuti võrgukonfiguratsiooni redigeerida.
Redigeerige faili /etc/network/interfaces, et muuta seda järgmise malli järgi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Kus:

  • INTERFACE_NAME tuleb asendada varem hangitud võrguliidese nimega.
  • RIP_MED_WEB_SLAVE tuleb asendada serveri peamise tegeliku IP-aadressiga, mille kaudu on veebikonsoolidele juurdepääs.
  • NETMASK tuleb asendada IP-aadressiga seotud võrgumaskiga.
  • NETWORK_GATEWAY tuleb asendada võrgu vaikelüüsiga.
  • IP_DNS tuleb asendada DNS-serveri IP-aadressiga. Kui on vaja konfigureerida mitu serverit (kuni 3), eraldage need tühikuga.
  • DNS_SUFFIX tuleb asendada kasutatava DNS-järelliitega. Kui järelliidet pole vaja sisestada, kustutage rida.
  • RIP_MED_SSL_SLAVE tuleb asendada serveri teisese tegeliku IP-aadressiga. Selle IP-aadressi kaudu on SSL Router teenus kättesaadav.
Näide 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Lõpuks jääb üle vaid taaskäivitada teenus networking, et laadida uus võrgukonfiguratsioon: 

1
systemctl restart networking

Jäänud on üks viimane etapp: muutke arvuti sisest nimelahendust nii, et see lahendaks arvuti tegeliku esmase IP-aadressi (mis vastab aadressile RIP_MED_WEB_MASTER või RIP_MED_WEB_SLAVE).
Selleks muutke faili /etc/hosts ja asendage 127.0.1.1 olenevalt Mediation Controller serverist aadressiga RIP_MED_WEB_MASTER või RIP_MED_WEB_SLAVE.

Näide

Mediation Controller serveri puhul, mille tegelik veebi-IP-aadress on 10.0.10.10 ja nimi mediation-controller.domain.local, on faili /etc/hosts väärtus järgmine:

1
2
127.0.0.1       localhost
10.0.10.10      mediation-controller.domain.local   mediation-controller

Tähelepanu!

Faili vale konfiguratsioon võib põhjustada tõrke paketi collectd installimisel.

APT-paketihalduri konfigureerimine

Laadige Systancia Marketplace'ist allalaaditud failid SCP-kliendi abil üles serveri kataloogi /tmp/:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Logige serverisse sisse kasutajana root ja käivitage seejärel järgmised käsud, et pakkida lahti Systancia hoidla, konfigureerida selle kasutamine APT-s ja see autentida.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Soovitame tungivalt apt-käskude käivitamisel mittevajalike pakettide installimise välja lülitada. Selleks käivitage järgmine käsk:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Lokaadi en_US.utf8 olemasolu kontrollimine

Mediation Controller serveri installimiseks tuleb genereerida lokaadid en_US.utf8.
Et kontrollida, kas need on serveris juba genereeritud, käivitage kasutajana root järgmine käsk:

1
locale -a  | grep en_US.utf8

Kui käsk tagastab en_US.utf8, liikuge edasi järgmise etapi ehk GRUB-i konfigureerimise juurde.
Vastasel korral käivitage järgmised käsud, et lisada see lokaat arvutisse:

1
2
sed -i "s/# en_US.UTF-8 UTF-8/en_US.UTF-8 UTF-8/" /etc/locale.gen
locale-gen

Alglaadimisprogrammi GRUB konfigureerimine

Kui need käsud on käivitatud, peate pärast alglaadimisprogrammis GRUB sätte rakendamist arvuti taaskäivitama:

1
2
3
sed '9s/quiet/quiet vsyscall=emulate/' -i /etc/default/grub
update-grub
reboot

CyberElements Bastion lahenduse Mediation Controller serveri installimine

Põhikomponentide installimine

Alustage komponentide installimist järgmise käsuga kasutajana root:

1
apt install -y ipdiva-base

Kui kõik sõltuvused on alla laaditud, avaneb aken, kus palutakse valida serveri tüüp. Valige mediation:

Seejärel valige installirežiim lbMaster:

Seejärel valige installirežiim lbSlave:

Seejärel tuleb sisestada port, mida SSL Router kuulab. Tavaliselt on selleks kuulamispordiks 443, kuid kasutada võib ka porti 8443, kui Mediation Controller server kasutab ainult üht IP-aadressi:

Seejärel määrake Cluster-režiimiks loadbalancing, et kasutajakoormus jaotuks mõlema Mediation Controller serveri vahel:

Määrake klastri virtuaalne veebi-IP-aadress VIP_MED_WEB:

Sisestage klastri virtuaalne SSL-i IP-aadress VIP_MED_SSL:

Sisestage klastri konfiguratsiooniandmebaasi virtuaalne IP-aadress VIP_MED_ZEO:

Sisestage Mediation Controller serveri MASTER tegelik veebi-IP-aadress RIP_MED_WEB_MASTER:

Sisestage Mediation Controller serveri MASTER tegelik SSL-i IP-aadress RIP_MED_SSL_MASTER:

Sisestage Mediation Controller serveri SLAVE tegelik veebi-IP-aadress RIP_MED_WEB_SLAVE:

Lõpuks sisestage Mediation Controller serveri SLAVE tegelik SSL-i IP-aadress RIP_MED_SSL_SLAVE:

Mida teha tõrke korral?

Kui sisestatud teabes on viga, jätkake paketi ipdiva-base installimist ja seejärel kasutage serveri uuesti konfigureerimiseks järgmist käsku:

1
dpkg-reconfigure ipdiva-base

Cluster-komponentide installimine

Pärast põhikomponentide installimist tuleb Mediation Controller serveritesse installida Cluster-komponendid:

1
apt install -y ipdiva-mediation-cluster

Pärast komponentide installimist on vajalik taaskäivitus:

1
reboot

Klastri konfigureerimine

CyberElements Gate konsooli /mediation/system parooli muutmine

Installimise selles etapis on saadaval uus haldusliides: Muutke parooli

Litsentside ja sertifikaatide rakendamine

Endiselt konsoolis /mediation/system olles peate sisestama Mediation Controller serveri sertifikaadid ja litsentsid.

Tähelepanu!

SSL Router teenuse litsents ja sertifikaat on omased Mediation Controller serverile MASTER või SLAVE.
Vale litsentsi või sertifikaadi konfigureerimine põhjustab hiljem talitlushäireid.

Rakendage SSL Router komponendi litsents ja sertifikaat:

  1. Klõpsake vahekaarti Settings.
  2. Valige menüüst SSL Connections.
  3. Otsige üles SSL Router teenuse sertifikaat.
  4. Sisestage SSL Router teenuse sertifikaadi parool.
  5. Klõpsake Apply, et rakendada sertifikaat SSL Router teenusele.
  6. Valige serveri litsentsifail.
  7. Klõpsake Modify, et rakendada serveri litsents.

Järgmisena sisestage CyberElements Bastion kliendi sertifikaadi teave:

  1. Valige vahekaart Plugin.
  2. Otsige üles CyberElements Bastion kliendi sertifikaat.
  3. Sisestage sertifikaadi parool.
  4. Klõpsake Apply, et sertifikaat rakendada.

Jääb veel sisestada Watchdog teenuse sertifikaadi teave:

  1. Valige vahekaart Watchdog
  2. Otsige üles Watchdog teenuse sertifikaat.
  3. Sisestage sertifikaadi parool.
  4. Klõpsake Apply, et sertifikaat rakendada.

Nende muudatuste jõustumiseks peate taaskäivitama SSL Router ja Watchdog teenused:

Mediation Controller serverite pairing

Tähelepanu!

Selleks hetkeks peavad mõlemad Mediation Controller serverid olema konfigureeritud kuni etapini litsentside ja sertifikaatide rakendamine.
Kui Mediation Controller serverit SLAVE pole veel konfigureeritud, tehke seda, alustades selle dokumentatsiooni algusest.

Mediation Controller serverite pairingu etapp loob kahe serveri vahel usaldusseose ja lähtestab klastri töö.

Mediation Controller serveris SLAVE

Käivitage kasutajana root järgmine käsk, et algatada pairingu taotlus Mediation Controller serverile MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Asendage RIP_MED_WEB_MASTER vastava IP-aadressiga.

