Preskoči na sadržaj

Instalacija poslužitelja Mediation Controller

Napomena

Podsjetnik: prebacivanje na root na računalima sa sustavom Debian mora se izvršiti sljedećom naredbom:

1
su -

Upute navedene na ovoj stranici treba ponoviti na oba poslužitelja Mediation Controller, počevši od poslužitelja MASTER.
Kada postoje razlike između poslužitelja MASTER i SLAVE, one će biti istaknute. Ako to nije navedeno, upute se odnose i na poslužitelj MASTER i na poslužitelj SLAVE.

Preuzimanje zrcala i potrebnih alata

Zrcalo za CyberElements Cleanroom 4.6 i ključ za potpis repozitorija tvrtke Systancia mogu se preuzeti s ove poveznice (potrebno je stvoriti račun klijenta): Systancia Marketplace

Uz zrcalo i ključ, za postupak nadogradnje bit će potrebni alati trećih strana:

  • SSH klijent (u sustavu Windows možete upotrijebiti PuTTY)
  • SCP klijent (u sustavu Windows možete upotrijebiti alate WinSCP ili FileZilla)

Upotrijebite SSH klijent za udaljeno povezivanje sa svojim poslužiteljem.

Upotrijebite SCP klijent za prijenos datoteka na udaljeno računalo.

Priprema za instalaciju

Konfiguracija mreže

Instalirajte paket resolvconf kako bi se mogla primijeniti DNS konfiguracija navedena u konfiguracijskoj datoteci koja će uskoro biti izmijenjena:

1
apt install -y resolvconf

Nužno je konfigurirati statičku mrežnu adresu za poslužitelj Mediation Controller. Da biste to učinili, najprije morate dohvatiti naziv mrežnog sučelja svojeg računala. Pokrenite sljedeću naredbu kao root:

1
ip -br a | grep -ve "^lo"

Ova naredba prikazuje naziv mrežnog sučelja, njegovo stanje i IP adrese dodijeljene sučelju.

Primjer

Nakon izvršavanja naredbe prikazuje se sljedeći izlaz:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Naziv mrežnog sučelja je ens192.

Kada ste dobili naziv mrežnog sučelja, sada možete urediti mrežnu konfiguraciju računala.
Uredite datoteku /etc/network/interfaces i izmijenite je prema sljedećem predlošku:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Pri čemu:

  • INTERFACE_NAME treba zamijeniti nazivom prethodno dohvaćenog mrežnog sučelja.
  • RIP_MED_WEB_MASTER treba zamijeniti glavnom stvarnom IP adresom poslužitelja, a to će biti IP adresa putem koje se može pristupiti web-konzolama.
  • NETMASK treba zamijeniti mrežnom maskom pridruženom IP adresi.
  • NETWORK_GATEWAY treba zamijeniti zadanim mrežnim pristupnikom.
  • IP_DNS treba zamijeniti IP adresom DNS poslužitelja. Ako treba konfigurirati nekoliko poslužitelja (najviše 3), odvojite ih razmakom.
  • DNS_SUFFIX treba zamijeniti DNS sufiksom koji će se upotrebljavati. Ako sufiks nije potrebno unijeti, izbrišite redak.
  • RIP_MED_SSL_MASTER treba zamijeniti sekundarnom stvarnom IP adresom poslužitelja. To će biti IP adresa putem koje će komponenta SSL Router biti dostupna.
Primjer 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Na kraju preostaje samo ponovno pokrenuti uslugu networking kako bi se učitala nova mrežna konfiguracija: 

1
systemctl restart networking

Nužno je konfigurirati statičku mrežnu adresu za poslužitelj Mediation Controller. Da biste to učinili, najprije morate dohvatiti naziv mrežnog sučelja svojeg računala. Pokrenite sljedeću naredbu kao root:

1
ip -br a | grep -ve "^lo"

Ova naredba prikazuje naziv mrežnog sučelja, njegovo stanje i IP adrese dodijeljene sučelju.

Primjer

Nakon izvršavanja naredbe prikazuje se sljedeći izlaz:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Naziv mrežnog sučelja je ens192.

