Léim go dtí an t-ábhar

Suiteáil na bhfreastalaithe Mediation Controller

Nóta

Mar mheabhrúchán, ní mór aistriú go root ar ríomhairí Debian a dhéanamh leis an ordú seo a leanas:

1
su -

Ba cheart na treoracha ar an leathanach seo a dhéanamh ar an dá fhreastalaí Mediation Controller, ag tosú leis an bhfreastalaí MASTER ar dtús.
Nuair a bhíonn difríochtaí idir na freastalaithe MASTER agus SLAVE, cuirfear béim orthu. Mura luaitear é seo, baineann na treoracha leis na freastalaithe MASTER agus SLAVE araon.

An scáthán agus na huirlisí riachtanacha a íoslódáil

Is féidir scáthán CyberElements Cleanroom 4.6 agus eochair shínithe stór Systancia a íoslódáil ón nasc seo (ní mór cuntas custaiméara a chruthú): Systancia Marketplace

Chomh maith leis an scáthán agus leis an eochair, beidh uirlisí tríú páirtí ag teastáil don phróiseas uasghrádaithe:

  • Cliant SSH (ar Windows, is féidir leat PuTTY a úsáid)
  • Cliant SCP (ar Windows, is féidir na huirlisí WinSCP nó FileZilla a úsáid)

Úsáid an cliant SSH chun ceangal go cianda le d'fhreastalaí.

Úsáid an cliant SCP chun comhaid a aistriú chuig do chianríomhaire.

Ullmhú don tsuiteáil

Cumraíocht an líonra

Suiteáil an pacáiste resolvconf ionas gur féidir an chumraíocht DNS a shonraítear sa chomhad cumraíochta a athrófar go luath a chur i bhfeidhm:

1
apt install -y resolvconf

Tá sé riachtanach seoladh líonra statach a chumrú don chomhpháirt Mediation Controller. Chun é seo a dhéanamh, ní mór duit ar dtús ainm chomhéadan líonra do ríomhaire a fháil. Rith an t-ordú seo a leanas mar root:

1
ip -br a | grep -ve "^lo"

Taispeánann an t-ordú seo ainm an chomhéadain líonra, a stádas agus na seoltaí IP atá sannta don chomhéadan.

Sampla

Nuair a ritheann an t-ordú, taispeántar an t-aschur seo a leanas:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Is é ens192 ainm an chomhéadain líonra.

Nuair a bheidh ainm an chomhéadain líonra faighte, is féidir cumraíocht líonra an ríomhaire a chur in eagar.
Cuir an comhad /etc/network/interfaces in eagar chun é a athrú de réir an teimpléid seo a leanas:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Sa chás seo:

  • Ní mór ainm an chomhéadain líonra a fuarthas roimhe seo a chur in ionad INTERFACE_NAME.
  • Ní mór príomhfhíorsheoladh IP an fhreastalaí a chur in ionad RIP_MED_WEB_MASTER; is tríd an seoladh IP sin a bheidh rochtain ar na consóil ghréasáin.
  • Ní mór an masc líonra a bhaineann leis an seoladh IP a chur in ionad NETMASK.
  • Ní mór geata réamhshocraithe an líonra a chur in ionad NETWORK_GATEWAY.
  • Ní mór seoladh IP an fhreastalaí DNS a chur in ionad IP_DNS. Má tá roinnt freastalaithe le cumrú (3 ar a mhéad), scar iad le spás.
  • Ní mór an iarmhír DNS atá le húsáid a chur in ionad DNS_SUFFIX. Mura gá iarmhír a iontráil, scrios an líne.
  • Ní mór fíorsheoladh IP tánaisteach an fhreastalaí a chur in ionad RIP_MED_SSL_MASTER. Is tríd an seoladh IP sin a bheidh rochtain ar an gcomhpháirt SSL Router.
Sampla 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Ar deireadh, níl le déanamh ach an tseirbhís networking a atosú chun an chumraíocht líonra nua a lódáil: 

1
systemctl restart networking

Tá sé riachtanach seoladh líonra statach a chumrú don chomhpháirt Mediation Controller. Chun é seo a dhéanamh, ní mór duit ar dtús ainm chomhéadan líonra do ríomhaire a fháil. Rith an t-ordú seo a leanas mar root:

1
ip -br a | grep -ve "^lo"

Taispeánann an t-ordú seo ainm an chomhéadain líonra, a stádas agus na seoltaí IP atá sannta don chomhéadan.

Sampla

Nuair a ritheann an t-ordú, taispeántar an t-aschur seo a leanas:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Is é ens192 ainm an chomhéadain líonra.

