Kihagyás

Az Edge Gateway kiszolgáló telepítése

Megjegyzés

Emlékeztetőül: Debian rendszerű számítógépeken a root felhasználóra a következő paranccsal kell váltani:

1
su -

A tükör és a szükséges eszközök letöltése

A CyberElements Cleanroom 4.6 tükörtárháza és a Systancia-tárház aláírókulcsa erről a hivatkozásról tölthető le (ügyfélfiók létrehozása szükséges): Systancia Marketplace

A tükörtárház és a kulcs mellett a verziófrissítési folyamathoz külső gyártótól származó eszközökre is szükség lesz:

  • Egy SSH-ügyfél (Windows rendszeren használhatja a PuTTY programot)
  • Egy SCP-ügyfél (Windows rendszeren a WinSCP vagy a FileZilla eszköz használható)

Az SSH-ügyféllel csatlakozzon távolról a kiszolgálóhoz.

Az SCP-ügyféllel vigye át a fájlokat a távoli számítógépre.

A telepítés előkészítése

A hálózat konfigurálása

Erősen ajánlott statikus hálózati címet megadni az Edge Gateway kiszolgáló számára. Ehhez először le kell kérdeznie a számítógép hálózati csatolójának nevét és MAC-címét. Futtassa a következő parancsot root felhasználóként:

1
ip -br link | grep -ve "^lo"

Ez a parancs megjeleníti a hálózati csatoló nevét, állapotát, MAC-címét és beállításait.

Példa

A parancs végrehajtása után a következő kimenet jelenik meg:

1
ens192           UP             00:50:56:a1:56:9f <BROADCAST,MULTICAST,UP,LOWER_UP>

A hálózati csatoló neve ens192, MAC-címe pedig 00:50:56:a1:56:9f.

A hálózati csatoló nevének és MAC-címének meghatározása után már szerkesztheti a számítógép hálózati konfigurációját.
Szerkessze az /etc/network/interfaces fájlt, és módosítsa a következő sablon szerint:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports INTERFACE_NAME
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw MAC_ADDRESS
    address IP_GW
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

Ahol:

  • Az INTERFACE_NAME helyére a korábban lekérdezett hálózati csatoló nevét kell írni.
  • A MAC_ADDRESS helyére a korábban lekérdezett MAC-címet kell írni.
  • Az IP_GW helyére a kiszolgáló IP-címét kell írni.
  • A NETMASK helyére az IP-címhez tartozó alhálózati maszkot kell írni.
  • A NETWORK_GATEWAY helyére a hálózat alapértelmezett átjáróját kell írni.
  • Az IP_DNS helyére a DNS-kiszolgáló IP-címét kell írni. Ha több kiszolgálót kell konfigurálni (legfeljebb 3-at), szóközzel válassza el őket egymástól.
  • A DNS_SUFFIX helyére a használandó DNS-utótagot kell írni. Ha nem kell utótagot megadni, törölje a sort.
Példa 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports ens192
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw 00:50:56:a1:56:9f
    address 172.16.10.10
    netmask 255.255.255.0
    gateway 172.16.10.254
    dns-nameservers 172.16.11.2 172.16.11.3
    dns-search domain.local

A konfiguráció alkalmazása előtt még három lépést kell elvégezni.

Az első a resolvconf és a bridge-utils csomag telepítése, hogy az előző fájlban megadott DNS-konfiguráció alkalmazható, a br0 csatoló pedig használható legyen:

1
apt install -y resolvconf bridge-utils

A második az /etc/hosts fájl konfigurációjának ellenőrzése a számítógép elsődleges IP-címe (IP_GW) tekintetében.
Ehhez szerkessze az /etc/hosts fájlt, és ellenőrizze, hogy a második sor a következő formátumú-e:

2
IP_GW   FQDN    MACHINE_NAME
Példa

Ha a számítógép neve EDGE-GATEWAY, nem tartozik tartományhoz, és IP_GW IP-címe 172.16.10.10, akkor a fájlt a következőképpen kell kiegészíteni:

2
172.16.10.10  EDGE-GATEWAY

Ha a számítógép a DOMAIN.LOCAL tartományhoz tartozik, akkor a fájlt a következőképpen kell kiegészíteni:

2
172.16.10.10  EDGE-GATEWAY.DOMAIN.LOCAL   EDGE-GATEWAY

Figyelem!

