Pāriet uz saturu

Mediation Controller serveru instalēšana

Piezīme

Atgādinām, ka Debian datoros pārslēgšanās uz root jāveic ar tālāk norādīto komandu:

1
su -

Šajā lapā sniegtie norādījumi ir jāatkārto abos Mediation Controller serveros, sākot ar serveri MASTER.
Ja starp serveriem MASTER un SLAVE ir atšķirības, tās tiks izceltas. Ja tas nav minēts, norādījumi attiecas gan uz serveri MASTER, gan uz serveri SLAVE.

Sistēmas iestatījumi

Savienojums ar datoru

Pēc noklusējuma virtuālajās ierīcēs ir divi konti: lietotāja konts un superlietotāja konts.

  • Lietotāja konts
    • Pieteikšanās vārds: systancia
    • Parole: systnci
  • Superlietotāja konts
    • Pieteikšanās vārds: root
    • Parole: systnci

Izveidojiet savienojumu ar datoru konsoles režīmā.

Piezīme

Noklusējuma tastatūras izkārtojums ir QWERTY.

Tastatūras izkārtojuma maiņa

Tastatūras izkārtojumu var mainīt ar šādu komandrindu:

1
dpkg-reconfigure keyboard-configuration

Tiek parādīta izvēlne, kurā varat izvēlēties citu tastatūras izkārtojumu.

Pēc tam izmantojiet šo komandrindu, lai lietotu un saglabātu iestatījumus:

1
setupcon -k --save

Iestatījumi stāsies spēkā uzreiz pēc šīs komandas izpildes.

Tīkla konfigurācija

Mediation Controller ir obligāti jākonfigurē statiska tīkla adrese. Lai to izdarītu, vispirms jāiegūst jūsu datora tīkla saskarnes nosaukums. Izpildiet tālāk norādīto komandu kā root:

1
ip -br a | grep -ve "^lo"

Šī komanda parāda tīkla saskarnes nosaukumu, tās statusu un saskarnei piešķirtās IP adreses.

Piemērs

Pēc komandas izpildes tiek parādīta šāda izvade:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Tīkla saskarnes nosaukums ir ens192.

Kad tīkla saskarnes nosaukums ir iegūts, var rediģēt datora tīkla konfigurāciju.
Rediģējiet failu /etc/network/interfaces, lai to mainītu atbilstoši šai veidnei:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Kur:

  • INTERFACE_NAME jāaizstāj ar iepriekš iegūto tīkla saskarnes nosaukumu.
  • RIP_MED_WEB_MASTER jāaizstāj ar servera galveno reālo IP adresi, caur kuru būs pieejamas tīmekļa konsoles.
  • NETMASK jāaizstāj ar IP adresei atbilstošo tīkla masku.
  • NETWORK_GATEWAY jāaizstāj ar tīkla noklusējuma vārteju.
  • IP_DNS jāaizstāj ar DNS servera IP adresi. Ja jākonfigurē vairāki serveri (ne vairāk kā 3), atdaliet tos ar atstarpi.
  • DNS_SUFFIX jāaizstāj ar izmantojamo DNS sufiksu. Ja sufikss nav jānorāda, izdzēsiet šo rindu.
  • RIP_MED_SSL_MASTER jāaizstāj ar servera sekundāro reālo IP adresi. Caur šo IP adresi būs pieejams SSL Router.
Piemērs 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Visbeidzot atliek tikai restartēt pakalpojumu networking, lai ielādētu jauno tīkla konfigurāciju: 

1
systemctl restart networking

Mediation Controller ir obligāti jākonfigurē statiska tīkla adrese. Lai to izdarītu, vispirms jāiegūst jūsu datora tīkla saskarnes nosaukums. Izpildiet tālāk norādīto komandu kā root:

1
ip -br a | grep -ve "^lo"

Šī komanda parāda tīkla saskarnes nosaukumu, tās statusu un saskarnei piešķirtās IP adreses.

Piemērs

Pēc komandas izpildes tiek parādīta šāda izvade:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Tīkla saskarnes nosaukums ir ens192.

