Vai al contenuto

Installazione del server Mediation Controller

Nota

Come promemoria, il passaggio a root sulle macchine Debian deve essere effettuato con il comando seguente:

1
su -

Download del mirror e degli strumenti necessari

Il mirror CyberElements Cleanroom 4.6 e la chiave di firma del repository Systancia possono essere scaricati da questo link (è necessaria la creazione di un account cliente): Systancia Marketplace

Oltre al mirror e alla chiave, per il processo di aggiornamento saranno necessari strumenti di terze parti:

  • Un client SSH (su Windows è possibile utilizzare PuTTY)
  • Un client SCP (su Windows è possibile utilizzare gli strumenti WinSCP o FileZilla)

Utilizzare il client SSH per connettersi in remoto al proprio server.

Utilizzare il client SCP per trasferire i file sulla propria macchina remota.

Preparazione dell'installazione

Configurazione della rete

È indispensabile configurare un indirizzo di rete statico per il Mediation Controller. A tale scopo, occorre prima ottenere il nome dell'interfaccia di rete della macchina. Eseguire il comando seguente come root:

1
ip -br a | grep -ve "^lo"

Questo comando visualizza il nome dell'interfaccia di rete, il suo stato e gli indirizzi IP assegnati all'interfaccia.

Esempio

Dopo l'esecuzione del comando, viene visualizzato il risultato seguente:

1
ens192           UP             10.0.10.10/24

Il nome dell'interfaccia di rete è ens192.

Una volta ottenuto il nome dell'interfaccia di rete, è ora possibile modificare la configurazione di rete della macchina.
Modificare il file /etc/network/interfaces seguendo il modello seguente:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address IP_MED_WEB
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address IP_MED_SSL
    netmask NETMASK

Dove:

  • INTERFACE_NAME deve essere sostituito con il nome dell'interfaccia di rete ottenuto in precedenza.
  • IP_MED_WEB deve essere sostituito con l'indirizzo IP principale del server, che sarà l'indirizzo IP tramite il quale si accederà alle console web.
  • NETMASK deve essere sostituito con la maschera di rete associata all'indirizzo IP.
  • NETWORK_GATEWAY deve essere sostituito con il gateway di rete predefinito.
  • IP_DNS deve essere sostituito con l'indirizzo IP del server DNS. Se occorre configurare più server (3 al massimo), separarli con uno spazio.
  • DNS_SUFFIX deve essere sostituito con il suffisso DNS da utilizzare. Se non occorre indicare alcun suffisso, eliminare la riga.
  • IP_MED_SSL deve essere sostituito con l'indirizzo IP secondario del server. Sarà l'indirizzo IP tramite il quale l'SSL Router sarà accessibile.
Esempio 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Prima di applicare la configurazione, restano tre passaggi da completare.

Il primo consiste nell'installare il pacchetto resolvconf affinché possa essere applicata la configurazione DNS indicata nel file precedente:

1
apt install -y resolvconf

Il secondo consiste nel verificare la configurazione del file /etc/hosts per quanto riguarda l'indirizzo IP principale della macchina (IP_MED_WEB).
A tale scopo, modificare il file /etc/hosts e verificare che la seconda riga abbia il formato seguente:

2
IP_MED_WEB  FQDN    MACHINE_NAME
Esempio

Se la macchina si chiama MEDIATION-CONTROLLER senza appartenere a un dominio e il suo indirizzo IP IP_MED_WEB è 10.0.10.10, il file andrebbe completato come segue:

2
10.0.10.10  MEDIATION-CONTROLLER

Se la macchina appartiene al dominio DOMAIN.LOCAL, il file andrebbe completato come segue:

2
10.0.10.10  MEDIATION-CONTROLLER.DOMAIN.LOCAL   MEDIATION-CONTROLLER

Attenzione!

Una configurazione errata del file può causare un errore durante l'installazione del pacchetto collectd.

Infine, resta solo da riavviare il servizio networking per caricare la nuova configurazione di rete: 

1
systemctl restart networking

Configurazione del gestore di pacchetti APT

Caricare nella directory /tmp/ del server, tramite un client SCP, i file scaricati da Systancia Marketplace:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Connettersi al server come root, quindi eseguire i comandi seguenti per decomprimere il repository Systancia, configurarne l'uso in APT e autenticarlo.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Si raccomanda vivamente di disabilitare l'installazione dei pacchetti non necessari durante l'esecuzione dei comandi apt. A tale scopo, eseguire il comando seguente:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Verifica della presenza del locale en_US.utf8

L'installazione del server Mediation Controller richiede la generazione dei locale en_US.utf8.
Per verificare se sono già stati generati sul server, eseguire il comando seguente come root: 

1
locale -a  | grep en_US.utf8

Se la risposta del comando visualizza en_US.utf8, passare al passaggio successivo, la configurazione di GRUB.
In caso contrario, eseguire i comandi seguenti per aggiungere questo locale alla macchina:

1
2
sed -i "s/# en_US.UTF-8 UTF-8/en_US.UTF-8 UTF-8/" /etc/locale.gen
locale-gen

Configurazione del programma di avvio GRUB

Una volta eseguiti questi comandi, occorre riavviare la macchina dopo aver applicato un'impostazione nel programma di avvio GRUB:

1
2
3
sed '9s/quiet/quiet vsyscall=emulate/' -i /etc/default/grub
update-grub
reboot

Installazione del server Mediation Controller di CyberElements Bastion

Installazione dei componenti di base

Avviare l'installazione dei componenti con il comando seguente, eseguito come root:

1
apt install -y ipdiva-base

Dopo il download di tutte le dipendenze, si apre una finestra che chiede di selezionare il tipo di server. Selezionare mediation:

Selezionare poi la modalità di installazione standalone:

Occorrerà quindi immettere la porta sulla quale l'SSL Router sarà in ascolto. Questa porta di ascolto è di solito la 443, ma è possibile utilizzare anche la porta 8443 se il Mediation Controller utilizza un solo IP:

Immettere poi l'indirizzo di accesso web del server Mediation Controller (corrisponde a IP_MED_WEB nella configurazione di rete):

Infine, immettere l'indirizzo IP dell'SSL Router (corrisponde a IP_MED_SSL nella configurazione di rete):

Cosa fare in caso di errore?