Kada ste dobili naziv mrežnog sučelja, sada možete urediti mrežnu konfiguraciju računala.
Uredite datoteku /etc/network/interfaces i izmijenite je prema sljedećem predlošku:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Pri čemu:

  • INTERFACE_NAME treba zamijeniti nazivom prethodno dohvaćenog mrežnog sučelja.
  • RIP_MED_WEB_SLAVE treba zamijeniti glavnom stvarnom IP adresom poslužitelja, a to će biti IP adresa putem koje se može pristupiti web-konzolama.
  • NETMASK treba zamijeniti mrežnom maskom pridruženom IP adresi.
  • NETWORK_GATEWAY treba zamijeniti zadanim mrežnim pristupnikom.
  • IP_DNS treba zamijeniti IP adresom DNS poslužitelja. Ako treba konfigurirati nekoliko poslužitelja (najviše 3), odvojite ih razmakom.
  • DNS_SUFFIX treba zamijeniti DNS sufiksom koji će se upotrebljavati. Ako sufiks nije potrebno unijeti, izbrišite redak.
  • RIP_MED_SSL_SLAVE treba zamijeniti sekundarnom stvarnom IP adresom poslužitelja. To će biti IP adresa putem koje će komponenta SSL Router biti dostupna.
Primjer 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Na kraju preostaje samo ponovno pokrenuti uslugu networking kako bi se učitala nova mrežna konfiguracija: 

1
systemctl restart networking

Preostaje još jedan, posljednji korak: izmijenite interno razrješavanje naziva računala tako da razrješava njegovu stvarnu primarnu IP adresu (koja odgovara RIP_MED_WEB_MASTER ili RIP_MED_WEB_SLAVE).
Da biste to učinili, uredite datoteku /etc/hosts i zamijenite 127.0.1.1 s RIP_MED_WEB_MASTER ili RIP_MED_WEB_SLAVE, ovisno o poslužitelju Mediation Controller.

Primjer

Za poslužitelj Mediation Controller čija je stvarna web IP adresa 10.0.10.10, a naziv mediation-controller.domain.local, datoteka /etc/hosts imat će sljedeću vrijednost:

1
2
127.0.0.1       localhost
10.0.10.10      mediation-controller.domain.local   mediation-controller

Pozor!

Neispravna konfiguracija datoteke može uzrokovati pogrešku pri instalaciji paketa collectd.

Konfiguriranje upravitelja paketa APT

Prenesite datoteke preuzete sa servisa Systancia Marketplace u direktorij /tmp/ na poslužitelju pomoću SCP klijenta:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Prijavite se na poslužitelj kao root, a zatim pokrenite sljedeće naredbe da biste raspakirali repozitorij tvrtke Systancia, konfigurirali njegovu upotrebu u alatu APT i provjerili njegovu autentičnost.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Izričito preporučujemo da onemogućite instalaciju nepotrebnih paketa pri pokretanju naredbi apt. Da biste to učinili, pokrenite sljedeću naredbu:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Provjera prisutnosti regionalnih postavki en_US.utf8

Instalacija poslužitelja Mediation Controller zahtijeva generiranje regionalnih postavki en_US.utf8.
Da biste provjerili jesu li već generirane na poslužitelju, pokrenite sljedeću naredbu kao root:

1
locale -a  | grep en_US.utf8

Ako rezultat naredbe prikazuje en_US.utf8, prijeđite na sljedeći korak, konfiguraciju programa GRUB.
U suprotnom pokrenite sljedeće naredbe kako biste dodali te regionalne postavke na računalo:

1
2
sed -i "s/# en_US.UTF-8 UTF-8/en_US.UTF-8 UTF-8/" /etc/locale.gen
locale-gen

Konfiguriranje programa za pokretanje sustava GRUB

Nakon izvršavanja tih naredbi morate ponovno pokrenuti računalo nakon primjene postavke u programu za pokretanje GRUB:

1
2
3
sed '9s/quiet/quiet vsyscall=emulate/' -i /etc/default/grub
update-grub
reboot

Instalacija poslužitelja Mediation Controller za CyberElements Bastion

Instalacija osnovnih komponenti

Pokrenite instalaciju komponenti sljedećom naredbom kao root:

1
apt install -y ipdiva-base

Nakon preuzimanja svih zavisnosti otvorit će se prozor u kojem se od vas traži da odaberete vrstu poslužitelja. Odaberite mediation:

Zatim odaberite način instalacije lbMaster:

Zatim odaberite način instalacije lbSlave:

Zatim ćete morati unijeti port na kojem će osluškivati usluga SSL Router. Taj port za osluškivanje obično je postavljen na 443, ali može se koristiti i port 8443 ako poslužitelj Mediation Controller koristi samo jednu IP adresu:

