Pereiti prie turinio

Mediation Controller serverių diegimas

Pastaba

Primename, kad Debian kompiuteriuose į root reikia persijungti šia komanda:

1
su -

Šiame puslapyje pateiktus nurodymus reikia pakartoti abiejuose Mediation Controller serveriuose, pradedant nuo serverio MASTER.
Kai tarp serverių MASTER ir SLAVE yra skirtumų, jie bus išskirti. Jei apie tai neužsimenama, nurodymai taikomi abiem serveriams – MASTER ir SLAVE.

Sistemos parametrai

Prisijungimas prie kompiuterio

Pagal numatytuosius parametrus virtualiuosiuose įrenginiuose yra dvi paskyros: vartotojo paskyra ir supervartotojo paskyra.

  • Vartotojo paskyra
    • Prisijungimo vardas: systancia
    • Slaptažodis: systnci
  • Supervartotojo paskyra
    • Prisijungimo vardas: root
    • Slaptažodis: systnci

Prisijunkite prie kompiuterio konsolės režimu.

Pastaba

Numatytasis klaviatūros išdėstymas – QWERTY.

Klaviatūros išdėstymo keitimas

Klaviatūros išdėstymą galite pakeisti šia komandine eilute:

1
dpkg-reconfigure keyboard-configuration

Rodomas meniu, kuriame galite pasirinkti kitą klaviatūros išdėstymą.

Tada naudokite šią komandinę eilutę parametrams pritaikyti ir įrašyti:

1
setupcon -k --save

Parametrai įsigalioja iškart įvykdžius šią komandą.

Tinklo konfigūracija

Būtina sukonfigūruoti statinį Mediation Controller tinklo adresą. Norėdami tai padaryti, pirmiausia turite sužinoti savo kompiuterio tinklo sąsajos pavadinimą. Vykdykite šią komandą kaip root:

1
ip -br a | grep -ve "^lo"

Ši komanda parodo tinklo sąsajos pavadinimą, jos būseną ir sąsajai priskirtus IP adresus.

Pavyzdys

Įvykdžius komandą, rodoma ši išvestis:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Tinklo sąsajos pavadinimas yra ens192.

Gavus tinklo sąsajos pavadinimą, galima redaguoti kompiuterio tinklo konfigūraciją.
Redaguokite failą /etc/network/interfaces ir pakeiskite jį pagal šį šabloną:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Čia:

  • INTERFACE_NAME reikia pakeisti anksčiau gautu tinklo sąsajos pavadinimu.
  • RIP_MED_WEB_MASTER reikia pakeisti pagrindiniu realiuoju serverio IP adresu, per kurį bus pasiekiamos žiniatinklio konsolės.
  • NETMASK reikia pakeisti su IP adresu susieta tinklo kauke.
  • NETWORK_GATEWAY reikia pakeisti numatytuoju tinklo šliuzu.
  • IP_DNS reikia pakeisti DNS serverio IP adresu. Jei reikia sukonfigūruoti kelis serverius (daugiausia 3), atskirkite juos tarpu.
  • DNS_SUFFIX reikia pakeisti naudotinu DNS sufiksu. Jei sufikso įvesti nereikia, panaikinkite eilutę.
  • RIP_MED_SSL_MASTER reikia pakeisti antriniu realiuoju serverio IP adresu. Per šį IP adresą bus pasiekiamas SSL Router.
Pavyzdys 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Galiausiai belieka iš naujo paleisti paslaugą networking, kad būtų įkelta nauja tinklo konfigūracija: 

1
systemctl restart networking

Būtina sukonfigūruoti statinį Mediation Controller tinklo adresą. Norėdami tai padaryti, pirmiausia turite sužinoti savo kompiuterio tinklo sąsajos pavadinimą. Vykdykite šią komandą kaip root:

1
ip -br a | grep -ve "^lo"

Ši komanda parodo tinklo sąsajos pavadinimą, jos būseną ir sąsajai priskirtus IP adresus.