Nuair a bheidh ainm an chomhéadain líonra faighte, is féidir cumraíocht líonra an ríomhaire a chur in eagar.
Cuir an comhad /etc/network/interfaces in eagar chun é a athrú de réir an teimpléid seo a leanas:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Sa chás seo:

  • Ní mór ainm an chomhéadain líonra a fuarthas roimhe seo a chur in ionad INTERFACE_NAME.
  • Ní mór príomhfhíorsheoladh IP an fhreastalaí a chur in ionad RIP_MED_WEB_SLAVE; is tríd an seoladh IP sin a bheidh rochtain ar na consóil ghréasáin.
  • Ní mór an masc líonra a bhaineann leis an seoladh IP a chur in ionad NETMASK.
  • Ní mór geata réamhshocraithe an líonra a chur in ionad NETWORK_GATEWAY.
  • Ní mór seoladh IP an fhreastalaí DNS a chur in ionad IP_DNS. Má tá roinnt freastalaithe le cumrú (3 ar a mhéad), scar iad le spás.
  • Ní mór an iarmhír DNS atá le húsáid a chur in ionad DNS_SUFFIX. Mura gá iarmhír a iontráil, scrios an líne.
  • Ní mór fíorsheoladh IP tánaisteach an fhreastalaí a chur in ionad RIP_MED_SSL_SLAVE. Is tríd an seoladh IP sin a bheidh rochtain ar an gcomhpháirt SSL Router.
Sampla 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Ar deireadh, níl le déanamh ach an tseirbhís networking a atosú chun an chumraíocht líonra nua a lódáil: 

1
systemctl restart networking

Tá céim dheireanach amháin fágtha: athraigh réiteach ainmneacha inmheánach an ríomhaire ionas go réiteoidh sé a phríomhsheoladh IP iarbhír (a fhreagraíonn do RIP_MED_WEB_MASTER nó RIP_MED_WEB_SLAVE).
Chun é sin a dhéanamh, cuir an comhad /etc/hosts in eagar agus cuir RIP_MED_WEB_MASTER nó RIP_MED_WEB_SLAVE in ionad 127.0.1.1, ag brath ar an bhfreastalaí Mediation Controller.

Sampla

I gcás freastalaí Mediation Controller arb é 10.0.10.10 a sheoladh IP iarbhír gréasáin agus arb é mediation-controller.domain.local a ainm, beidh an luach seo a leanas ag an gcomhad /etc/hosts:

1
2
127.0.0.1       localhost
10.0.10.10      mediation-controller.domain.local   mediation-controller

Aire!

D'fhéadfadh cumraíocht mhícheart an chomhaid earráid a chruthú agus an pacáiste collectd á shuiteáil.

An bainisteoir pacáistí APT a chumrú

Uaslódáil na comhaid a íoslódáladh ó Systancia Marketplace chuig an gcomhadlann /tmp/ ar an bhfreastalaí le cliant SCP:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Logáil isteach ar an bhfreastalaí mar root, ansin rith na horduithe seo a leanas chun stór Systancia a dhízipeáil, a úsáid in APT a chumrú agus é a fhíordheimhniú.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Molaimid go láidir suiteáil pacáistí neamhriachtanacha a dhíchumasú nuair a ritheann tú orduithe apt. Chun é sin a dhéanamh, rith an t-ordú seo a leanas:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Láithreacht an logchaighdeáin en_US.utf8 a sheiceáil

Chun an freastalaí Mediation Controller a shuiteáil, ní mór logchaighdeáin en_US.utf8 a ghiniúint.
Chun a sheiceáil an bhfuil siad ginte cheana ar an bhfreastalaí, rith an t-ordú seo a leanas mar root:

1
locale -a  | grep en_US.utf8

Má thaispeánann aschur an ordaithe en_US.utf8, téigh ar aghaidh chuig an gcéad chéim eile, cumraíocht GRUB.
Mura dtaispeánann, rith na horduithe seo a leanas chun an logchaighdeán seo a chur leis an ríomhaire:

1
2
sed -i "s/# en_US.UTF-8 UTF-8/en_US.UTF-8 UTF-8/" /etc/locale.gen
locale-gen

An ríomhchlár tosaithe GRUB a chumrú

Nuair a bheidh na horduithe seo rite, ní mór duit an ríomhaire a atosú tar éis socrú a chur i bhfeidhm sa ríomhchlár tosaithe GRUB:

1
2
3
sed '9s/quiet/quiet vsyscall=emulate/' -i /etc/default/grub
update-grub
reboot

Suiteáil an fhreastalaí Mediation Controller de chuid CyberElements Bastion

Suiteáil na mbunchomhpháirteanna

Tosaigh ag suiteáil na gcomhpháirteanna leis an ordú seo a leanas mar root:

1
apt install -y ipdiva-base

Tar éis na spleáchais go léir a íoslódáil, osclófar fuinneog ag iarraidh ort cineál an fhreastalaí a roghnú. Roghnaigh mediation:

Ansin roghnaigh an mód suiteála lbMaster:

Ansin roghnaigh an mód suiteála lbSlave:

Ansin beidh ort an port ar a n-éistfidh an ródaire SSL a iontráil. De ghnáth socraítear an port éisteachta seo ar 443, ach is féidir an port 8443 a úsáid freisin mura n-úsáideann an freastalaí Mediation Controller ach seoladh IP amháin:

Ansin socraigh an mód Cluster ar loadbalancing ionas go ndáilfear ualach na n-úsáideoirí ar an dá fhreastalaí Mediation Controller:

Sonraigh seoladh IP fíorúil gréasáin na braisle, VIP_MED_WEB:

Iontráil seoladh IP fíorúil SSL na braisle, VIP_MED_SSL:

Iontráil an seoladh IP fíorúil do bhunachar sonraí cumraíochta na braisle, VIP_MED_ZEO:

Iontráil seoladh IP iarbhír gréasáin an fhreastalaí Mediation Controller MASTER, RIP_MED_WEB_MASTER:

Iontráil seoladh IP iarbhír SSL an fhreastalaí Mediation Controller MASTER, RIP_MED_SSL_MASTER:

Iontráil seoladh IP iarbhír gréasáin an fhreastalaí Mediation Controller SLAVE, RIP_MED_WEB_SLAVE:

Ar deireadh, iontráil seoladh IP iarbhír SSL an fhreastalaí Mediation Controller SLAVE, RIP_MED_SSL_SLAVE:

Cad ba cheart dom a dhéanamh má tá earráid ann?

Má tá earráid san fhaisnéis a d'iontráil tú, lean ar aghaidh ag suiteáil an phacáiste ipdiva-base agus ansin úsáid an t-ordú seo a leanas chun an freastalaí a athchumrú:

1
dpkg-reconfigure ipdiva-base

Suiteáil na gcomhpháirteanna Cluster

Tar éis duit na bunchomhpháirteanna a shuiteáil, ní mór na comhpháirteanna Cluster a shuiteáil ar na freastalaithe Mediation Controller:

1
apt install -y ipdiva-mediation-cluster

Tar éis duit na comhpháirteanna a shuiteáil, ní mór atosú:

1
reboot

Cumraíocht na braisle

Pasfhocal an chonsóil /mediation/system de chuid CyberElements Gate a athrú

Ag an gcéim seo den tsuiteáil, tá comhéadan riaracháin nua ar fáil: Athraigh an pasfhocal

Ceadúnais agus deimhnithe a chur i bhfeidhm

Fós sa chonsól /mediation/system, beidh ort deimhnithe agus ceadúnais an fhreastalaí Mediation Controller a iontráil.

Aire!

Tá ceadúnas agus deimhniú na comhpháirte SSL Router sainiúil don fhreastalaí Mediation Controller MASTER nó SLAVE.
Má chumraítear an ceadúnas mícheart nó an deimhniú mícheart, beidh mífheidhmeanna ann níos déanaí.

Cuir ceadúnas agus deimhniú na comhpháirte SSL Router i bhfeidhm:

  1. Cliceáil an cluaisín Settings.
  2. Roghnaigh SSL Connections sa roghchlár.
  3. Cuardaigh an deimhniú don chomhpháirt SSL Router.
  4. Iontráil an pasfhocal don deimhniú SSL Router.
  5. Cliceáil Apply chun an deimhniú a chur i bhfeidhm ar an gcomhpháirt SSL Router.
  6. Roghnaigh comhad ceadúnais an fhreastalaí.
  7. Cliceáil Modify chun ceadúnas an fhreastalaí a chur i bhfeidhm.

Ansin, iontráil faisnéis an deimhnithe don chliant CyberElements Bastion:

  1. Roghnaigh an cluaisín Plugin.
  2. Cuardaigh deimhniú an chliaint CyberElements Bastion.
  3. Iontráil pasfhocal an deimhnithe.
  4. Cliceáil Apply chun an deimhniú a chur i bhfeidhm.

Ní mór duit fós faisnéis an deimhnithe Watchdog a iontráil:

  1. Roghnaigh an cluaisín Watchdog
  2. Cuardaigh an deimhniú Watchdog.
  3. Iontráil pasfhocal an deimhnithe.
  4. Cliceáil Apply chun an deimhniú a chur i bhfeidhm.

Chun go dtiocfaidh na hathruithe seo i bhfeidhm, ní mór duit na comhpháirteanna SSL Router agus Watchdog a atosú:

Péireáil na bhfreastalaithe Mediation Controller

Aire!

Faoin bpointe seo, ní mór an dá fhreastalaí Mediation Controller a bheith cumraithe go dtí an chéim ceadúnais agus deimhnithe a chur i bhfeidhm.
Mura bhfuil an freastalaí Mediation Controller SLAVE cumraithe fós, déan é sin trí thosú ag tús na doiciméadachta seo.

Bunóidh céim phéireála na bhfreastalaithe Mediation Controller caidreamh iontaobhais idir an dá fhreastalaí agus túsóidh sí oibriú na braisle.

Ar an bhfreastalaí Mediation Controller SLAVE

Rith an t-ordú seo a leanas mar root chun iarratas péireála a thionscnamh leis an bhfreastalaí Mediation Controller MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Cuir an seoladh IP cuí in ionad RIP_MED_WEB_MASTER.