Zatim postavite način Cluster na loadbalancing kako bi se korisničko opterećenje rasporedilo na oba poslužitelja Mediation Controller:

Navedite virtualnu web IP adresu klastera, VIP_MED_WEB:

Unesite virtualnu SSL IP adresu klastera, VIP_MED_SSL:

Unesite virtualnu IP adresu baze podataka konfiguracije klastera, VIP_MED_ZEO:

Unesite stvarnu web IP adresu poslužitelja Mediation Controller MASTER, RIP_MED_WEB_MASTER:

Unesite stvarnu SSL IP adresu poslužitelja Mediation Controller MASTER, RIP_MED_SSL_MASTER:

Unesite stvarnu web IP adresu poslužitelja Mediation Controller SLAVE, RIP_MED_WEB_SLAVE:

Na kraju unesite stvarnu SSL IP adresu poslužitelja Mediation Controller SLAVE, RIP_MED_SSL_SLAVE:

Što učiniti u slučaju pogreške?

Ako postoji pogreška u podacima koje ste unijeli, nastavite instalaciju paketa ipdiva-base, a zatim upotrijebite sljedeću naredbu za ponovno konfiguriranje poslužitelja:

1
dpkg-reconfigure ipdiva-base

Instalacija komponenti Cluster

Nakon instalacije osnovnih komponenti potrebno je instalirati komponente Cluster na poslužitelje Mediation Controller:

1
apt install -y ipdiva-mediation-cluster

Nakon instalacije komponenti potrebno je ponovno pokretanje:

1
reboot

Konfiguracija klastera

Promjena lozinke konzole /mediation/system proizvoda CyberElements Gate

U ovoj fazi instalacije dostupno je novo administracijsko sučelje: Promijenite lozinku

Primjena licenci i certifikata

I dalje u konzoli /mediation/system trebat ćete unijeti certifikate i licence za poslužitelj Mediation Controller.

Pozor!

Licenca i certifikat komponente SSL Router specifični su za poslužitelj Mediation Controller MASTER ili SLAVE.
Konfiguriranje pogrešne licence ili pogrešnog certifikata kasnije će uzrokovati neispravan rad.

Primijenite licencu i certifikat za komponentu SSL Router:

  1. Kliknite karticu Settings.
  2. Na izborniku odaberite SSL Connections.
  3. Potražite certifikat za komponentu SSL Router.
  4. Unesite lozinku certifikata komponente SSL Router.
  5. Kliknite Apply da biste primijenili certifikat na komponentu SSL Router.
  6. Odaberite datoteku licence poslužitelja.
  7. Kliknite Modify da biste primijenili licencu poslužitelja.

Zatim unesite podatke o certifikatu za klijent CyberElements Bastion:

  1. Odaberite karticu Plugin.
  2. Potražite certifikat klijenta CyberElements Bastion.
  3. Unesite lozinku certifikata.
  4. Kliknite Apply da biste primijenili certifikat.

Još trebate unijeti podatke za certifikat usluge Watchdog:

  1. Odaberite karticu Watchdog
  2. Potražite certifikat usluge Watchdog.
  3. Unesite lozinku certifikata.
  4. Kliknite Apply da biste primijenili certifikat.

Da bi te promjene stupile na snagu, morate ponovno pokrenuti komponentu SSL Router i uslugu Watchdog:

Pairing poslužitelja Mediation Controller

Pozor!

Do ovog trenutka oba poslužitelja Mediation Controller moraju biti konfigurirana do koraka primjene licenci i certifikata.
Ako poslužitelj Mediation Controller SLAVE još nije konfiguriran, učinite to počevši od početka ove dokumentacije.

Korak pairinga poslužitelja Mediation Controller uspostavit će vezu povjerenja između dvaju poslužitelja i inicijalizirati rad klastera.

Na poslužitelju Mediation Controller SLAVE

Pokrenite sljedeću naredbu kao root da biste uputili zahtjev za pairing poslužitelju Mediation Controller MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Zamijenite RIP_MED_WEB_MASTER odgovarajućom IP adresom.