Pavyzdys

Įvykdžius komandą, rodoma ši išvestis:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Tinklo sąsajos pavadinimas yra ens192.

Gavus tinklo sąsajos pavadinimą, galima redaguoti kompiuterio tinklo konfigūraciją.
Redaguokite failą /etc/network/interfaces ir pakeiskite jį pagal šį šabloną:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Čia:

  • INTERFACE_NAME reikia pakeisti anksčiau gautu tinklo sąsajos pavadinimu.
  • RIP_MED_WEB_SLAVE reikia pakeisti pagrindiniu realiuoju serverio IP adresu, per kurį bus pasiekiamos žiniatinklio konsolės.
  • NETMASK reikia pakeisti su IP adresu susieta tinklo kauke.
  • NETWORK_GATEWAY reikia pakeisti numatytuoju tinklo šliuzu.
  • IP_DNS reikia pakeisti DNS serverio IP adresu. Jei reikia sukonfigūruoti kelis serverius (daugiausia 3), atskirkite juos tarpu.
  • DNS_SUFFIX reikia pakeisti naudotinu DNS sufiksu. Jei sufikso įvesti nereikia, panaikinkite eilutę.
  • RIP_MED_SSL_SLAVE reikia pakeisti antriniu realiuoju serverio IP adresu. Per šį IP adresą bus pasiekiamas SSL Router.
Pavyzdys 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Galiausiai belieka iš naujo paleisti paslaugą networking, kad būtų įkelta nauja tinklo konfigūracija: 

1
systemctl restart networking

Patarimas

Pritaikius tinklo parametrus, serverį galima pasiekti per SSH.

Vietinių paskyrų slaptažodžių keitimas

CyberElements primygtinai rekomenduoja pakeisti šių paskyrų slaptažodį, kai virtualusis įrenginys įdiegtas.

Naudokite šią komandą ir įveskite naują standartinės paskyros systancia slaptažodį:

1
passwd systancia

Tada pakartokite operaciją supervartotojo paskyrai root:

1
passwd root

Kompiuterio vardo konfigūravimas

Serverio vardą galite pakeisti sukonfigūravę serverio failus hostname ir hosts.

Redaguokite failą /etc/hostname ir nurodykite kompiuterio vardą.
Produktui naujo vardo reikia kitoje vietoje, todėl šia komanda reikia sukurti ankstesnio failo kopiją:

1
cp /etc/hostname /var/ipdiva/zopeChroot/etc/hostname

Būtina atkartoti failo /etc/hosts konfigūraciją pagal tikrąjį pagrindinį kompiuterio IP adresą (RIP_MED_WEB_MASTER).
Norėdami tai padaryti, redaguokite failą /etc/hosts ir patikrinkite, ar antroji eilutė yra tokio formato:

2
RIP_MED_WEB_MASTER  FQDN    MACHINE_NAME
Pavyzdys

Jei kompiuteris pavadintas MEDIATION-CONTROLLER-MASTER, nepriklauso domenui, o jo tikrasis IP adresas RIP_MED_WEB_MASTER yra 10.0.10.10, failas būtų užpildytas taip:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER

Jei kompiuteris priklauso domenui DOMAIN.LOCAL, failas būtų užpildytas taip:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER.DOMAIN.LOCAL   MEDIATION-CONTROLLER-MASTER

Būtina atkartoti failo /etc/hosts konfigūraciją pagal tikrąjį pagrindinį kompiuterio IP adresą (RIP_MED_WEB_SLAVE).
Norėdami tai padaryti, redaguokite failą /etc/hosts ir patikrinkite, ar antroji eilutė yra tokio formato:

2
RIP_MED_WEB_SLAVE  FQDN    MACHINE_NAME
Pavyzdys

Jei kompiuteris pavadintas MEDIATION-CONTROLLER-SLAVE, nepriklauso domenui, o jo tikrasis IP adresas RIP_MED_WEB_SLAVE yra 10.0.10.12, failas būtų užpildytas taip:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE

Jei kompiuteris priklauso domenui DOMAIN.LOCAL, failas būtų užpildytas taip:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE.DOMAIN.LOCAL   MEDIATION-CONTROLLER-SLAVE

Kad pritaikytumėte naują konfigūraciją, paleiskite serverį iš naujo:

1
reboot

Laiko juostos keitimas

Pagal numatytuosius parametrus virtualiajame įrenginyje nustatyta laiko juosta Europe/Paris.