Sampla

Más ionann RIP_MED_WEB_MASTER agus 10.0.10.10, seo a leanas an t-ordú atá le hiontráil:

1
hostManagerCtl bootstrap 10.0.10.10

Ar an bhfreastalaí Mediation Controller MASTER

Rith an t-ordú seo a leanas mar root chun na hiarratais phéireála atá ar feitheamh a sheiceáil agus aitheantas an iarratais a fháil: 

1
hostManagerCtl getPendingRequests

Ansin, rith an t-ordú seo a leanas chun glacadh leis an iarratas péireála, agus cuir an t-aitheantas a fuarthas ón ordú roimhe seo in ionad ID:

1
hostManagerCtl acceptRequest ID
Sampla

Más mar seo a leanas atá luach aischuir an ordaithe hostManagerCtl getPendingRequests:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Seo a leanas, mar sin, an t-ordú chun glacadh leis an iarratas péireála:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Chun an comhcheangal a fhíorú, úsáid an t-ordú seo a leanas ar an bhfreastalaí Mediation Controller (MASTER nó SLAVE):

1
hostManagerCtl listPeers

Beidh an toradh difriúil ag brath ar an bhfreastalaí ar a ritear an t-ordú:

Seo a leanas an toradh a bhfuiltear ag súil leis ar an bhfreastalaí Mediation Controller MASTER:

1
slave -> RIP_MED_WEB_SLAVE
Sampla 
1
slave -> 10.0.10.12

Seo a leanas an toradh a bhfuiltear ag súil leis ar an bhfreastalaí Mediation Controller SLAVE:

1
master -> RIP_MED_WEB_MASTER
Sampla 
1
master -> 10.0.10.10

Ar an bhfreastalaí Mediation Controller SLAVE

Is féidir leat stádas bootstrap a sheiceáil ón bhfreastalaí SLAVE leis an ordú seo a leanas:

1
hostManagerCtl getBootstrapStatus

Má tá braisle saor ó fhadhbanna sioncrónaithe, cuirfidh sí an luach 0 ar ais.

Tá sraith dheireanach orduithe ag teastáil, arís ar an bhfreastalaí SLAVE, chun rún comhroinnte idir an dá chomhpháirt Mediation Controller a shioncrónú:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Cad é cuspóir an cheangail idir freastalaithe?

Is ceangal speisialta é seo d'oibriú braisle a ligeann d'fhreastalaí Mediation Controller trácht a ródú chuig freastalaí Mediation Controller eile i gcásanna nach bhfuil an chomhpháirt Edge Gateway sprice ceangailte leis an gcéad fhreastalaí ach leis an dara ceann amháin.

Mar shampla, mura bhfuil an freastalaí Mediation Controller MASTER ceangailte leis an gcomhpháirt Edge Gateway a thuilleadh, is féidir leis an ceangal idir freastalaithe a úsáid chun teacht ar an gcomhpháirt Edge Gateway tríd an bhfreastalaí Mediation Controller SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Cailleadh an ceangal| GW(Edge Gateway)
    MASTER --> |Ceangal idir freastalaithe| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Ar an bhfreastalaí Mediation Controller MASTER

Cuir an comhad /etc/ipdiva/server/remoteServers.xml in eagar chun CN an deimhnithe idir freastalaithe a shonrú:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Cuir CN an deimhnithe atá beartaithe don cheangal idir freastalaithe in ionad SLAVECN.
Mura bhfuil CN an deimhnithe idir freastalaithe ar eolas agat, is féidir an carachtar * a iontráil (moltar é seo má tá amhras ort):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Sampla

Ag cur na faisnéise seo a leanas san áireamh:

  • CN an deimhnithe idir freastalaithe: my-interserver-cert

Chomhlánófaí an comhad /etc/ipdiva/server/remoteServers.xml ar an bhfreastalaí Mediation Controller MASTER mar seo a leanas:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Comhad iomlán 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Ar an bhfreastalaí Mediation Controller SLAVE

Seol an deimhniú idir freastalaithe chuig an gcomhpháirt Mediation Controller SLAVE, sa chomhadlann /tmp/.
Ansin, rith na horduithe seo a leanas mar root chun é a bhogadh chuig an sprioc-chomhadlann leis na ceadanna cuí:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Ansin, cuir an comhad /etc/ipdiva/server/remoteServers.xml in eagar chun an t-ábhar seo a leanas a chur leis an gclib <remoteConfig> (is féidir an chlib <localCluster> a bhí ann roimhe a scriosadh go hiomlán):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Ionadaigh:

  • MASTERCN: sonraigh CN an deimhnithe SSL Router atá ag an gcomhpháirt Mediation Controller MASTER; is é RIP_MED_SSL_MASTER é de ghnáth.
  • RIP_MED_SSL_MASTER: freagraíonn sé do sheoladh IP tánaisteach na comhpháirte Mediation Controller MASTER.
  • PORT_RIP_MED_SSL_MASTER: is é seo port éisteachta na comhpháirte SSL Router ar an gcomhpháirt Mediation Controller MASTER; is é 443 é de ghnáth.
  • INTERSERVER.P12: ainm an deimhnithe atá beartaithe don cheangal idir freastalaithe.
  • PASSWORD: pasfhocal an deimhnithe idir freastalaithe.
Sampla

Ag cur na faisnéise seo a leanas san áireamh:

  • Ainm an deimhnithe idir freastalaithe: my-interserver-cert.p12
  • Pasfhocal an deimhnithe idir freastalaithe: MySecurePassword
  • RIP SSL na comhpháirte Mediation Controller MASTER: 10.0.10.11
  • Port ar RIP SSL na comhpháirte Mediation Controller MASTER: 443
  • CN an deimhnithe atá ag an gcomhpháirt Mediation Controller MASTER: 10.0.10.11