Näide

Kui RIP_MED_WEB_MASTER on 10.0.10.10, tuleb sisestada järgmine käsk:

1
hostManagerCtl bootstrap 10.0.10.10

Mediation Controller serveris MASTER

Käivitage kasutajana root järgmine käsk, et kontrollida ootel pairingu taotlusi ja hankida taotluse ID: 

1
hostManagerCtl getPendingRequests

Seejärel käivitage järgmine käsk, et pairingu taotlus vastu võtta, asendades ID eelmise käsuga hangitud ID-ga:

1
hostManagerCtl acceptRequest ID
Näide

Kui käsu hostManagerCtl getPendingRequests tagastusväärtus on järgmine:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Siis on pairingu taotluse vastuvõtmise käsk järgmine:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Seose kontrollimiseks kasutage Mediation Controller serveris (kas MASTER või SLAVE) järgmist käsku:

1
hostManagerCtl listPeers

Tulemus erineb olenevalt serverist, kus käsk käivitatakse:

Oodatav tulemus Mediation Controller serveris MASTER on järgmine:

1
slave -> RIP_MED_WEB_SLAVE
Näide 
1
slave -> 10.0.10.12

Oodatav tulemus Mediation Controller serveris SLAVE on järgmine:

1
master -> RIP_MED_WEB_MASTER
Näide 
1
master -> 10.0.10.10

Mediation Controller serveris SLAVE

Bootstrap-olekut saate kontrollida serverist SLAVE järgmise käsuga:

1
hostManagerCtl getBootstrapStatus

Klaster, millel pole sünkroonimisprobleeme, tagastab väärtuse 0.

Vaja on veel viimast käsuseeriat, taas serveris SLAVE, et sünkroonida mõlema Mediation Controller serveri ühine saladus:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Milleks on serveritevaheline ühendus?

See on klastri tööks mõeldud eriühendus, mis võimaldab Mediation Controller serveril suunata liiklust teisele Mediation Controller serverile juhul, kui sihtmärgiks olev Edge Gateway komponent pole ühendatud esimese serveriga, vaid ainult teisega.

Näiteks kui Mediation Controller server MASTER pole enam Edge Gateway komponendiga ühendatud, saab see kasutada serveritevahelist seost, et jõuda Edge Gateway komponendini Mediation Controller serveri SLAVE kaudu.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Ühendus katkes| GW(Edge Gateway)
    MASTER --> |Serveritevaheline ühendus| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Mediation Controller serveris MASTER

Redigeerige faili /etc/ipdiva/server/remoteServers.xml, et märkida serveritevahelise sertifikaadi CN:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Asendage SLAVECN serveritevaheliseks ühenduseks mõeldud sertifikaadi CN-iga.
Kui te ei tea serveritevahelise sertifikaadi CN-i, võib sisestada märgi * (soovitatav kahtluse korral):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Näide

Arvestades järgmist teavet:

  • Serveritevahelise sertifikaadi CN: my-interserver-cert

Mediation Controller serveri MASTER fail /etc/ipdiva/server/remoteServers.xml täidetakse järgmiselt:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Mediation Controller serveris SLAVE

Saatke serveritevaheline sertifikaat Mediation Controller serveri SLAVE kataloogi /tmp/.
Seejärel käivitage kasutajana root järgmised käsud, et teisaldada see sobivate lubadega sihtkataloogi:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Seejärel redigeerige faili /etc/ipdiva/server/remoteServers.xml, et lisada sildi <remoteConfig> sisse järgmine sisu (vana sildi <localCluster> võib täielikult kustutada):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Asendage:

  • MASTERCN: määrake Mediation Controller serveri MASTER SSL Router teenuse sertifikaadi CN, mis on tavaliselt RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: vastab Mediation Controller serveri MASTER teisesele IP-aadressile.
  • PORT_RIP_MED_SSL_MASTER: see on port, mida Mediation Controller serveri MASTER SSL Router teenus kuulab; tavaliselt on see 443.
  • INTERSERVER.P12: serveritevaheliseks ühenduseks mõeldud sertifikaadi nimi.
  • PASSWORD: serveritevahelise sertifikaadi parool.
Näide

Arvestades järgmist teavet:

  • Serveritevahelise sertifikaadi nimi: my-interserver-cert.p12
  • Serveritevahelise sertifikaadi parool: MySecurePassword
  • Mediation Controller serveri MASTER RIP SSL: 10.0.10.11
  • Mediation Controller serveri MASTER SSL RIP-i port: 443
  • Mediation Controller serveri MASTER sertifikaadi CN: 10.0.10.11