Norėdami pakeisti šią laiko juostą, pirmiausia šia komanda gaukite galimų laiko juostų sintaksę:

1
timedatectl list-timezones

Tada naudokite šią komandinę eilutę:

1
timedatectl set-timezone your_time_zone
Pavyzdys

Norint nustatyti Londono laiko juostą, reikia vykdyti šią komandą:

1
timedatectl set-timezone Europe/London

Patikrinkite serverio laiko juostą šia komandine eilute:

1
timedatectl

Mediation Controller serverio inicijavimas

Mediation Controller serverio inicijavimas

Mediation Controller serveris inicijuojamas naudojant konfigūravimo scenarijų. Šis scenarijus iš naujo sukonfigūruoja klasterio IP adresus įvairiose produkto paslaugose ir iš anksto sukonfigūruoja parametrus, būtinus HTML5 Gateway veikimui.
Paleiskite jį šia komandų eilute kaip root:

1
/opt/systancia/initializeCluster

Scenarijus paprašys įvesti šią informaciją:

  • IP VIP HTTPS: virtualusis klasterio žiniatinklio IP adresas, t. y. VIP_MED_WEB.
  • IP VIP SSL: virtualusis klasterio SSL IP adresas, t. y. VIP_MED_SSL.
  • IP VIP ZIO: virtualusis IP adresas, skirtas Mediation Controller serverio SLAVE ryšiui su serverio MASTER vidine konfigūracijos duomenų baze, t. y. VIP_MED_ZEO.
  • IP Master HTTPS: tikrasis Mediation Controller serverio MASTER žiniatinklio IP adresas, t. y. RIP_MED_WEB_MASTER.
  • IP Master SSL: tikrasis Mediation Controller serverio MASTER SSL Router IP adresas, t. y. RIP_MED_SSL_MASTER.
  • IP Slave HTTPS: tikrasis Mediation Controller serverio SLAVE žiniatinklio IP adresas, t. y. RIP_MED_WEB_SLAVE.
  • IP Slave SSL: tikrasis Mediation Controller serverio SLAVE SSL Router IP adresas, t. y. RIP_MED_SSL_SLAVE.
  • HTML5 port: vietinis klausymosi prievadas, skirtas prieigai prie HTML5 Gateway paslaugos peradresuoti; rekomenduojame įvesti prievadą 1234.
  • Gateway: Edge Gateway pavadinimas; įveskite pirmojo Edge Gateway pavadinimą.
  • Organization: organizacijos, prie kurios jungsis Edge Gateway ir HTML5 Gateway komponentai, pavadinimas.

Baigę inicijavimą, paleiskite serverį iš naujo:

1
reboot

CyberElements Gate konsolės /mediation/system slaptažodžio keitimas

Šiame diegimo etape pasiekiama nauja administravimo sąsaja: Keisti slaptažodį

Licencijų ir sertifikatų taikymas

Vis dar būdami konsolėje /mediation/system, turėsite įvesti Mediation Controller serverio sertifikatus ir licencijas.

Dėmesio!

SSL Router licencija ir sertifikatas yra skirti konkrečiam Mediation Controller serveriui MASTER arba SLAVE.
Sukonfigūravus netinkamą licenciją arba sertifikatą, vėliau atsiras veikimo sutrikimų.

Pritaikykite komponento SSL Router licenciją ir sertifikatą:

  1. Spustelėkite skirtuką Settings.
  2. Meniu pasirinkite SSL Connections.
  3. Raskite SSL Router sertifikatą.
  4. Įveskite SSL Router sertifikato slaptažodį.
  5. Spustelėkite Apply, kad pritaikytumėte sertifikatą SSL Router.
  6. Pasirinkite serverio licencijos failą.
  7. Spustelėkite Modify, kad pritaikytumėte serverio licenciją.