Chomhlánófaí an comhad /etc/ipdiva/server/remoteServers.xml ar an bhfreastalaí Mediation Controller SLAVE mar seo a leanas:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Comhad iomlán 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Athraigh cumraíocht na comhpháirte SSL Router SLAVE tríd an ordú seo a leanas a rith:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Ar na freastalaithe Mediation Controller MASTER agus SLAVE

Atosaigh an chomhpháirt SSL Router chun socruithe an cheangail idir freastalaithe a chur i bhfeidhm:

1
/usr/local/ipdiva/server/bin/restart

Chun a dheimhniú go bhfuil an ceangal idir freastalaithe ag obair i gceart, ba cheart don ordú seo a leanas toradh a thabhairt ar ais:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Ba cheart don ordú roimhe seo loga a chruthú ina bhfuil an méid seo a leanas: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Mura dtaispeántar a leithéid de loga, seiceáil an chumraíocht a socraíodh sa chaibidil seo.

Sa chonsól gréasáin /mediation/system den chomhpháirt Mediation Controller MASTER

Cumasaigh an ceangal idir freastalaithe idir an dá chomhpháirt Mediation Controller tríd an óstach fíorúil SSL default a chur in eagar:

Líon isteach na réimsí éagsúla de réir na dtreoracha thíos agus cumasaigh an ghné nasctha idir freastalaithe tríd an ticbhosca Is cross-server linking configured? a roghnú:

  • Public address for plugin connections: freagraíonn sé do VIP_MED_SSL agus a phort éisteachta ina dhiaidh (443 de ghnáth).
  • Actual public IP addresses for web connections: freagraíonn sé don phéire fíorsheoltaí IP gréasáin (RIP_MED_WEB_MASTER agus RIP_MED_WEB_SLAVE) mar aon lena bportanna comhfhreagracha, líne amháin in aghaidh gach péire seoladh IP agus poirt.
  • Actual public IP addresses for SSL connections: freagraíonn sé don phéire fíorsheoltaí IP SSL (RIP_MED_SSL_MASTER agus RIP_MED_SSL_SLAVE) mar aon lena bportanna comhfhreagracha, líne amháin in aghaidh gach péire seoladh IP agus poirt.

Suiteáil na gcomhpháirteanna a bhaineann go sonrach le CyberElements Bastion

Tosaigh ag suiteáil comhpháirteanna CyberElements Bastion ar na freastalaithe Mediation Controller leis an ordú seo a leanas:

1
apt install -y ipdiva-safe-server

Ní mór na freastalaithe a atosú chun an tsuiteáil a chríochnú:

1
reboot

Ceangal leis an mbunachar sonraí PostgreSQL

Le go bhfeidhmeoidh sé, teastaíonn bunachar sonraí PostgreSQL seachtrach (DB) ó CyberElements Bastion chun a shocruithe agus a logaí éagsúla a stóráil sa chonsól /system.
Má tá rochtain dhíreach ar an DB ó na freastalaithe Mediation Controller, téigh díreach chuig an chéim chun an DB a thúsú.

Ceangal le bunachar sonraí ar an LAN

Chun ceangal le bunachar sonraí atá ar an LAN a chumasú gan sreabhadh ón DMZ go dtí an LAN a oscailt, atreorófar sreabhadh an bhunachair sonraí trí thollán TLS idir na comhpháirteanna Edge Gateway agus na comhpháirteanna Mediation Controller.
Chuige sin, ní mór comhpháirt Edge Gateway amháin (nó dhá chomhpháirt Edge Gateway) a chumrú leis an teicneolaíocht bhunúsach CyberElements Gate.

Fógairt na gcomhpháirteanna Edge Gateway de chuid CyberElements Gate

Chun é seo a dhéanamh, tosaigh trí logáil isteach sa chonsól /mediation/system in CyberElements Gate.

Ansin téigh go dtí an roghchlár “Organizations” agus cliceáil “Add”:

Iontráil ainm na heagraíochta, a chaithfidh a bheith difriúil ón ainm a sannadh do CyberElements Bastion (mar shampla, tunnel), agus sonraigh ceadúnas seisiúin úsáideora amháin ar a laghad mar aon le pasfhocal an chuntais admin:

Logáil isteach i gcomhéadan riaracháin na heagraíochta a chruthaigh tú níos luaithe leis an gcuntas admin trí dhul go /gate/admin:

Ansin, cláraigh an dá chomhpháirt Edge Gateway a úsáidfear chun an tollán a bhunú.
Ar chlé, cuir an pointeoir ar foluain os cionn Infrastructure, cliceáil Gateways agus ansin cliceáil an cnaipe Add:

Iontráil ainm na chéad chomhpháirte Edge Gateway agus deimhnigh an iontráil:

Faisnéis

Mar mheabhrúchán, tá ainm comhpháirte Edge Gateway nasctha leis an deimhniú a úsáidfidh sí chun í féin a fhíordheimhniú le seirbhís SSL Router na comhpháirte Mediation Controller.
Is san fhoirm seo a leanas atá an t-ainm seo <GW_NAME>@<ORGANIZATION_NAME>, áit a bhfreagraíonn <GW_NAME> d'ainm na comhpháirte Edge Gateway agus a bhfreagraíonn <ORGANIZATION_NAME> d'ainm na heagraíochta a cruthaíodh i gconsól córais CyberElements Gate.