Se si è verificato un errore nelle informazioni immesse, proseguire con l'installazione del pacchetto ipdiva-base e utilizzare quindi il comando seguente per riconfigurare il server:

1
dpkg-reconfigure ipdiva-base

Installazione dei componenti specifici

Avviare l'installazione dei componenti specifici del server Mediation Controller con il comando seguente:

1
apt install -y ipdiva-safe-server

Il server deve essere riavviato per completare l'installazione (utilizzare il comando reboot).

Installazione dei driver per la connessione a database Microsoft SQL Server

Se si desidera connettersi a un database esterno e questo è un Microsoft SQL Server, occorre installare driver ODBC aggiuntivi.

Sono disponibili due versioni: la versione 17 e la versione 18.

Connessione TLS obbligatoria per i driver in versione 18

L'uso dei driver ODBC 18 richiede che la connessione sia cifrata mediante TLS. A tale scopo, occorre configurare MS SQL Server per la cifratura delle connessioni.

Prima di avviare l'installazione dei driver ODBC, occorre installare i pacchetti necessari per la preparazione e poi preparare il repository Microsoft per l'installazione dei pacchetti:

1
2
3
4
apt install -y curl apt-transport-https gpg
curl -fsSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor -o /usr/share/keyrings/microsoft-prod.gpg
curl https://packages.microsoft.com/config/debian/12/prod.list > /etc/apt/sources.list.d/mssql-release.list
apt update

Installare quindi i driver in funzione della versione scelta e configurare il sistema per utilizzare il comando sqlcmd:

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql17 mssql-tools python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools/bin/sqlcmd /usr/bin/sqlcmd

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql18 mssql-tools18 python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools18/bin/sqlcmd /usr/bin/sqlcmd

I driver ODBC sono ora correttamente installati.
Se il server Mediation Controller ha accesso a un server MS SQL, il comando seguente dovrebbe consentire la connessione al server remoto: 

1
sqlcmd -S SERVER\INSTANCE_NAME,PORT -U USER

Dove:

  • SERVER deve essere sostituito con il nome DNS o l'indirizzo IP del server MS SQL.
  • INSTANCE_NAME deve essere sostituito con il nome dell'istanza alla quale connettersi; se non è necessario, eliminare anche il carattere \.
  • PORT deve essere sostituito con la porta di connessione all'istanza di database MS SQL.
  • USER deve essere sostituito con il nome utente con cui stabilire la connessione.
Esempi

Se il server Mediation Controller ha accesso a un server di database MS SQL all'indirizzo IP 10.0.10.100, l'istanza a cui accedere è in ascolto sulla porta 1433 e l'account di accesso è sql-user. Il comando di connessione è quindi il seguente:

1
sqlcmd -S 10.0.10.100,1433 -U sql-user

Se fosse necessario indicare l'istanza di connessione denominata MSSQLINSTANCE, il comando andrebbe modificato come segue:

1
sqlcmd -S 10.0.10.100\MSSQLINSTANCE,1433 -U sql-user

Configurazione di un server di riferimento orario NTP

Si consiglia di configurare un server di riferimento orario per mantenere aggiornato l'orologio di sistema. I passaggi necessari sono descritti nella pagina di configurazione NTP.

Configurazioni iniziali su CyberElements Bastion

I componenti del server Mediation Controller sono installati. Ora è necessario configurare il Mediation Controller.

  • Modificare le password predefinite

    Modificare le password predefinite delle console di sistema.

    Modificare

  • Installazione dei certificati e delle licenze

    Il Mediation Controller richiede diversi certificati e una licenza per essere operativo.

    Installare i certificati e la licenza

  • Configurazione delle autorità di certificazione

    Aggiungere l'autorità o le autorità di certificazione (CA) esterne a Systancia che saranno utilizzate per i certificati degli Edge Gateway e degli HTML5 Gateway.

    Configurare le CA attendibili

  • Configurare il certificato web

    Configurare il certificato web utilizzato per connettersi alle interfacce web

    Configurare

  • Dichiarare un nome DNS

    Aggiungere un nome DNS autorizzato a connettersi alle interfacce web.

    Aggiungere

  • Configurare l'host virtuale SSL

    Configurazione dell'host virtuale SSL di CyberElements Bastion, che permette di indicare l'indirizzo di connessione all'SSL Router per i client e per il meccanismo di pairing degli Edge Gateway.

    Configurare

  • Configurare l'organizzazione

    Configurazione dell'organizzazione di CyberElements Bastion.

    Configurare

  • Dichiarare gli Edge Gateway

    Dichiarare gli Edge Gateway o gli HTML5 Gateway da installare e generare un pairing token.

    Creare i pairing token

  • Creare un sito logico

    Creare e configurare un sito logico che raggruppa gli Edge Gateway e gli HTML5 Gateway che possono accedere alle risorse locali.

    Creare un sito

  • Installare un Edge Gateway

    Installare e configurare un nuovo Edge Gateway con il server Mediation Controller appena installato.
    Verrà inoltre configurata un'istanza di HTML5 Gateway.

    Installare