Primjer

Ako je RIP_MED_WEB_MASTER jednako 10.0.10.10, naredba koju treba unijeti glasi:

1
hostManagerCtl bootstrap 10.0.10.10

Na poslužitelju Mediation Controller MASTER

Pokrenite sljedeću naredbu kao root da biste provjerili postoje li zahtjevi za pairing na čekanju i dohvatili ID zahtjeva: 

1
hostManagerCtl getPendingRequests

Zatim pokrenite sljedeću naredbu da biste prihvatili zahtjev za pairing, pri čemu ID zamijenite identifikatorom dohvaćenim prethodnom naredbom:

1
hostManagerCtl acceptRequest ID
Primjer

Ako je povratna vrijednost naredbe hostManagerCtl getPendingRequests sljedeća:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Naredba za prihvaćanje zahtjeva za pairing tada glasi:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Da biste provjerili povezivanje, upotrijebite sljedeću naredbu na poslužitelju Mediation Controller (MASTER ili SLAVE):

1
hostManagerCtl listPeers

Rezultat se razlikuje ovisno o poslužitelju na kojem se naredba izvršava:

Očekivani rezultat na poslužitelju Mediation Controller MASTER je sljedeći:

1
slave -> RIP_MED_WEB_SLAVE
Primjer 
1
slave -> 10.0.10.12

Očekivani rezultat na poslužitelju Mediation Controller SLAVE je sljedeći:

1
master -> RIP_MED_WEB_MASTER
Primjer 
1
master -> 10.0.10.10

Na poslužitelju Mediation Controller SLAVE

Stanje postupka bootstrap možete provjeriti s poslužitelja SLAVE pomoću sljedeće naredbe:

1
hostManagerCtl getBootstrapStatus

Klaster koji nema problema sa sinkronizacijom vratit će vrijednost 0.

Potreban je još posljednji niz naredbi, ponovno na poslužitelju SLAVE, kako bi se sinkronizirala zajednička tajna obaju poslužitelja Mediation Controller:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Čemu služi međuposlužiteljska veza?

Riječ je o posebnoj vezi za rad klastera koja poslužitelju Mediation Controller omogućuje usmjeravanje prometa na drugi poslužitelj Mediation Controller kada ciljna komponenta Edge Gateway nije povezana s prvim poslužiteljem, nego samo s drugim.

Na primjer, ako poslužitelj Mediation Controller MASTER više nije povezan s komponentom Edge Gateway, može upotrijebiti međuposlužiteljsku vezu da bi došao do komponente Edge Gateway putem poslužitelja Mediation Controller SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Veza izgubljena| GW(Edge Gateway)
    MASTER --> |Međuposlužiteljska veza| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Na poslužitelju Mediation Controller MASTER

Uredite datoteku /etc/ipdiva/server/remoteServers.xml kako biste naveli CN međuposlužiteljskog certifikata:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Zamijenite SLAVECN vrijednošću CN certifikata namijenjenog međuposlužiteljskoj vezi.
Ako ne znate CN međuposlužiteljskog certifikata, možete unijeti znak * (preporučuje se u slučaju dvojbe):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Primjer

Uzimajući u obzir sljedeće podatke:

  • CN međuposlužiteljskog certifikata: my-interserver-cert

Datoteka /etc/ipdiva/server/remoteServers.xml na poslužitelju Mediation Controller MASTER ispunila bi se na sljedeći način:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Potpuna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Na poslužitelju Mediation Controller SLAVE

Pošaljite međuposlužiteljski certifikat na poslužitelj Mediation Controller SLAVE, u direktorij /tmp/.
Zatim pokrenite sljedeće naredbe kao root da biste ga premjestili u ciljni direktorij s odgovarajućim dozvolama:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Zatim uredite datoteku /etc/ipdiva/server/remoteServers.xml i dodajte sljedeći sadržaj u oznaku <remoteConfig> (staru oznaku <localCluster> možete u potpunosti izbrisati):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Zamijenite:

  • MASTERCN: navedite CN certifikata komponente SSL Router poslužitelja Mediation Controller MASTER, koji je obično RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: odgovara sekundarnoj IP adresi poslužitelja Mediation Controller MASTER.
  • PORT_RIP_MED_SSL_MASTER: to je priključak na kojem osluškuje komponenta SSL Router poslužitelja Mediation Controller MASTER; obično je to 443.
  • INTERSERVER.P12: naziv certifikata namijenjenog međuposlužiteljskoj vezi.
  • PASSWORD: lozinka međuposlužiteljskog certifikata.
Primjer

Uzimajući u obzir sljedeće podatke:

  • Naziv međuposlužiteljskog certifikata: my-interserver-cert.p12
  • Lozinka međuposlužiteljskog certifikata: MySecurePassword
  • RIP SSL poslužitelja Mediation Controller MASTER: 10.0.10.11
  • Priključak na RIP SSL poslužitelja Mediation Controller MASTER: 443
  • CN certifikata poslužitelja Mediation Controller MASTER: 10.0.10.11