Déan céim chlárúcháin na comhpháirte Edge Gateway arís don dara comhpháirt Edge Gateway.

Ceangail agus socruithe an tolláin ar na comhpháirteanna Edge Gateway

Faisnéis

Is féidir na céimeanna seo a leanas a dhéanamh ar an dá chomhpháirt Edge Gateway a úsáidtear don tollán chun rochtain a fháil ar an mbunachar sonraí.

Réamhriachtanais

Chun an chuid seo a chríochnú, beidh ort ceann amháin díobh seo a úsáid:

Ar dtús, úsáid uirlis ar nós WinSCP nó FileZilla chun an deimhniú atá ag teastáil don cheangal a aistriú trí SCP chuig an gcomhadlann /tmp/ ar an bhfreastalaí Edge Gateway.

Ansin ceangail trí SSH agus aistrigh go root.

Chun an chomhpháirt Edge Gateway a cheangal leis an dá chomhpháirt Mediation Controller, ní mór duit dhá chás nua Edge Gateway a chruthú: ceanglóidh ceann acu leis an gcomhpháirt Mediation Controller MASTER, agus ceanglóidh an ceann eile leis an gcomhpháirt Mediation Controller SLAVE.
Chun iad a chruthú, rith na horduithe seo a leanas:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Cóipeáil comhad an deimhnithe chuig na comhadlanna /etc/ipdiva/gateway-tunnel-master/ssl/ agus /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Cuir ainm an deimhnithe nach mór don chomhpháirt Edge Gateway a úsáid chun ceangal leis an gcomhpháirt Mediation Controller in ionad <CERT_NAME>.

Cumraigh na cásanna Edge Gateway ionas gur féidir leo ceangal leis na comhpháirteanna Mediation Controller.
Bíonn na cumraíochtaí difriúil ag brath ar an gcomhpháirt Mediation Controller atá le teagmháil. Déan an dá shocrú:

Cuir an comhad /etc/ipdiva/gateway-tunnel-master/gateway.xml in eagar agus comhlánaigh é leis an bhfaisnéis seo a leanas (fágadh roinnt codanna ar lár agus tá siad léirithe le […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Athchuir na heilimintí seo a leanas:

  • @SERVER@: ní mór an seoladh RIP_MED_SSL_MASTER a chur ina ionad
  • @SERVERPORT@: ní mór port éisteachta na comhpháirte SSL Router a chur ina ionad, 443 de ghnáth
  • keyfile.pem: ní mór ainm an chomhaid deimhnithe a chur ina ionad
  • PASSWORD: ní mór pasfhocal an deimhnithe a chur ina ionad
  • @RPC_PORT@: ní mór port nach bhfuil ag éisteacht ar an ríomhaire faoi láthair a chur ina ionad; is féidir an port 9082 a úsáid
Sampla

Ag cur na faisnéise seo a leanas san áireamh:

  • Luach RIP_MED_SSL_MASTER: 10.0.10.11
  • Port éisteachta na comhpháirte SSL Router: 443
  • Ainm an chomhaid deimhnithe: gate-tunnel.p12
  • Pasfhocal an deimhnithe: Str0ngP@ssw0rd

Chumrófaí an comhad /etc/ipdiva/gateway-tunnel-master/gateway.xml mar seo a leanas:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Comhad iomlán 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Cuir an comhad /etc/ipdiva/gateway-tunnel-slave/gateway.xml in eagar agus comhlánaigh é leis an bhfaisnéis seo a leanas (fágadh roinnt codanna ar lár agus tá siad léirithe le […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Athchuir na heilimintí seo a leanas:

  • @SERVER@: ní mór an seoladh RIP_MED_SSL_SLAVE a chur ina ionad
  • @SERVERPORT@: ní mór port éisteachta na comhpháirte SSL Router a chur ina ionad, 443 de ghnáth
  • keyfile.pem: ní mór ainm an chomhaid deimhnithe a chur ina ionad
  • PASSWORD: ní mór pasfhocal an deimhnithe a chur ina ionad
  • @RPC_PORT@: ní mór port nach bhfuil in úsáid ar an ríomhaire faoi láthair a chur ina ionad; is féidir an port 9083 a úsáid
Sampla

Ag cur na faisnéise seo a leanas san áireamh:

  • Luach RIP_MED_SSL_SLAVE: 10.0.10.13
  • Port éisteachta na comhpháirte SSL Router: 443
  • Ainm an chomhaid deimhnithe: gate-tunnel.p12
  • Pasfhocal an deimhnithe: Str0ngP@ssw0rd