A fájl helytelen konfigurációja hibát okozhat a collectd csomag telepítésekor.

Már csak a kiszolgálót kell újraindítani: 

1
reboot

Az APT csomagkezelő konfigurálása

Egy SCP-ügyféllel töltse fel a Systancia Marketplace-ről letöltött fájlokat a kiszolgáló /tmp/ könyvtárába:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Jelentkezzen be a kiszolgálóra root felhasználóként, majd futtassa a következő parancsokat a Systancia-tárház kicsomagolásához, az APT-ben való használatának konfigurálásához és a tárház hitelesítéséhez.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Határozottan javasoljuk, hogy az apt parancsok futtatásakor kapcsolja ki a szükségtelen csomagok telepítését. Ehhez futtassa a következő parancsot:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

A CyberElements Bastion Edge Gateway kiszolgáló telepítése

Az alapvető komponensek telepítése

Indítsa el az összetevők telepítését a következő paranccsal, root felhasználóként:

1
apt install -y ipdiva-base

Az összes függőség letöltése után megnyílik egy ablak, amelyben ki kell választania a kiszolgáló típusát. Válassza a gateway lehetőséget:

Mit tegyen, ha hiba történik?

Ha hibát vétett a megadott adatokban, folytassa az ipdiva-base csomag telepítését, majd a következő paranccsal konfigurálja újra a kiszolgálót:

1
dpkg-reconfigure ipdiva-base

Az Edge Gateway komponensek telepítése

Ezután indítsa el az Edge Gateway komponens saját összetevőinek telepítését a következő paranccsal:

1
apt install -y ipdiva-safe-gateway ipdiva-gateway-setup

Az Edge Gateway kiszolgáló összetevői most már telepítve vannak. Már csak a számítógépet kell újraindítani, hogy az újonnan telepített összetevők inicializálódhassanak:

1
reboot

A HTML5 Gateway komponensek telepítése

A következő paranccsal indítsa el a HTML5 Gateway összetevőinek telepítését az Edge Gateway kiszolgálón:

1
apt install -y ipdiva-html5gateway ipdiva-html5-webapp ipdiva-guacamole-server1

A következő parancssorokkal kapcsolja be és konfigurálja a fájlátvitel és a virtuális nyomtató funkcióját:

1
2
3
apt install -y ghostscript
echo -e "printer=cyberelements HTML5 Printer\nprinterDriver=MS Publisher Imagesetter" > /etc/guacamole/printer-config
mkdir /home/systanciahtml5share

A CyberElements Bastion működésére vonatkozó beállítások

A hálózati beállítások alkalmazása után még csatlakoztatnia kell az Edge Gateway és a HTML5 Gateway példányokat a Mediation Controller komponensekhez.
Ehhez az első Edge Gateway és HTML5 Gateway példány a MASTER Mediation Controller kiszolgálóhoz, a második példányok pedig a SLAVE Mediation Controller kiszolgálóhoz fognak csatlakozni.

Figyelem!

Ha az Edge Gateway telepítése nem a LAN-on belül található, és ezért az RIP_MED_SSL_MASTER és az RIP_MED_SSL_SLAVE cím nem érhető el (NAT-tal sem).
Ebben az esetben csak az Edge Gateway és a HTML5 Gateway első példányát kell konfigurálnia, amely a VIP_MED_SSL címhez való csatlakozásra lesz beállítva.

Ebben a környezetben a Standalone virtuális berendezés használható. A Cluster virtuális berendezés két példánnyal, Standalone megfelelője pedig egyetlen példánnyal van előre konfigurálva.

Mielőtt folytatná a következő utasításokkal, győződjön meg arról, hogy rendelkezik a következő elemekkel:

  • A csatlakoztatandó Edge Gateway és HTML5 Gateway példányok tanúsítványa
  • A rögzítési szolgáltatás tanúsítványa
  • Egy SSH-ügyfél (Windows rendszeren használhatja a PuTTY programot)
  • Egy SCP-ügyfél (Windows rendszeren a WinSCP vagy a FileZilla eszköz használható)

Vigye át a tanúsítványokat a számítógép /tmp/ könyvtárába.