Datoteka /etc/ipdiva/server/remoteServers.xml na poslužitelju Mediation Controller SLAVE ispunila bi se na sljedeći način:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Potpuna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Izmijenite konfiguraciju komponente SSL Router na poslužitelju SLAVE pokretanjem sljedeće naredbe:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Na poslužiteljima Mediation Controller MASTER i SLAVE

Ponovno pokrenite komponentu SSL Router da biste primijenili postavke međuposlužiteljske veze:

1
/usr/local/ipdiva/server/bin/restart

Da biste potvrdili da međuposlužiteljska veza ispravno radi, sljedeća naredba treba vratiti rezultat:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Prethodna naredba treba proizvesti unos u zapisniku sa sljedećim sadržajem: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Ako se takav unos u zapisniku ne prikaže, provjerite konfiguraciju postavljenu u ovom poglavlju.

U web-konzoli /mediation/system poslužitelja Mediation Controller MASTER

Omogućite međuposlužiteljsku vezu između dvaju poslužitelja Mediation Controller uređivanjem SSL virtualnog hosta default:

Ispunite različita polja prema uputama u nastavku i omogućite značajku povezivanja između poslužitelja tako da označite potvrdni okvir Is cross-server linking configured?:

  • Public address for plugin connections: odgovara vrijednosti VIP_MED_SSL nakon koje slijedi njezin priključak za osluškivanje (obično 443).
  • Actual public IP addresses for web connections: odgovara paru stvarnih web IP adresa (RIP_MED_WEB_MASTER i RIP_MED_WEB_SLAVE) s pripadajućim priključcima, jedan redak po paru IP adrese i priključka.
  • Actual public IP addresses for SSL connections: odgovara paru stvarnih SSL IP adresa (RIP_MED_SSL_MASTER i RIP_MED_SSL_SLAVE) s pripadajućim priključcima, jedan redak po paru IP adrese i priključka.

Instalacija specifičnih komponenti proizvoda CyberElements Bastion

Započnite instalaciju komponenti proizvoda CyberElements Bastion na poslužitelje Mediation Controller pomoću sljedeće naredbe:

1
apt install -y ipdiva-safe-server

Poslužitelje je potrebno ponovno pokrenuti kako bi se dovršila instalacija:

1
reboot

Povezivanje s bazom podataka PostgreSQL

Za rad CyberElements Bastion zahtijeva korištenje vanjske baze podataka PostgreSQL (BP) za pohranu svojih postavki i raznih zapisnika u konzoli /system.
Ako je BP izravno dostupna s poslužitelja Mediation Controller, prijeđite izravno na korak inicijalizacije BP-a.

Povezivanje s bazom podataka u LAN-u

Kako bi se omogućilo povezivanje s bazom podataka koja se nalazi u LAN-u bez otvaranja toka iz DMZ-a u LAN, tok baze podataka bit će preusmjeren kroz TLS tunel između poslužitelja Edge Gateway i poslužitelja Mediation Controller.
Da biste to postigli, potrebno je konfigurirati jedan poslužitelj Edge Gateway (ili dva poslužitelja Edge Gateway) pomoću temeljne tehnologije CyberElements Gate.

Deklariranje poslužitelja Edge Gateway u proizvodu CyberElements Gate

Da biste to učinili, najprije se prijavite u konzolu /mediation/system u rješenju CyberElements Gate.

Zatim otvorite izbornik „Organizations“ i kliknite „Add“:

Unesite naziv organizacije, koji mora biti različit od naziva dodijeljenog rješenju CyberElements Bastion (na primjer tunnel), i navedite najmanje jednu licencu korisničke sesije te lozinku za račun admin:

Prijavite se u administratorsko sučelje prethodno stvorene organizacije pomoću računa admin tako da otvorite /gate/admin:

Zatim deklarirajte obje komponente Edge Gateway koje će se upotrebljavati za postavljanje tunela.
S lijeve strane postavite pokazivač iznad Infrastructure, kliknite Gateways, a zatim kliknite gumb Add:

Unesite naziv prve komponente Edge Gateway i potvrdite unos:

Informacije

Podsjetnik: naziv komponente Edge Gateway povezan je s certifikatom koji će ona upotrebljavati za provjeru autentičnosti prema komponenti SSL Router poslužitelja Mediation Controller.
Taj naziv ima sljedeći oblik <GW_NAME>@<ORGANIZATION_NAME>, pri čemu <GW_NAME> odgovara nazivu komponente Edge Gateway, a <ORGANIZATION_NAME> nazivu organizacije stvorene u sistemskoj konzoli rješenja CyberElements Gate.