Chumrófaí an comhad /etc/ipdiva/gateway-tunnel-slave/gateway.xml mar seo a leanas:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Comhad iomlán 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Anois agus na cásanna cumraithe chun ceangal leis na comhpháirteanna Mediation Controller, ní mór iad a chumrú fós chun ceangal na comhpháirte Mediation Controller leis an mbunachar sonraí a atreorú.
Chun é seo a dhéanamh, cuir an comhad /etc/ipdiva/gateway-tunnel-master/services.xml in eagar agus athraigh é mar seo a leanas: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Cuir an t-ainm DNS nó an seoladh IP a úsáidtear chun ceangal leis an mbunachar sonraí in ionad DB_SERVER, agus port éisteachta chás an bhunachair sonraí in ionad DB_PORT.
Déan na socruithe seo a mhacasamhlú don chás a cheanglaíonn leis an bhfreastalaí Mediation Controller SLAVE tríd an gcomhad a chóipeáil:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Ar deireadh, tosaigh na cásanna Edge Gateway ionas go mbunóidh siad ceangal leis na comhpháirteanna Mediation Controller:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Tollán na gcomhpháirteanna Mediation Controller a chumrú

Chun gur féidir leis na comhpháirteanna Mediation Controller an tollán a úsáid, ní mór duit fós a chur in iúl dóibh go bhfuil sé ann.
Chun é seo a dhéanamh, logáil isteach mar root ar na comhpháirteanna Mediation Controller agus cuir an comhad /etc/ipdiva/server/services.xml in eagar chun an chuid seo a leanas a chur leis (fágadh roinnt codanna ar lár agus tá siad marcáilte le […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Athchuir na heilimintí seo a leanas:

  • GW1_NAME le hainm na chéad chomhpháirte Edge Gateway
  • GW2_NAME le hainm na dara comhpháirte Edge Gateway
  • ORGANIZATION_NAME le hainm na heagraíochta CyberElements Gate a cruthaíodh roimhe seo
Sampla

Ag cur na faisnéise seo a leanas san áireamh:

  • Ainm na comhpháirte Edge Gateway 1: gate-tunnel-1
  • Ainm na comhpháirte Edge Gateway 2: gate-tunnel-2
  • Ainm na heagraíochta CyberElements Gate: tunnel

Chomhlánófaí an comhad /etc/ipdiva/server/services.xml mar seo a leanas:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Comhad iomlán 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Chun an chumraíocht nua a chur i bhfeidhm, atosaigh an chomhpháirt SSL Router leis an ordú seo a leanas:

1
/usr/local/ipdiva/server/bin/restart

An bunachar sonraí a thúsú

Aire!

Ní mór duit an bunachar sonraí default a chruthú sula dtúsaíonn CyberElements Bastion é (ní chruthaítear go huathoibríoch é).

Chun bunachar sonraí PostgreSQL do chumraíocht an chórais a thúsú, ní mór duit ar dtús na socruithe ceangail a chumrú ar na comhpháirteanna Mediation Controller.
Chun é seo a dhéanamh, cuir an comhad /etc/ipdiva/care/databasesettings.ini in eagar ar an dá fhreastalaí agus cuir na hiontrálacha seo a leanas leis:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Athchuir na heilimintí seo a leanas:

  • DB_USERNAME leis an ainm úsáideora a úsáidtear chun ceangal leis an mbunachar sonraí.
  • DB_PWD le pasfhocal an úsáideora a bhíonn ag logáil isteach.
  • DB_HOST leis an seoladh IP nó leis an ainm DNS a úsáidtear chun ceangal leis an mbunachar sonraí; má úsáidtear ceangal trí chomhpháirteanna Edge Gateway, beidh ort 127.0.0.1 a iontráil.
  • DB_PORT leis an bport a úsáidtear chun ceangal le cás an bhunachair sonraí; má úsáidtear ceangal trí chomhpháirteanna Edge Gateway, beidh ort 1432 a iontráil.

Is féidir túsú an bhunachair sonraí a thosú leis na horduithe seo a leanas, atá le rith ar chomhpháirt Mediation Controller amháin:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Ina dhiaidh sin, níl le déanamh ach an tseirbhís apache2 a atosú ar an dá chomhpháirt Mediation Controller chun túsú an bhunachair sonraí córais a chur i bhfeidhm:

1
systemctl restart apache2

Suiteáil na dtiománaithe chun ceangal le bunachair sonraí Microsoft SQL

Más mian leat ceangal le bunachar sonraí seachtrach agus más Microsoft SQL Server atá ann, ní mór tiománaithe ODBC breise a shuiteáil.

Tá dhá leagan ar fáil: leagan 17 agus leagan 18.

Ceangal TLS ag teastáil do thiománaithe leagan 18

Má úsáidtear tiománaithe ODBC 18, ní mór an ceangal a chriptiú le TLS. Chun é seo a dhéanamh, ní mór duit MS SQL Server a chumrú le haghaidh criptiú ceangail.