Tada įveskite CyberElements Bastion kliento sertifikato informaciją:

  1. Pasirinkite skirtuką Plugin.
  2. Raskite CyberElements Bastion kliento sertifikatą.
  3. Įveskite sertifikato slaptažodį.
  4. Spustelėkite Apply, kad pritaikytumėte sertifikatą.

Dar reikia įvesti Watchdog sertifikato informaciją:

  1. Pasirinkite skirtuką Watchdog
  2. Raskite Watchdog sertifikatą.
  3. Įveskite sertifikato slaptažodį.
  4. Spustelėkite Apply, kad pritaikytumėte sertifikatą.

Kad šie pakeitimai įsigaliotų, turite iš naujo paleisti SSL Router ir Watchdog:

Mediation Controller serverių pairing

Dėmesio!

Šiuo metu abu Mediation Controller serveriai turi būti sukonfigūruoti iki licencijų ir sertifikatų pritaikymo.
Jei Mediation Controller serveris SLAVE dar nesukonfigūruotas, tai padarykite pradėdami nuo šios dokumentacijos pradžios.

Mediation Controller serverių pairing etapas sukurs patikimą ryšį tarp dviejų serverių ir inicijuos klasterio veikimą.

Mediation Controller serveryje SLAVE

Vykdykite šią komandą kaip root, kad inicijuotumėte pairing užklausą Mediation Controller serveriui MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Pakeiskite RIP_MED_WEB_MASTER atitinkamu IP adresu.

Pavyzdys

Jei RIP_MED_WEB_MASTER lygus 10.0.10.10, įvesti reikia šią komandą:

1
hostManagerCtl bootstrap 10.0.10.10

Mediation Controller serveryje MASTER

Vykdykite šią komandą kaip root, kad patikrintumėte laukiančias pairing užklausas ir gautumėte užklausos ID: 

1
hostManagerCtl getPendingRequests

Tada vykdykite šią komandą, kad priimtumėte pairing užklausą, pakeisdami ID iš ankstesnės komandos gautu ID:

1
hostManagerCtl acceptRequest ID
Pavyzdys

Jei komandos hostManagerCtl getPendingRequests grąžinama reikšmė yra tokia:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Tuomet komanda pairing užklausai priimti yra tokia:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Norėdami patikrinti susiejimą, Mediation Controller serveryje (MASTER arba SLAVE) naudokite šią komandą:

1
hostManagerCtl listPeers

Rezultatas skirsis priklausomai nuo serverio, kuriame vykdoma komanda:

Laukiamas rezultatas Mediation Controller serveryje MASTER yra toks:

1
slave -> RIP_MED_WEB_SLAVE
Pavyzdys 
1
slave -> 10.0.10.12

Laukiamas rezultatas Mediation Controller serveryje SLAVE yra toks:

1
master -> RIP_MED_WEB_MASTER
Pavyzdys 
1
master -> 10.0.10.10

Mediation Controller serveryje SLAVE

Bootstrap būseną galite patikrinti iš serverio SLAVE naudodami šią komandą:

1
hostManagerCtl getBootstrapStatus

Klasteris, kuriame nėra jokių sinchronizavimo problemų, grąžins reikšmę 0.

Reikia paskutinės komandų serijos, vėlgi serveryje SLAVE, kad būtų sinchronizuota abiem Mediation Controller bendra paslaptis:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Kam skirtas tarpserverinis ryšys?

Tai specialus klasterio veikimo ryšys, leidžiantis Mediation Controller serveriui nukreipti srautą į kitą Mediation Controller serverį tais atvejais, kai tikslinis Edge Gateway prijungtas ne prie pirmojo serverio, o tik prie antrojo.