Ponovite korak deklariranja komponente Edge Gateway za drugu komponentu Edge Gateway.

Veze i postavke tunela na poslužiteljima Edge Gateway

Informacije

Sljedeći se koraci mogu ponoviti na objema komponentama Edge Gateway koje se upotrebljavaju za tunel za pristup bazi podataka.

Preduvjeti

Da biste dovršili ovaj dio, morat ćete upotrijebiti jedno od sljedećeg:

Najprije pomoću alata kao što je WinSCP ili FileZilla prenesite certifikat potreban za povezivanje u direktorij /tmp/ na komponenti Edge Gateway putem protokola SCP.

Zatim se povežite putem protokola SSH i prebacite se na root.

Da biste komponentu Edge Gateway povezali s obama poslužiteljima Mediation Controller, morate stvoriti dvije nove instance komponente Edge Gateway: jedna će se povezati s poslužiteljem Mediation Controller MASTER, a druga s poslužiteljem Mediation Controller SLAVE.
Da biste ih stvorili, pokrenite sljedeće naredbe:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Kopirajte datoteku certifikata u direktorije /etc/ipdiva/gateway-tunnel-master/ssl/ i /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Zamijenite <CERT_NAME> nazivom certifikata koji komponenta Edge Gateway mora upotrebljavati za povezivanje s poslužiteljem Mediation Controller.

Konfigurirajte instance komponente Edge Gateway kako bi se mogle povezati s poslužiteljima Mediation Controller.
Konfiguracije se razlikuju ovisno o poslužitelju Mediation Controller s kojim se treba povezati. Izvršite obje konfiguracije:

Uredite datoteku /etc/ipdiva/gateway-tunnel-master/gateway.xml i dovršite je pomoću sljedećih podataka (nekoliko je odjeljaka izostavljeno i označeno s […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Zamijenite sljedeće elemente:

  • @SERVER@: treba zamijeniti adresom RIP_MED_SSL_MASTER
  • @SERVERPORT@: treba zamijeniti priključkom za osluškivanje komponente SSL Router, obično postavljenim na 443
  • keyfile.pem: treba zamijeniti nazivom datoteke certifikata
  • PASSWORD: treba zamijeniti lozinkom certifikata
  • @RPC_PORT@: treba zamijeniti priključkom na kojem računalo trenutačno ne osluškuje; može se upotrijebiti priključak 9082
Primjer

Uzimajući u obzir sljedeće podatke:

  • RIP_MED_SSL_MASTER jednako je: 10.0.10.11
  • Priključak za osluškivanje komponente SSL Router: 443
  • Naziv datoteke certifikata: gate-tunnel.p12
  • Lozinka certifikata: Str0ngP@ssw0rd

Datoteka /etc/ipdiva/gateway-tunnel-master/gateway.xml konfigurirala bi se na sljedeći način:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Potpuna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Uredite datoteku /etc/ipdiva/gateway-tunnel-slave/gateway.xml i dovršite je pomoću sljedećih podataka (nekoliko je odjeljaka izostavljeno i označeno s […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Zamijenite sljedeće elemente:

  • @SERVER@: treba zamijeniti adresom RIP_MED_SSL_SLAVE
  • @SERVERPORT@: treba zamijeniti priključkom za osluškivanje komponente SSL Router, obično postavljenim na 443
  • keyfile.pem: treba zamijeniti nazivom datoteke certifikata
  • PASSWORD: treba zamijeniti lozinkom certifikata
  • @RPC_PORT@: treba zamijeniti priključkom koji se trenutačno ne upotrebljava na računalu; može se upotrijebiti priključak 9083
Primjer

Uzimajući u obzir sljedeće podatke:

  • RIP_MED_SSL_SLAVE jednako je: 10.0.10.13
  • Priključak za osluškivanje komponente SSL Router: 443
  • Naziv datoteke certifikata: gate-tunnel.p12
  • Lozinka certifikata: Str0ngP@ssw0rd