Sula dtosaíonn tú ag suiteáil na dtiománaithe ODBC, ní mór duit na pacáistí atá riachtanach don ullmhúchán a shuiteáil, ansin stór Microsoft a ullmhú le haghaidh suiteáil na bpacáistí:

1
2
3
4
apt install -y curl apt-transport-https gpg
curl -fsSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor -o /usr/share/keyrings/microsoft-prod.gpg
curl https://packages.microsoft.com/config/debian/12/prod.list > /etc/apt/sources.list.d/mssql-release.list
apt update

Ansin, suiteáil na tiománaithe de réir an leagain a roghnaíodh agus cumraigh an córas chun an t-ordú sqlcmd a úsáid:

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql17 mssql-tools python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools/bin/sqlcmd /usr/bin/sqlcmd

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql18 mssql-tools18 python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools18/bin/sqlcmd /usr/bin/sqlcmd

Tá na tiománaithe ODBC suiteáilte i gceart anois.
Má tá rochtain ag an bhfreastalaí Mediation Controller ar fhreastalaí MS SQL, ba cheart go gceadódh an t-ordú seo a leanas an ceangal leis an gcianfhreastalaí: 

1
sqlcmd -S SERVER\INSTANCE_NAME,PORT -U USER

Sa chás seo:

  • Ní mór ainm DNS nó seoladh IP an fhreastalaí MS SQL a chur in ionad SERVER.
  • Ní mór ainm an cháis lena gceanglófar a chur in ionad INSTANCE_NAME; mura gá é, bain an carachtar \ freisin.
  • Ní mór an port ceangail le cás an bhunachair sonraí MS SQL a chur in ionad PORT.
  • Ní mór an t-ainm úsáideora chun an ceangal a bhunú a chur in ionad USER.
Samplaí

Má tá rochtain ag an bhfreastalaí Mediation Controller ar fhreastalaí bunachar sonraí MS SQL tríd an seoladh IP 10.0.10.100, má tá an cás atá le rochtain ag éisteacht ar an bport 1433, agus más é sql-user an cuntas rochtana, seo a leanas an t-ordú ceangail:

1
sqlcmd -S 10.0.10.100,1433 -U sql-user

Dá mba ghá an cás ceangail darb ainm MSSQLINSTANCE a shonrú, d'athrófaí an t-ordú mar seo a leanas:

1
sqlcmd -S 10.0.10.100\MSSQLINSTANCE,1433 -U sql-user

Freastalaí ama NTP a chumrú

Moltar freastalaí ama a shocrú chun clog an chórais a choinneáil cothrom le dáta. Tá cur síos ar na céimeanna riachtanacha ar an leathanach cumraíochta NTP.

Cumraíochtaí tosaigh ar CyberElements Bastion

Údarú rochtana ar na comhéadain ghréasáin leis an seoladh IP fíorúil

De réir réamhshocraithe, ní cheadaítear ceangal le comhéadain ghréasáin an táirge CyberElements Bastion leis an IP fíorúil VIP_MED_WEB.
Chun an t-údarú a chur leis, rith na horduithe seo a leanas mar root ar na comhpháirteanna Mediation Controller:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Cuir an seoladh IP a fhreagraíonn do VIP_MED_WEB in ionad IP.

Cumraíochtaí tosaigh

Ag an gcéim seo, tá na freastalaithe Mediation Controller suiteáilte, ach tá roinnt gníomhartha le déanamh fós:

  • Athraigh na pasfhocail réamhshocraithe

    Athraigh pasfhocail réamhshocraithe na gconsól córais.

    Athraigh

  • Suiteáil deimhnithe agus ceadúnais

    Teastaíonn deimhnithe éagsúla agus ceadúnas ón gcomhpháirt Mediation Controller chun a bheith in ordú oibre.
    Ní gá ach deimhniú an chliaint CyberElements Bastion a athfhógairt ar an dá chomhpháirt Mediation Controller (úsáid na RIP RIP_MED_WEB_MASTER agus RIP_MED_WEB_SLAVE).

    Suiteáil deimhnithe agus ceadúnas

  • Cumraigh an deimhniú gréasáin

    Cumraigh an deimhniú gréasáin a úsáidtear chun ceangal leis na comhéadain ghréasáin

    Cumraigh

  • Fógair ainm DNS

    Cuir leis ainm DNS atá údaraithe chun ceangal leis na comhéadain ghréasáin.

    Cuir leis

  • Cumraigh an eagraíocht

    Cumraigh eagraíocht CyberElements Bastion.

    Cumraigh le rochtain dhíreach ar an mbunachar sonraí

    Cumraigh le rochtain ar an mbunachar sonraí trí thollán na gcomhpháirteanna Edge Gateway

  • Fógair na comhpháirteanna Edge Gateway

    Fógair an chomhpháirt (na comhpháirteanna) Edge Gateway nó HTML5 Gateway atá le suiteáil.

    Cruthaigh comhpháirteanna Edge Gateway

  • Cruthaigh suíomh loighciúil

    Cruthaigh agus cumraigh suíomh loighciúil a ghrúpálann le chéile comhpháirteanna Edge Gateway agus HTML5 Gateway ar féidir leo rochtain a fháil ar acmhainní logánta.

    Cruthaigh suíomh

  • Suiteáil comhpháirt Edge Gateway

    Suiteáil agus cumraigh comhpháirt Edge Gateway nua leis na freastalaithe Mediation Controller atá díreach suiteáilte.
    Cumrófar ásc HTML5 Gateway freisin.

    Suiteáil