Pavyzdžiui, jei Mediation Controller serveris MASTER nebėra prijungtas prie Edge Gateway, jis gali naudoti tarpserverinį ryšį, kad pasiektų Edge Gateway per Mediation Controller serverį SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Ryšys nutrūko| GW(Edge Gateway)
    MASTER --> |Tarpserverinis ryšys| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Mediation Controller serveryje MASTER

Redaguokite failą /etc/ipdiva/server/remoteServers.xml ir nurodykite tarpserverinio ryšio sertifikato CN:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Pakeiskite SLAVECN tarpserveriniam ryšiui skirto sertifikato CN.
Jei nežinote tarpserverinio ryšio sertifikato CN, galima įvesti simbolį * (rekomenduojama, jei abejojate):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Pavyzdys

Atsižvelgiant į šią informaciją:

  • Tarpserverinio ryšio sertifikato CN: my-interserver-cert

Mediation Controller serverio MASTER failas /etc/ipdiva/server/remoteServers.xml būtų užpildytas taip:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Visas failas 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Mediation Controller serveryje SLAVE

Nusiųskite tarpserverinio ryšio sertifikatą į Mediation Controller SLAVE katalogą /tmp/.
Tada vykdykite šias komandas kaip root, kad perkeltumėte jį į tikslinį katalogą su tinkamais leidimais:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Tada redaguokite failą /etc/ipdiva/server/remoteServers.xml ir į žymę <remoteConfig> įtraukite šį turinį (senąją žymę <localCluster> galima visiškai panaikinti):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Pakeiskite:

  • MASTERCN: nurodykite Mediation Controller MASTER SSL Router sertifikato CN, kuris paprastai yra RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: atitinka Mediation Controller MASTER antrinį IP adresą.
  • PORT_RIP_MED_SSL_MASTER: tai prievadas, kurio klausosi Mediation Controller MASTER SSL Router; paprastai tai 443.
  • INTERSERVER.P12: tarpserveriniam ryšiui skirto sertifikato pavadinimas.
  • PASSWORD: tarpserverinio ryšio sertifikato slaptažodis.
Pavyzdys

Atsižvelgiant į šią informaciją:

  • Tarpserverinio ryšio sertifikato pavadinimas: my-interserver-cert.p12
  • Tarpserverinio ryšio sertifikato slaptažodis: MySecurePassword
  • Mediation Controller MASTER RIP SSL: 10.0.10.11
  • Mediation Controller MASTER SSL RIP prievadas: 443
  • Mediation Controller MASTER sertifikato CN: 10.0.10.11

Mediation Controller serverio SLAVE failas /etc/ipdiva/server/remoteServers.xml būtų užpildytas taip:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Visas failas 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Pakeiskite SSL Router SLAVE konfigūraciją vykdydami šią komandą:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Mediation Controller serveriuose MASTER ir SLAVE

Iš naujo paleiskite SSL Router, kad pritaikytumėte tarpserverinio ryšio parametrus:

1
/usr/local/ipdiva/server/bin/restart

Kad patvirtintumėte, jog tarpserverinis ryšys veikia tinkamai, ši komanda turėtų grąžinti rezultatą:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Ankstesnė komanda turėtų sukurti žurnalą su tokiu turiniu: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Jei toks žurnalas nerodomas, patikrinkite šiame skyriuje nustatytą konfigūraciją.

Mediation Controller MASTER žiniatinklio konsolėje /mediation/system

Įjunkite tarpserverinį ryšį tarp dviejų Mediation Controller redaguodami virtualųjį SSL pagrindinį kompiuterį default:

Užpildykite įvairius laukus pagal toliau pateiktus nurodymus ir įjunkite tarpserverinio susiejimo funkciją pažymėdami žymės langelį Is cross-server linking configured?:

  • Public address for plugin connections: atitinka VIP_MED_SSL ir jo klausymosi prievadą (paprastai 443).
  • Actual public IP addresses for web connections: atitinka realiųjų žiniatinklio IP adresų porą (RIP_MED_WEB_MASTER ir RIP_MED_WEB_SLAVE) su atitinkamais prievadais, po vieną eilutę kiekvienai IP adreso ir prievado porai.
  • Actual public IP addresses for SSL connections: atitinka realiųjų SSL IP adresų porą (RIP_MED_SSL_MASTER ir RIP_MED_SSL_SLAVE) su atitinkamais prievadais, po vieną eilutę kiekvienai IP adreso ir prievado porai.