Datoteka /etc/ipdiva/gateway-tunnel-slave/gateway.xml konfigurirala bi se na sljedeći način:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Potpuna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Sada kada su instance konfigurirane za povezivanje s poslužiteljima Mediation Controller, još ih treba konfigurirati da preusmjeravaju vezu poslužitelja Mediation Controller na bazu podataka.
Da biste to učinili, uredite datoteku /etc/ipdiva/gateway-tunnel-master/services.xml i izmijenite je na sljedeći način: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Zamijenite DB_SERVER DNS nazivom ili IP adresom koja se upotrebljava za povezivanje s bazom podataka, a DB_PORT priključkom za osluškivanje instance baze podataka.
Ponovite te postavke za instancu koja se povezuje s poslužiteljem Mediation Controller SLAVE tako da kopirate datoteku:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Na kraju pokrenite instance komponente Edge Gateway kako bi uspostavile vezu s poslužiteljima Mediation Controller:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Konfiguriranje tunela poslužitelja Mediation Controller

Da bi poslužitelji Mediation Controller mogli upotrebljavati tunel, još morate deklarirati njegovo postojanje.
Da biste to učinili, prijavite se kao root na poslužitelje Mediation Controller i uredite datoteku /etc/ipdiva/server/services.xml kako biste dodali sljedeći odjeljak (nekoliko je odjeljaka izostavljeno i označeno s […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Zamijenite sljedeće elemente:

  • GW1_NAME nazivom prve komponente Edge Gateway
  • GW2_NAME nazivom druge komponente Edge Gateway
  • ORGANIZATION_NAME nazivom organizacije CyberElements Gate koja je prethodno stvorena
Primjer

Uzimajući u obzir sljedeće podatke:

  • Naziv komponente Edge Gateway 1: gate-tunnel-1
  • Naziv komponente Edge Gateway 2: gate-tunnel-2
  • Naziv organizacije CyberElements Gate: tunnel

Datoteka /etc/ipdiva/server/services.xml ispunila bi se na sljedeći način:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Potpuna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Da biste primijenili novu konfiguraciju, ponovno pokrenite komponentu SSL Router sljedećom naredbom:

1
/usr/local/ipdiva/server/bin/restart

Inicijalizacija baze podataka

Pozor!

Bazu podataka default morate stvoriti prije nego što je CyberElements Bastion inicijalizira (ne stvara se automatski).

Da biste inicijalizirali bazu podataka PostgreSQL za sistemsku konfiguraciju, najprije morate konfigurirati postavke povezivanja na poslužiteljima Mediation Controller.
Da biste to učinili, uredite datoteku /etc/ipdiva/care/databasesettings.ini na obama poslužiteljima i dodajte sljedeće unose:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Zamijenite sljedeće elemente:

  • DB_USERNAME korisničkim imenom koje se upotrebljava za povezivanje s bazom podataka.
  • DB_PWD lozinkom korisnika koji se prijavljuje.
  • DB_HOST IP adresom ili DNS nazivom koji se upotrebljava za povezivanje s bazom podataka; ako se upotrebljava veza putem komponenti Edge Gateway, morat ćete unijeti 127.0.0.1.
  • DB_PORT priključkom koji se upotrebljava za povezivanje s instancom baze podataka; ako se upotrebljava veza putem komponenti Edge Gateway, morat ćete unijeti 1432.

Inicijalizacija baze podataka može se pokrenuti sljedećim naredbama, koje treba izvršiti samo na jednom poslužitelju Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Nakon toga preostaje samo ponovno pokrenuti uslugu apache2 na obama poslužiteljima Mediation Controller kako bi se primijenila inicijalizacija sistemske baze podataka:

1
systemctl restart apache2

Instalacija upravljačkih programa za povezivanje s bazama podataka Microsoft SQL

Ako se želite povezati s vanjskom bazom podataka i to je Microsoft SQL Server, morate instalirati dodatne ODBC upravljačke programe.

Dostupne su dvije verzije: verzija 17 i verzija 18.

Za upravljačke programe verzije 18 potrebna je TLS veza

Za upotrebu upravljačkih programa ODBC 18 veza mora biti šifrirana protokolom TLS. Da biste to učinili, morate konfigurirati MS SQL Server za šifriranje veze.