Mediation Controller serveri SLAVE fail /etc/ipdiva/server/remoteServers.xml täidetakse järgmiselt:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Muutke SSL Router teenuse SLAVE konfiguratsiooni, käivitades järgmise käsu:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Mediation Controller serverites MASTER ja SLAVE

Taaskäivitage SSL Router teenus, et rakendada serveritevahelise seose sätted:

1
/usr/local/ipdiva/server/bin/restart

Et kinnitada serveritevahelise seose nõuetekohast toimimist, peaks järgmine käsk tagastama tulemuse:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Eelmine käsk peaks looma logi, mis sisaldab järgmist: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Kui sellist logi ei kuvata, kontrollige selles peatükis seadistatud konfiguratsiooni.

Mediation Controller serveri MASTER veebikonsoolis /mediation/system

Lülitage kahe Mediation Controller serveri vaheline ühendus sisse, redigeerides SSL-i virtuaalhosti default:

Täitke erinevad väljad allolevate juhiste järgi ja lülitage serveritevahelise sidumise funktsioon sisse, märkides märkeruudu Is cross-server linking configured?:

  • Public address for plugin connections: vastab aadressile VIP_MED_SSL koos selle kuulamispordiga (tavaliselt 443).
  • Actual public IP addresses for web connections: vastab tegelike veebi-IP-aadresside paarile (RIP_MED_WEB_MASTER ja RIP_MED_WEB_SLAVE) koos nende vastavate portidega, üks rida iga IP-aadressi ja pordi paari kohta.
  • Actual public IP addresses for SSL connections: vastab tegelike SSL-IP-aadresside paarile (RIP_MED_SSL_MASTER ja RIP_MED_SSL_SLAVE) koos nende vastavate portidega, üks rida iga IP-aadressi ja pordi paari kohta.

CyberElements Bastion lahenduse spetsiifiliste komponentide installimine

Käivitage CyberElements Bastion komponentide installimine Mediation Controller serveritesse järgmise käsuga:

1
apt install -y ipdiva-safe-server

Installimise lõpuleviimiseks tuleb serverid taaskäivitada:

1
reboot

Ühenduse loomine PostgreSQL-andmebaasiga

Toimimiseks vajab CyberElements Bastion välist PostgreSQL-andmebaasi (DB), et talletada oma sätted ja konsooli /system mitmesugused logid.
Kui DB on Mediation Controller serveritest otse juurdepääsetav, liikuge otse DB initsialiseerimise etappi.

Ühenduse loomine kohtvõrgus asuva andmebaasiga

Et võimaldada ühendust kohtvõrgus asuva andmebaasiga ilma DMZ-ist kohtvõrku suunduvat voogu avamata, suunatakse andmebaasi voog Edge Gateway komponentide ja Mediation Controller serverite vahelise TLS-tunneli kaudu.
Selleks tuleb konfigureerida üks Edge Gateway komponent (või kaks Edge Gateway komponenti), kasutades selle aluseks olevat CyberElements Gate tehnoloogiat.

CyberElements Gate Edge Gateway komponentide deklareerimine

Selleks logige esmalt sisse toote CyberElements Gate konsooli /mediation/system.

Seejärel avage menüü „Organizations“ ja klõpsake „Add“:

Sisestage organisatsiooni nimi, mis peab erinema tootele CyberElements Bastion määratud nimest (näiteks tunnel), ja määrake vähemalt üks kasutajaseansi litsents koos konto admin parooliga:

Logige kontoga admin sisse varem loodud organisatsiooni haldusliidesesse, avades /gate/admin:

Seejärel deklareerige mõlemad Edge Gateway komponendid, mida kasutatakse tunneli seadistamiseks.
Viige kursor vasakul üksusele Infrastructure, klõpsake Gateways ja seejärel nuppu Add:

Sisestage esimese Edge Gateway komponendi nimi ja kinnitage sisestus:

Teave

Tuletame meelde, et Edge Gateway komponendi nimi on seotud sertifikaadiga, mida see kasutab enda autentimiseks Mediation Controller serveri SSL Router teenuses.
See nimi on kujul <GW_NAME>@<ORGANIZATION_NAME>, kus <GW_NAME> vastab Edge Gateway komponendi nimele ja <ORGANIZATION_NAME> vastab toote CyberElements Gate süsteemikonsoolis loodud organisatsiooni nimele.