CyberElements Bastion inicijavimas

Prisijungimas prie PostgreSQL duomenų bazės

Kad veiktų, CyberElements Bastion reikia išorinės PostgreSQL duomenų bazės (DB), kurioje saugomi jo parametrai ir įvairūs konsolės /system žurnalai.
Jei DB tiesiogiai pasiekiama iš Mediation Controller serverių, pereikite tiesiai prie DB inicijavimo veiksmo.

Prisijungimas prie duomenų bazės LAN tinkle

Kad būtų galima prisijungti prie LAN tinkle esančios duomenų bazės neatveriant srauto iš DMZ į LAN, duomenų bazės srautas bus peradresuotas per TLS tunelį tarp Edge Gateway ir Mediation Controller komponentų.
Tam būtina sukonfigūruoti vieną Edge Gateway komponentą (arba du) naudojant pamatinę CyberElements Gate technologiją.

CyberElements Gate Edge Gateway komponentų deklaravimas

Norėdami tai padaryti, pirmiausia prisijunkite prie CyberElements Gate konsolės /mediation/system.

Tada eikite į meniu „Organizations“ ir spustelėkite „Add“:

Įveskite organizacijos pavadinimą, kuris turi skirtis nuo CyberElements Bastion priskirto pavadinimo (pavyzdžiui, tunnel), ir nurodykite bent vieną vartotojo seanso licenciją bei paskyros admin slaptažodį:

Paskyra admin prisijunkite prie anksčiau sukurtos organizacijos administravimo sąsajos, eidami adresu /gate/admin:

Tada deklaruokite abu Edge Gateway, kurie bus naudojami tuneliui sukurti.
Kairėje užveskite žymiklį ant Infrastructure, spustelėkite Gateways, tada spustelėkite mygtuką Add:

Įveskite pirmojo Edge Gateway pavadinimą ir patvirtinkite įvestį:

Informacija

Primename, kad Edge Gateway pavadinimas susietas su sertifikatu, kuriuo jis autentifikuosis Mediation Controller SSL Router.
Šis pavadinimas yra tokios formos: <GW_NAME>@<ORGANIZATION_NAME>, kur <GW_NAME> atitinka Edge Gateway pavadinimą, o <ORGANIZATION_NAME> – CyberElements Gate sistemos konsolėje sukurtos organizacijos pavadinimą.

Pakartokite Edge Gateway deklaravimo veiksmą antrajam Edge Gateway.

Tunelio ryšiai ir parametrai Edge Gateway komponentuose

Informacija

Toliau nurodytus veiksmus galima pakartoti abiejuose Edge Gateway, naudojamuose tuneliui prieigai prie duomenų bazės.

Būtinosios sąlygos

Norėdami užbaigti šią dalį, turėsite naudoti vieną iš šių variantų:

Pirmiausia naudokite įrankį, pvz., WinSCP arba FileZilla, kad per SCP perkeltumėte ryšiui reikalingą sertifikatą į Edge Gateway katalogą /tmp/.

Tada prisijunkite per SSH ir persijunkite į root.

Norėdami prijungti Edge Gateway prie abiejų Mediation Controller, turite sukurti du naujus Edge Gateway egzempliorius: vienas jungsis prie Mediation Controller MASTER, o kitas – prie Mediation Controller SLAVE.
Norėdami juos sukurti, vykdykite šias komandas:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Nukopijuokite sertifikato failą į katalogus /etc/ipdiva/gateway-tunnel-master/ssl/ ir /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Pakeiskite <CERT_NAME> sertifikato, kurį Edge Gateway turi naudoti jungdamasis prie Mediation Controller, pavadinimu.