Prije početka instalacije ODBC upravljačkih programa morate instalirati pakete potrebne za pripremu, a zatim pripremiti repozitorij tvrtke Microsoft za instalaciju paketa:

1
2
3
4
apt install -y curl apt-transport-https gpg
curl -fsSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor -o /usr/share/keyrings/microsoft-prod.gpg
curl https://packages.microsoft.com/config/debian/12/prod.list > /etc/apt/sources.list.d/mssql-release.list
apt update

Zatim instalirajte upravljačke programe u skladu s odabranom verzijom i konfigurirajte sustav za upotrebu naredbe sqlcmd:

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql17 mssql-tools python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools/bin/sqlcmd /usr/bin/sqlcmd

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql18 mssql-tools18 python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools18/bin/sqlcmd /usr/bin/sqlcmd

ODBC upravljački programi sada su ispravno instalirani.
Ako poslužitelj Mediation Controller ima pristup MS SQL poslužitelju, sljedeća bi naredba trebala omogućiti povezivanje s udaljenim poslužiteljem: 

1
sqlcmd -S SERVER\INSTANCE_NAME,PORT -U USER

Pri čemu:

  • SERVER treba zamijeniti DNS nazivom ili IP adresom MS SQL poslužitelja.
  • INSTANCE_NAME treba zamijeniti nazivom instance s kojom se treba povezati; ako to nije potrebno, uklonite i znak \.
  • PORT treba zamijeniti priključkom za povezivanje s instancom baze podataka MS SQL.
  • USER treba zamijeniti korisničkim imenom za uspostavljanje veze.
Primjeri

Ako poslužitelj Mediation Controller ima pristup poslužitelju baze podataka MS SQL putem IP adrese 10.0.10.100, instanca kojoj treba pristupiti osluškuje na priključku 1433, a račun za pristup je sql-user, naredba za povezivanje glasi:

1
sqlcmd -S 10.0.10.100,1433 -U sql-user

Ako bi trebalo navesti instancu povezivanja pod nazivom MSSQLINSTANCE, naredba bi se izmijenila na sljedeći način:

1
sqlcmd -S 10.0.10.100\MSSQLINSTANCE,1433 -U sql-user

Konfiguriranje NTP poslužitelja vremena

Preporučuje se postaviti poslužitelj vremena kako bi sat sustava bio ažuran. Potrebni koraci opisani su na stranici konfiguracije NTP-a.

Početne konfiguracije u proizvodu CyberElements Bastion

Autorizacija pristupa web-sučeljima s virtualnom IP adresom

Prema zadanim postavkama nije dopušteno povezivanje s web-sučeljima proizvoda CyberElements Bastion putem virtualne IP adrese VIP_MED_WEB.
Da biste dodali autorizaciju, pokrenite kao root sljedeće naredbe na poslužiteljima Mediation Controller:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Zamijenite IP IP adresom koja odgovara vrijednosti VIP_MED_WEB.

Početne konfiguracije

U ovoj fazi poslužitelji Mediation Controller su instalirani, ali još je potrebno izvršiti nekoliko radnji:

  • Promijenite zadane lozinke

    Promijenite zadane lozinke konzola sustava.

    Promijenite

  • Instalirajte certifikate i licence

    Usluga Mediation Controller zahtijeva razne certifikate i licencu kako bi bila operativna.
    Samo certifikat klijenta CyberElements Bastion potrebno je ponovno deklarirati na oba poslužitelja Mediation Controller (upotrijebite RIP RIP_MED_WEB_MASTER i RIP_MED_WEB_SLAVE).

    Instalirajte certifikate i licencu

  • Konfigurirajte web-certifikat

    Konfigurirajte web-certifikat koji se koristi za povezivanje s web-sučeljima

    Konfigurirajte

  • Deklarirajte DNS naziv

    Dodajte DNS naziv autoriziran za povezivanje s web-sučeljima.

    Dodajte

  • Konfigurirajte organizaciju

    Konfigurirajte organizaciju proizvoda CyberElements Bastion.

    Konfigurirajte s izravnim pristupom bazi podataka

    Konfigurirajte s pristupom bazi podataka kroz tunel poslužitelja Edge Gateway

  • Deklarirajte poslužitelje Edge Gateway

    Deklarirajte poslužitelj(e) Edge Gateway ili HTML5 Gateway koje treba instalirati.

    Stvorite poslužitelje Edge Gateway

  • Stvorite logički site

    Stvorite i konfigurirajte logički site koji grupira poslužitelje Edge Gateway i HTML5 Gateway koji mogu pristupiti lokalnim resursima.

    Stvorite site

  • Instalirajte poslužitelj Edge Gateway

    Instalirajte i konfigurirajte novi poslužitelj Edge Gateway s novoinstaliranim poslužiteljima Mediation Controller.
    Konfigurirat će se i instanca HTML5 Gateway.

    Instalirajte