Korrake Edge Gateway komponendi deklareerimise etappi teise Edge Gateway komponendi jaoks.

Tunneliühendused ja sätted Edge Gateway komponentides

Teave

Järgmisi samme saab korrata mõlemas Edge Gateway komponendis, mida kasutatakse tunnelis andmebaasile juurdepääsuks.

Eeltingimused

Selle osa lõpuleviimiseks peate kasutama kas:

Esmalt kasutage tööriista, näiteks WinSCP või FileZilla, et edastada ühenduseks vajalik sertifikaat SCP kaudu Edge Gateway serveri kataloogi /tmp/.

Seejärel looge SSH-ühendus ja lülituge kasutajale root.

Edge Gateway serveri ühendamiseks mõlema Mediation Controller serveriga peate looma kaks uut Edge Gateway eksemplari: üks loob ühenduse Mediation Controller serveriga MASTER, teine aga Mediation Controller serveriga SLAVE.
Nende loomiseks käivitage järgmised käsud:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Kopeerige sertifikaadifail kataloogidesse /etc/ipdiva/gateway-tunnel-master/ssl/ ja /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Asendage <CERT_NAME> selle sertifikaadi nimega, mida Edge Gateway komponent peab Mediation Controller serveriga ühenduse loomiseks kasutama.

Konfigureerige Edge Gateway eksemplarid nii, et need saaksid luua ühenduse Mediation Controller serveritega.
Konfiguratsioonid erinevad olenevalt sellest, millise Mediation Controller serveriga ühendust võetakse. Tehke mõlemad seadistused:

Redigeerige faili /etc/ipdiva/gateway-tunnel-master/gateway.xml ja täitke see järgmise teabe põhjal (mitu osa on välja jäetud ja tähistatud märgiga […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Asendage järgmised elemendid:

  • @SERVER@: tuleb asendada aadressiga RIP_MED_SSL_MASTER
  • @SERVERPORT@: tuleb asendada SSL Router teenuse kuulamispordiga, mis on tavaliselt 443
  • keyfile.pem: tuleb asendada sertifikaadifaili nimega
  • PASSWORD: tuleb asendada sertifikaadi parooliga
  • @RPC_PORT@: tuleb asendada pordiga, mida arvutis praegu ei kuulata; kasutada saab porti 9082
Näide

Arvestades järgmist teavet:

  • RIP_MED_SSL_MASTER on: 10.0.10.11
  • SSL Router teenuse kuulamisport: 443
  • Sertifikaadifaili nimi: gate-tunnel.p12
  • Sertifikaadi parool: Str0ngP@ssw0rd

Fail /etc/ipdiva/gateway-tunnel-master/gateway.xml konfigureeritakse järgmiselt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Redigeerige faili /etc/ipdiva/gateway-tunnel-slave/gateway.xml ja täitke see järgmise teabe põhjal (mitu osa on välja jäetud ja tähistatud märgiga […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Asendage järgmised elemendid:

  • @SERVER@: tuleb asendada aadressiga RIP_MED_SSL_SLAVE
  • @SERVERPORT@: tuleb asendada SSL Router teenuse kuulamispordiga, mis on tavaliselt 443
  • keyfile.pem: tuleb asendada sertifikaadifaili nimega
  • PASSWORD: tuleb asendada sertifikaadi parooliga
  • @RPC_PORT@: tuleb asendada pordiga, mis pole arvutis praegu kasutusel; kasutada saab porti 9083
Näide

Arvestades järgmist teavet:

  • RIP_MED_SSL_SLAVE on: 10.0.10.13
  • SSL Router teenuse kuulamisport: 443
  • Sertifikaadifaili nimi: gate-tunnel.p12
  • Sertifikaadi parool: Str0ngP@ssw0rd