A SLAVE Mediation Controller komponenshez való csatlakozáshoz szükséges példányok létrehozása

Futtassa a következő parancsokat root felhasználóként egy új Edge Gateway és HTML5 Gateway példány deklarálásához, amely a SLAVE Mediation Controller komponenshez való csatlakozásra szolgál:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -slave
/usr/local/ipdiva/html5gateway/bin/gatewayCloner -slave

Az Edge Gateway komponensek csatlakoztatása

Másolja az Edge Gateway tanúsítványfájlját az /etc/ipdiva/gateway/ssl/ és az /etc/ipdiva/gateway-slave/ssl/ könyvtárba. Ehhez root felhasználóként futtasson a következőkhöz hasonló parancsokat (a <CERT_NAME> helyére az Edge Gateway tanúsítványának nevét írja):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/gateway-slave/ssl/

Konfigurálja az Edge Gateway példányokat úgy, hogy csatlakozni tudjanak a Mediation Controller komponensekhez.
A konfigurációk a megcélzott Mediation Controller kiszolgálótól függően eltérnek. Végezze el mindkét beállítást:

Szerkessze az /etc/ipdiva/gateway/gateway.xml fájlt, és töltse ki a következő adatokkal (több részt kihagytunk, ezeket […] jelöli):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Cserélje le a következő elemeket:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: az RIP_MED_SSL_MASTER címre, a : karakterre és az SSL Router komponens figyelő portjára kell cserélni, amely általában 443
  • keyfile.pem: a tanúsítványfájl nevére kell cserélni
  • PASSWORD: a tanúsítvány jelszavára kell cserélni
Példa

A következő adatokat figyelembe véve:

  • RIP_MED_SSL_MASTER értéke: 10.0.10.11
  • Az SSL Router figyelő portja: 443
  • A tanúsítványfájl neve: edge-gateway.p12
  • A tanúsítvány jelszava: Str0ngP@ssw0rd

Az /etc/ipdiva/gateway/gateway.xml fájlt a következőképpen kell konfigurálni:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Teljes fájl 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9080</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Végül indítsa el az Edge Gateway példányt az új beállítások betöltéséhez és a MASTER Mediation Controller kiszolgálóhoz való csatlakoztatásához: 

1
/usr/local/ipdiva/gateway/bin/start

Szerkessze az /etc/ipdiva/gateway-slave/gateway.xml fájlt, és egészítse ki a következő adatokkal (több részt kihagytunk, ezeket […] jelöli):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Cserélje le a következő elemeket:

  • @SERVER@: az RIP_MED_SSL_SLAVE címre kell cserélni
  • @SERVERPORT@: az SSL Router komponens figyelő portjára kell cserélni, amely általában 443
  • keyfile.pem: a tanúsítványfájl nevére kell cserélni
  • PASSWORD: a tanúsítvány jelszavára kell cserélni
  • @RPC_PORT@: a számítógép egy szabad TCP-portjára kell cserélni; általában a 9081 portot használják
Példa

A következő adatokat figyelembe véve:

  • RIP_MED_SSL_SLAVE értéke: 10.0.10.13
  • Az SSL Router figyelő portja: 443
  • A tanúsítványfájl neve: edge-gateway.p12
  • A tanúsítvány jelszava: Str0ngP@ssw0rd
  • Elérhető RPC-port: 9081

Az /etc/ipdiva/gateway-slave/gateway.xml fájlt a következőképpen kell konfigurálni:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9081</rpc-listen>
[…]
</gateway>
Teljes fájl 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9081</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Végül indítsa el az Edge Gateway példányt az új beállítások betöltéséhez és a SLAVE Mediation Controller kiszolgálóhoz való csatlakoztatásához: 

1
/usr/local/ipdiva/gateway-slave/bin/start

A rögzítési szolgáltatás konfigurálása

Helyezze át a rögzítési szolgáltatás tanúsítványát az /etc/ipdiva/careserver/ könyvtárba egy ehhez hasonló paranccsal (a <CERT_NAME> helyére a szánt tanúsítvány nevét írja):

1
mv /tmp/<CERT_NAME> /etc/ipdiva/careserver/

Ezután konfigurálja a szolgáltatást a következő fájl módosításával: /etc/ipdiva/careserver/careserver.xml. A fájl konfigurációjának körülbelül így kell kinéznie (az alábbi részlet a fájl számos sorát kihagyja, ezeket […] jelöli):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/recording_service.p12</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>

Végezze el a következő módosításokat:

  • Módosítsa a rögzítési szolgáltatás figyelő IP-címét a 0.0.0.0 értékre (az összes elérhető IP-címen figyel)
  • Cserélje le a recording_service.p12 értéket a rögzítési szolgáltatás tanúsítványának nevére
  • Cserélje le a PASSWORD értéket a rögzítési szolgáltatás tanúsítványának jelszavára
  • Adja hozzá az <element>http://127.0.0.1:9081</element> sort
Példa

A következő adatokat figyelembe véve:

  • A tanúsítványfájl neve: fqdn.edge-gateway.local.p12
  • A tanúsítvány jelszava: Str0ngP@ssw0rd

Az /etc/ipdiva/careserver/careserver.xml fájlt a következőképpen kell konfigurálni:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>
Teljes fájl 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>


    <archivesdirectory>/var/lib/ipdiva/carerecord/archives</archivesdirectory>
    <recordingdirectory>/var/lib/ipdiva/carerecord/recording</recordingdirectory>
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
        <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
        <min-version>tls1.2</min-version>
        <max-version/>
        <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
        <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
        <verify-cert>true</verify-cert>
        <no-fail-if-no-peer-cert>true</no-fail-if-no-peer-cert>
    </ssl>
    <gopsize>10</gopsize>
        <webgopsize>5</webgopsize>
    <webfakeframespersec>2</webfakeframespersec>
        <webhlslistsize>20</webhlslistsize>
    <webcaptureinterval>10000</webcaptureinterval>
    <webcapturetimeout>30000</webcapturetimeout>
    <captureinterval>250</captureinterval>
    <hlslistsize>20</hlslistsize>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
</careserver>

Érvényesítse az új beállításokat a rögzítési szolgáltatás újraindításával: 

1
systemctl restart ipdivacarerecord

A HTML5 Gateway példányok csatlakoztatása

Ha a HTML5 Gateway példányt konfigurálni kell, a példány automatikus indításának bekapcsolásához futtassa a következő parancsot root felhasználóként az Edge Gateway kiszolgálón:

1
chmod +x /etc/ipdiva/services/50html5gateway

Másolja a HTML5 Gateway tanúsítványfájlját az /etc/ipdiva/html5gateway/ssl/ és az /etc/ipdiva/html5gateway-slave/ssl/ könyvtárba. Ehhez root felhasználóként futtasson a következőkhöz hasonló parancsokat (a <CERT_NAME> helyére a HTML5 Gateway tanúsítványának nevét írja):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/html5gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/html5gateway-slave/ssl/

Konfigurálja a HTML5 Gateway példányokat úgy, hogy csatlakozni tudjanak a Mediation Controller komponensekhez.
A konfigurációk a megcélzott Mediation Controller kiszolgálótól függően eltérnek. Végezze el mindkét beállítást:

Szerkessze az /etc/ipdiva/html5gateway/html5gateway.xml fájlt, és egészítse ki a következő adatokkal (több részt kihagytunk, ezeket […] jelöli):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Cserélje le a következő elemeket:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: az RIP_MED_SSL_MASTER címre, a : karakterre és az SSL Router komponens figyelő portjára kell cserélni, amely általában 443
  • keyfile.pem: a tanúsítványfájl nevére kell cserélni
  • PASSWORD: a tanúsítvány jelszavára kell cserélni
Példa

A következő adatokat figyelembe véve:

  • RIP_MED_SSL_MASTER értéke: 10.0.10.11
  • Az SSL Router figyelő portja: 443
  • A tanúsítványfájl neve: html5-gateway.p12
  • A tanúsítvány jelszava: Str0ngP@ssw0rd

Az /etc/ipdiva/html5gateway/html5gateway.xml fájlt a következőképpen kell konfigurálni:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Teljes fájl 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9088</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Végül indítsa újra a HTML5 Gateway példányt az új beállítások betöltéséhez és a MASTER Mediation Controller kiszolgálóhoz való csatlakoztatásához: 

1
/usr/local/ipdiva/html5gateway/bin/start

Szerkessze az /etc/ipdiva/html5gateway-slave/html5gateway.xml fájlt, és egészítse ki a következő adatokkal (több részt kihagytunk, ezeket […] jelöli):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Cserélje le a következő elemeket:

  • @SERVER@: az RIP_MED_SSL_SLAVE címre kell cserélni
  • @SERVERPORT@: az SSL Router komponens figyelő portjára kell cserélni, amely általában 443
  • keyfile.pem: a tanúsítványfájl nevére kell cserélni
  • PASSWORD: a tanúsítvány jelszavára kell cserélni
  • @RPC_PORT@: a számítógép egy szabad TCP-portjára kell cserélni; általában a 9089 portot használják
Példa

A következő adatokat figyelembe véve:

  • RIP_MED_SSL_SLAVE értéke: 10.0.10.13
  • Az SSL Router figyelő portja: 443
  • A tanúsítványfájl neve: html5-gateway.p12
  • A tanúsítvány jelszava: Str0ngP@ssw0rd
  • Elérhető RPC-port: 9089

Az /etc/ipdiva/html5gateway-slave/html5gateway.xml fájlt a következőképpen kell konfigurálni:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9089</rpc-listen>
[…]
</gateway>
Teljes fájl 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9089</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Végül indítsa újra a HTML5 Gateway példányt az új beállítások betöltéséhez és a SLAVE Mediation Controller kiszolgálóhoz való csatlakoztatásához: 

1
/usr/local/ipdiva/html5gateway-slave/bin/start

A HTML5 Gateway komponensek csatlakoztatása előtti konfigurációk

A HTML5-alkalmazások működéséhez további beállításokat kell konfigurálni a Mediation Controller kiszolgálókon. Jelentkezzen be root felhasználóként a MASTER és a SLAVE Mediation Controller kiszolgálóra.

Hozza létre vagy szerkessze az /etc/ipdiva/httpd/commonParameters.extra.conf fájlt, hogy hozzáadjon egy, az alábbinak megfelelő részt a HTML5 Gateway komponenshez:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
<Location /URL_HTML5/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /URL_HTML5/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Ahol:

  • Az URL_HTML5 helyére a HTML5 Gateway komponens URL mezőjének tartalmát kell írni, amelyet a felügyeleti konzolon a HTML5 Gateway deklarálásakor konfiguráltak (fürt esetén ez általában HTML5-1 és HTML5-2).
  • A GW_NAME helyére egy olyan Edge Gateway komponens nevét kell írni, amely ugyanazon a kiszolgálón található, mint a HTML5 Gateway. A sor végén lévő | karaktert meg kell tartani.
  • Az ORGANIZATION_NAME helyére annak a szervezetnek a nevét kell írni, amelyhez az előző Edge Gateway komponens csatlakozik.
Példa

A következő beállításokkal rendelkező platform esetén:

  • A szervezet neve: my-organization-name
  • Az első HTML5 Gateway deklarálása a felügyeleti konzolon:
    • Name: html5-gateway-1
    • URL: HTML5-1
    • Protocol: WebSocket
  • A második HTML5 Gateway deklarálása a felügyeleti konzolon:
    • Name: html5-gateway-2
    • URL: HTML5-2
    • Protocol: WebSocket
  • Az első HTML5 Gateway komponenshez tartozó Edge Gateway kiszolgálón a következők vannak:
    • Egy edge-gateway-1 nevű Edge Gateway szolgáltatás
    • Egy html5-gateway-1 nevű HTML5 Gateway szolgáltatás
  • A második HTML5 Gateway komponenshez tartozó Edge Gateway kiszolgálón a következők vannak:
    • Egy edge-gateway-2 nevű Edge Gateway szolgáltatás
    • Egy html5-gateway-2 nevű HTML5 Gateway szolgáltatás

A létrehozott /etc/ipdiva/httpd/commonParameters.extra.conf konfigurációs fájlt a következőképpen kell beállítani: 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
<Location /HTML5-1/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-1/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

<Location /HTML5-2/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-2/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Az új beállítások alkalmazása előtt ellenőriznie kell, hogy az új konfiguráció nem okoz-e blokkoló hibát az Apache2 webkiszolgálóban.
Ehhez futtassa a következő parancsot:

1
apache2ctl configtest

Ha a válasz Syntax OK, akkor a módosítások az alábbi paranccsal alkalmazhatók. Ellenkező esetben ellenőrizze a konfigurációt az /etc/ipdiva/httpd/commonParameters.extra.conf fájlban.

1
systemctl reload apache2

NTP-időkiszolgáló konfigurálása

Ajánlott egy időkiszolgálót beállítani a rendszeróra naprakészen tartásához. A szükséges lépéseket az NTP-konfigurációról szóló oldal ismerteti.