Sukonfigūruokite Edge Gateway egzempliorius, kad jie galėtų prisijungti prie Mediation Controller.
Konfigūracijos skiriasi priklausomai nuo Mediation Controller, su kuriuo reikia susisiekti. Atlikite abu nustatymus:

Redaguokite failą /etc/ipdiva/gateway-tunnel-master/gateway.xml ir papildykite jį šia informacija (keli skyriai praleisti ir pažymėti […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Pakeiskite šiuos elementus:

  • @SERVER@: reikia pakeisti adresu RIP_MED_SSL_MASTER
  • @SERVERPORT@: reikia pakeisti SSL Router klausymosi prievadu, paprastai 443
  • keyfile.pem: reikia pakeisti sertifikato failo pavadinimu
  • PASSWORD: reikia pakeisti sertifikato slaptažodžiu
  • @RPC_PORT@: reikia pakeisti prievadu, kurio kompiuteris šiuo metu nesiklauso; galima naudoti prievadą 9082
Pavyzdys

Atsižvelgiant į šią informaciją:

  • RIP_MED_SSL_MASTER lygus: 10.0.10.11
  • SSL Router klausymosi prievadas: 443
  • Sertifikato failo pavadinimas: gate-tunnel.p12
  • Sertifikato slaptažodis: Str0ngP@ssw0rd

Failas /etc/ipdiva/gateway-tunnel-master/gateway.xml būtų sukonfigūruotas taip:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Visas failas 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Redaguokite failą /etc/ipdiva/gateway-tunnel-slave/gateway.xml ir papildykite jį šia informacija (keli skyriai praleisti ir pažymėti […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Pakeiskite šiuos elementus:

  • @SERVER@: reikia pakeisti adresu RIP_MED_SSL_SLAVE
  • @SERVERPORT@: reikia pakeisti SSL Router klausymosi prievadu, paprastai 443
  • keyfile.pem: reikia pakeisti sertifikato failo pavadinimu
  • PASSWORD: reikia pakeisti sertifikato slaptažodžiu
  • @RPC_PORT@: reikia pakeisti prievadu, kuris šiuo metu kompiuteryje nenaudojamas; galima naudoti prievadą 9083
Pavyzdys

Atsižvelgiant į šią informaciją:

  • RIP_MED_SSL_SLAVE lygus: 10.0.10.13
  • SSL Router klausymosi prievadas: 443
  • Sertifikato failo pavadinimas: gate-tunnel.p12
  • Sertifikato slaptažodis: Str0ngP@ssw0rd

Failas /etc/ipdiva/gateway-tunnel-slave/gateway.xml būtų sukonfigūruotas taip:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Visas failas 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Dabar, kai egzemplioriai sukonfigūruoti jungtis prie Mediation Controller, juos dar reikia sukonfigūruoti taip, kad jie nukreiptų Mediation Controller ryšį į duomenų bazę.
Norėdami tai padaryti, redaguokite failą /etc/ipdiva/gateway-tunnel-master/services.xml ir pakeiskite jį taip: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Pakeiskite DB_SERVER DNS vardu arba IP adresu, naudojamu jungiantis prie duomenų bazės, o DB_PORT – duomenų bazės egzemplioriaus klausymosi prievadu.
Pritaikykite šiuos parametrus egzemplioriui, kuris jungiasi prie Mediation Controller serverio SLAVE, nukopijuodami failą:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Galiausiai paleiskite Edge Gateway egzempliorius, kad jie užmegztų ryšį su Mediation Controller:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Mediation Controller komponentų tunelio konfigūravimas

Kad Mediation Controller galėtų naudoti tunelį, dar reikia deklaruoti jo egzistavimą.
Norėdami tai padaryti, prisijunkite prie Mediation Controller kaip root ir redaguokite failą /etc/ipdiva/server/services.xml, kad pridėtumėte šį skyrių (keli skyriai praleisti ir pažymėti […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Pakeiskite šiuos elementus:

  • GW1_NAME – pirmojo Edge Gateway pavadinimu
  • GW2_NAME – antrojo Edge Gateway pavadinimu
  • ORGANIZATION_NAME – anksčiau sukurtos CyberElements Gate organizacijos pavadinimu
Pavyzdys