Fail /etc/ipdiva/gateway-tunnel-slave/gateway.xml konfigureeritakse järgmiselt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Nüüd, kui eksemplarid on konfigureeritud Mediation Controller serveritega ühenduse loomiseks, tuleb need veel konfigureerida suunama Mediation Controller serveri ühendus andmebaasi.
Selleks redigeerige faili /etc/ipdiva/gateway-tunnel-master/services.xml ja muutke seda järgmiselt: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Asendage DB_SERVER andmebaasiga ühenduse loomiseks kasutatava DNS-nime või IP-aadressiga ja DB_PORT andmebaasi eksemplari kuulamispordiga.
Korrake neid sätteid Mediation Controller serveriga SLAVE ühenduva eksemplari jaoks, kopeerides faili:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Lõpuks käivitage Edge Gateway eksemplarid, et need looksid ühenduse Mediation Controller serveritega:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Mediation Controller serverite tunneli konfigureerimine

Selleks et Mediation Controller serverid saaksid tunnelit kasutada, tuleb veel deklareerida selle olemasolu.
Selleks logige kasutajana root sisse Mediation Controller serveritesse ja redigeerige faili /etc/ipdiva/server/services.xml, et lisada järgmine osa (mitu osa on välja jäetud ja tähistatud märgiga […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Asendage järgmised elemendid:

  • GW1_NAME esimese Edge Gateway komponendi nimega
  • GW2_NAME teise Edge Gateway komponendi nimega
  • ORGANIZATION_NAME varem loodud CyberElements Gate organisatsiooni nimega
Näide

Arvestades järgmist teavet:

  • Edge Gateway 1 komponendi nimi: gate-tunnel-1
  • Edge Gateway 2 komponendi nimi: gate-tunnel-2
  • CyberElements Gate organisatsiooni nimi: tunnel

Fail /etc/ipdiva/server/services.xml täidetakse järgmiselt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Täielik fail 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Uue konfiguratsiooni rakendamiseks taaskäivitage SSL Router teenus järgmise käsuga:

1
/usr/local/ipdiva/server/bin/restart

Andmebaasi initsialiseerimine

Tähelepanu!

Peate looma andmebaasi default enne, kui CyberElements Bastion selle lähtestab (seda ei looda automaatselt).

Süsteemikonfiguratsiooni PostgreSQL-andmebaasi lähtestamiseks peate esmalt konfigureerima ühendussätted Mediation Controller serverites.
Selleks redigeerige mõlemas serveris faili /etc/ipdiva/care/databasesettings.ini ja lisage järgmised kirjed:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Asendage järgmised elemendid:

  • DB_USERNAME andmebaasiga ühenduse loomiseks kasutatava kasutajanimega.
  • DB_PWD sisselogiva kasutaja parooliga.
  • DB_HOST andmebaasiga ühenduse loomiseks kasutatava IP-aadressi või DNS-nimega; kui kasutatakse ühendust Edge Gateway komponentide kaudu, tuleb sisestada 127.0.0.1.
  • DB_PORT andmebaasi eksemplariga ühenduse loomiseks kasutatava pordiga; kui kasutatakse ühendust Edge Gateway komponentide kaudu, tuleb sisestada 1432.

Andmebaasi lähtestamise saab käivitada järgmiste käskudega, mis tuleb käivitada ainult ühes Mediation Controller serveris:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Seejärel jääb üle vaid taaskäivitada teenus apache2 mõlemas Mediation Controller serveris, et süsteemiandmebaasi lähtestamine jõustuks:

1
systemctl restart apache2

Microsoft SQL-andmebaasidega ühenduse loomiseks vajalike draiverite installimine

Kui soovite luua ühenduse välise andmebaasiga ja see on Microsoft SQL Server, tuleb installida täiendavad ODBC-draiverid.

Saadaval on kaks versiooni: versioon 17 ja versioon 18.

Versiooni 18 draiverid nõuavad TLS-ühendust

ODBC 18 draiverite kasutamine eeldab, et ühendus on krüptitud TLS-iga. Selleks peate konfigureerima MS SQL Serveri ühenduse krüptimiseks.

Enne ODBC-draiverite installimise alustamist peate installima ettevalmistuseks vajalikud paketid ja seejärel valmistama Microsofti hoidla ette pakettide installimiseks:

1
2
3
4
apt install -y curl apt-transport-https gpg
curl -fsSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor -o /usr/share/keyrings/microsoft-prod.gpg
curl https://packages.microsoft.com/config/debian/12/prod.list > /etc/apt/sources.list.d/mssql-release.list
apt update

Seejärel installige draiverid vastavalt valitud versioonile ja konfigureerige süsteem kasutama käsku sqlcmd:

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql17 mssql-tools python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools/bin/sqlcmd /usr/bin/sqlcmd

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql18 mssql-tools18 python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools18/bin/sqlcmd /usr/bin/sqlcmd

ODBC-draiverid on nüüd õigesti installitud.
Kui Mediation Controller serveril on juurdepääs MS SQL-serverile, peaks järgmine käsk võimaldama ühenduse kaugserveriga: 

1
sqlcmd -S SERVER\INSTANCE_NAME,PORT -U USER

Kus:

  • SERVER tuleb asendada MS SQL-serveri DNS-nime või IP-aadressiga.
  • INSTANCE_NAME tuleb asendada selle eksemplari nimega, millega ühendus luuakse; kui see pole vajalik, eemaldage ka märk \.
  • PORT tuleb asendada MS SQL-andmebaasi eksemplari ühenduspordiga.
  • USER tuleb asendada kasutajanimega, millega ühendus luuakse.
Näited

Kui Mediation Controller serveril on juurdepääs MS SQL-andmebaasiserverile IP-aadressi 10.0.10.100 kaudu, sihteksemplar kuulab porti 1433 ja juurdepääsukonto on sql-user. Siis on ühenduse käsk järgmine:

1
sqlcmd -S 10.0.10.100,1433 -U sql-user

Kui oleks vaja määrata ühenduse eksemplar nimega MSSQLINSTANCE, muudetaks käsku järgmiselt:

1
sqlcmd -S 10.0.10.100\MSSQLINSTANCE,1433 -U sql-user

NTP-ajaserveri konfigureerimine

Süsteemi kella ajakohasena hoidmiseks on soovitatav seadistada ajaserver. Vajalikud toimingud on kirjeldatud NTP konfigureerimise lehel.

Algkonfiguratsioonid CyberElements Bastion lahenduses

Juurdepääsu autoriseerimine veebiliidestele virtuaalse IP-aadressiga

Vaikimisi ei ole lubatud luua ühendust toote CyberElements Bastion veebiliidestega virtuaalse IP-aadressi VIP_MED_WEB kaudu.
Autoriseerimise lisamiseks käivitage kasutajana root Mediation Controller serverites järgmised käsud:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Asendage IP IP-aadressiga, mis vastab aadressile VIP_MED_WEB.

Algkonfiguratsioonid

Selles etapis on Mediation Controller serverid installitud, kuid veel tuleb teha mitu toimingut:

  • Muutke vaikeparoolid

    Muutke süsteemikonsoolide vaikeparoolid.

    Muutke

  • Installige sertifikaadid ja litsentsid

    Mediation Controller komponent vajab töötamiseks mitmesuguseid sertifikaate ja litsentsi.
    Ainult CyberElements Bastion kliendi sertifikaat tuleb mõlemas Mediation Controller serveris uuesti deklareerida (kasutage RIP-aadresse RIP_MED_WEB_MASTER ja RIP_MED_WEB_SLAVE).

    Installige sertifikaadid ja litsents

  • Konfigureerige veebisertifikaat

    Konfigureerige veebisertifikaat, mida kasutatakse veebiliidestega ühenduse loomiseks

    Konfigureerige

  • Deklareerige DNS-nimi

    Lisage DNS-nimi, mis on lubatud veebiliidestega ühenduse loomiseks.

    Lisage

  • Konfigureerige organisatsioon

    Konfigureerige CyberElements Bastion organisatsioon.

    Konfigureerige otsejuurdepääsuga andmebaasile

    Konfigureerige juurdepääsuga andmebaasile Edge Gateway komponentide tunneli kaudu

  • Deklareerige Edge Gateway komponendid

    Deklareerige installitavad Edge Gateway või HTML5 Gateway komponendid (üks või mitu).

    Looge Edge Gateway komponendid

  • Looge loogiline site

    Looge ja konfigureerige loogiline site, mis koondab Edge Gateway ja HTML5 Gateway komponendid, millel on juurdepääs kohalikele ressurssidele.

    Looge site

  • Installige Edge Gateway komponent

    Installige ja konfigureerige uus Edge Gateway komponent äsja installitud Mediation Controller serveritega.
    Konfigureeritakse ka HTML5 Gateway eksemplar.

    Installige