Atsižvelgiant į šią informaciją:

  • Edge Gateway 1 pavadinimas: gate-tunnel-1
  • Edge Gateway 2 pavadinimas: gate-tunnel-2
  • CyberElements Gate organizacijos pavadinimas: tunnel

Failas /etc/ipdiva/server/services.xml būtų užpildytas taip:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Visas failas 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Norėdami pritaikyti naują konfigūraciją, iš naujo paleiskite SSL Router šia komanda:

1
/usr/local/ipdiva/server/bin/restart

Duomenų bazės inicijavimas

Dėmesio!

Duomenų bazę default turite sukurti prieš tai, kai CyberElements Bastion ją inicijuos (ji nesukuriama automatiškai).

Norėdami inicijuoti PostgreSQL sistemos konfigūracijos duomenų bazę, pirmiausia turite sukonfigūruoti ryšio parametrus Mediation Controller serveriuose.
Norėdami tai padaryti, abiejuose serveriuose redaguokite failą /etc/ipdiva/care/databasesettings.ini ir pridėkite šiuos įrašus:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Pakeiskite šiuos elementus:

  • DB_USERNAME – vartotojo vardu, naudojamu jungiantis prie duomenų bazės.
  • DB_PWD – prisijungiančio vartotojo slaptažodžiu.
  • DB_HOST – IP adresu arba DNS vardu, naudojamu jungiantis prie duomenų bazės; jei naudojamas ryšys per Edge Gateway, reikės įvesti 127.0.0.1.
  • DB_PORT – prievadu, naudojamu jungiantis prie duomenų bazės egzemplioriaus; jei naudojamas ryšys per Edge Gateway, reikės įvesti 1432.

Duomenų bazės inicijavimą galima paleisti šiomis komandomis, kurias reikia vykdyti tik viename Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Po to belieka iš naujo paleisti paslaugą apache2 abiejuose Mediation Controller, kad būtų pritaikytas sistemos duomenų bazės inicijavimas:

1
systemctl restart apache2

NTP laiko serverio konfigūravimas

Rekomenduojama nustatyti laiko serverį, kad sistemos laikrodis visada rodytų tikslų laiką. Būtini veiksmai aprašyti NTP konfigūravimo puslapyje.

Pradinės CyberElements Bastion konfigūracijos

Prieigos prie žiniatinklio sąsajų per virtualųjį IP autorizavimas

Pagal numatytuosius parametrus jungtis prie produkto CyberElements Bastion žiniatinklio sąsajų virtualiuoju IP VIP_MED_WEB neleidžiama.
Norėdami pridėti autorizavimą, Mediation Controller serveriuose kaip root vykdykite šias komandas:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Pakeiskite IP IP adresu, atitinkančiu VIP_MED_WEB.

Pradinės konfigūracijos

Šiame etape Mediation Controller serveriai jau įdiegti, tačiau dar reikia atlikti kelis veiksmus:

  • Pakeiskite numatytuosius slaptažodžius

    Pakeiskite numatytuosius sistemos konsolių slaptažodžius.

    Keisti

  • Įdiekite sertifikatus ir licencijas

    Kad Mediation Controller veiktų, reikia įvairių sertifikatų ir licencijos.
    Abiejuose Mediation Controller komponentuose iš naujo deklaruoti reikia tik CyberElements Bastion kliento sertifikatą (naudokite RIP RIP_MED_WEB_MASTER ir RIP_MED_WEB_SLAVE).

    Įdiegti sertifikatus ir licenciją

  • Sukonfigūruokite žiniatinklio sertifikatą

    Sukonfigūruokite žiniatinklio sertifikatą, naudojamą jungiantis prie žiniatinklio sąsajų

    Konfigūruoti

  • Deklaruokite DNS vardą

    Pridėkite DNS vardą, kuriam leidžiama jungtis prie žiniatinklio sąsajų.

    Pridėti