Kad tīkla saskarnes nosaukums ir iegūts, var rediģēt datora tīkla konfigurāciju.
Rediģējiet failu /etc/network/interfaces, lai to mainītu atbilstoši šai veidnei:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Kur:

  • INTERFACE_NAME jāaizstāj ar iepriekš iegūto tīkla saskarnes nosaukumu.
  • RIP_MED_WEB_SLAVE jāaizstāj ar servera galveno reālo IP adresi, caur kuru būs pieejamas tīmekļa konsoles.
  • NETMASK jāaizstāj ar IP adresei atbilstošo tīkla masku.
  • NETWORK_GATEWAY jāaizstāj ar tīkla noklusējuma vārteju.
  • IP_DNS jāaizstāj ar DNS servera IP adresi. Ja jākonfigurē vairāki serveri (ne vairāk kā 3), atdaliet tos ar atstarpi.
  • DNS_SUFFIX jāaizstāj ar izmantojamo DNS sufiksu. Ja sufikss nav jānorāda, izdzēsiet šo rindu.
  • RIP_MED_SSL_SLAVE jāaizstāj ar servera sekundāro reālo IP adresi. Caur šo IP adresi būs pieejams SSL Router.
Piemērs 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Visbeidzot atliek tikai restartēt pakalpojumu networking, lai ielādētu jauno tīkla konfigurāciju: 

1
systemctl restart networking

Padoms

Tagad, kad tīkla iestatījumi ir lietoti, serverim var piekļūt, izmantojot SSH.

Lokālo kontu paroļu maiņa

CyberElements stingri iesaka mainīt šo kontu paroli pēc virtuālās ierīces izvietošanas.

Izmantojiet šo komandu un ievadiet jauno paroli standarta kontam systancia:

1
passwd systancia

Pēc tam atkārtojiet darbību superlietotāja kontam root:

1
passwd root

Datora nosaukuma konfigurēšana

Servera nosaukumu var mainīt, konfigurējot servera failus hostname un hosts.

Rediģējiet failu /etc/hostname, lai norādītu datora nosaukumu.
Produktam jaunais nosaukums ir nepieciešams arī citā vietā, tāpēc ar šādu komandu ir jāizveido iepriekšējā faila kopija:

1
cp /etc/hostname /var/ipdiva/zopeChroot/etc/hostname

Faila /etc/hosts konfigurācija ir jāatkārto attiecībā uz datora faktisko primāro IP adresi (RIP_MED_WEB_MASTER).
Lai to izdarītu, rediģējiet failu /etc/hosts un pārbaudiet, vai otrajai rindai ir šāds formāts:

2
RIP_MED_WEB_MASTER  FQDN    MACHINE_NAME
Piemērs

Ja dators ir nosaukts MEDIATION-CONTROLLER-MASTER, nepiederot domēnam, un tā reālā IP adrese RIP_MED_WEB_MASTER ir 10.0.10.10, fails būtu jāaizpilda šādi:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER

Ja dators pieder domēnam DOMAIN.LOCAL, fails jāaizpilda šādi:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER.DOMAIN.LOCAL   MEDIATION-CONTROLLER-MASTER

Faila /etc/hosts konfigurācija ir jāatkārto attiecībā uz datora faktisko primāro IP adresi (RIP_MED_WEB_SLAVE).
Lai to izdarītu, rediģējiet failu /etc/hosts un pārbaudiet, vai otrajai rindai ir šāds formāts:

2
RIP_MED_WEB_SLAVE  FQDN    MACHINE_NAME
Piemērs

Ja dators ir nosaukts MEDIATION-CONTROLLER-SLAVE, nepiederot domēnam, un tā reālā IP adrese RIP_MED_WEB_SLAVE ir 10.0.10.12, fails būtu jāaizpilda šādi:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE

Ja dators pieder domēnam DOMAIN.LOCAL, fails jāaizpilda šādi:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE.DOMAIN.LOCAL   MEDIATION-CONTROLLER-SLAVE

Lai lietotu jauno konfigurāciju, restartējiet serveri:

1
reboot

Laika joslas maiņa

Pēc noklusējuma virtuālajai ierīcei ir iestatīta laika josla Europe/Paris.

Lai mainītu šo laika joslu, vispirms ar šo komandu iegūstiet pieejamo laika joslu sintaksi:

1
timedatectl list-timezones

Pēc tam izmantojiet šo komandrindu:

1
timedatectl set-timezone your_time_zone
Piemērs

Lai iestatītu Londonas laika joslu, ir jāizpilda šāda komanda:

1
timedatectl set-timezone Europe/London

Pārbaudiet servera laika joslu, izmantojot šo komandrindu:

1
timedatectl

Mediation Controller servera inicializēšana

Mediation Controller servera inicializēšana

Mediation Controller serveris tiek inicializēts, izmantojot konfigurācijas skriptu. Šis skripts pārkonfigurē klastera IP adreses dažādos produkta pakalpojumos un iepriekš konfigurē iestatījumus, kas nepieciešami HTML5 Gateway darbībai.
Palaidiet to ar šādu komandrindu kā root:

1
/opt/systancia/initializeCluster

Skripts lūgs ievadīt šādu informāciju:

  • IP VIP HTTPS: klastera virtuālā tīmekļa IP adrese, t. i., VIP_MED_WEB.
  • IP VIP SSL: klastera virtuālā SSL IP adrese, t. i., VIP_MED_SSL.
  • IP VIP ZIO: virtuālā IP adrese Mediation Controller servera SLAVE savienojumam ar servera MASTER iekšējo konfigurācijas datu bāzi, t. i., VIP_MED_ZEO.
  • IP Master HTTPS: Mediation Controller servera MASTER reālā tīmekļa IP adrese, t. i., RIP_MED_WEB_MASTER.
  • IP Master SSL: komponenta SSL Router reālā IP adrese Mediation Controller serverī MASTER, t. i., RIP_MED_SSL_MASTER.
  • IP Slave HTTPS: Mediation Controller servera SLAVE reālā tīmekļa IP adrese, t. i., RIP_MED_WEB_SLAVE.
  • IP Slave SSL: komponenta SSL Router reālā IP adrese Mediation Controller serverī SLAVE, t. i., RIP_MED_SSL_SLAVE.
  • HTML5 port: lokālais klausīšanās ports piekļuves novirzīšanai uz pakalpojumu HTML5 Gateway; ieteicams ievadīt portu 1234.
  • Gateway: Edge Gateway nosaukums; ievadiet pirmā Edge Gateway nosaukumu.
  • Organization: tās organizācijas nosaukums, ar kuru izveidos savienojumu Edge Gateway un HTML5 Gateway.

Kad inicializēšana ir pabeigta, restartējiet serveri:

1
reboot

CyberElements Gate konsoles /mediation/system paroles maiņa

Šajā instalēšanas posmā ir pieejama jauna administrēšanas saskarne: Mainīt paroli

Licenču un sertifikātu lietošana

Joprojām konsolē /mediation/system jums būs jāievada Mediation Controller servera sertifikāti un licences.

Uzmanību!

SSL Router licence un sertifikāts ir specifiski MASTER vai SLAVE Mediation Controller serverim.
Nepareizas licences vai sertifikāta konfigurēšana vēlāk izraisīs darbības traucējumus.

Lietojiet komponenta SSL Router licenci un sertifikātu:

  1. Noklikšķiniet uz cilnes Settings.
  2. Izvēlnē atlasiet SSL Connections.
  3. Sameklējiet SSL Router sertifikātu.
  4. Ievadiet SSL Router sertifikāta paroli.
  5. Noklikšķiniet uz Apply, lai lietotu sertifikātu komponentam SSL Router.
  6. Atlasiet servera licences failu.
  7. Noklikšķiniet uz Modify, lai lietotu servera licenci.

Pēc tam ievadiet CyberElements Bastion klienta sertifikāta informāciju:

  1. Atlasiet cilni Plugin.
  2. Sameklējiet CyberElements Bastion klienta sertifikātu.
  3. Ievadiet sertifikāta paroli.
  4. Noklikšķiniet uz Apply, lai lietotu sertifikātu.

Vēl jāievada Watchdog sertifikāta informācija:

  1. Atlasiet cilni Watchdog
  2. Sameklējiet Watchdog sertifikātu.
  3. Ievadiet sertifikāta paroli.
  4. Noklikšķiniet uz Apply, lai lietotu sertifikātu.

Lai šīs izmaiņas stātos spēkā, jārestartē SSL Router un Watchdog:

Mediation Controller serveru pairing

Uzmanību!

Šajā brīdī abiem Mediation Controller serveriem jābūt konfigurētiem līdz licenču un sertifikātu lietošanai.
Ja SLAVE Mediation Controller serveris vēl nav konfigurēts, konfigurējiet to, sākot no šīs dokumentācijas sākuma.

Mediation Controller serveru pairing solis izveidos uzticamības saiti starp abiem serveriem un inicializēs klastera darbību.

SLAVE Mediation Controller serverī

Izpildiet tālāk norādīto komandu kā root, lai nosūtītu pairing pieprasījumu MASTER Mediation Controller serverim:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Aizstājiet RIP_MED_WEB_MASTER ar attiecīgo IP adresi.

Piemērs

Ja RIP_MED_WEB_MASTER ir vienāds ar 10.0.10.10, jāievada šāda komanda:

1
hostManagerCtl bootstrap 10.0.10.10

MASTER Mediation Controller serverī

Izpildiet tālāk norādīto komandu kā root, lai pārbaudītu gaidošos pairing pieprasījumus un iegūtu pieprasījuma ID: 

1
hostManagerCtl getPendingRequests

Pēc tam izpildiet tālāk norādīto komandu, lai pieņemtu pairing pieprasījumu, aizstājot ID ar iepriekšējā komandā iegūto ID:

1
hostManagerCtl acceptRequest ID
Piemērs

Ja komandas hostManagerCtl getPendingRequests atgrieztā vērtība ir šāda:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Tad komanda pairing pieprasījuma pieņemšanai ir šāda:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Lai pārbaudītu sasaisti, izmantojiet tālāk norādīto komandu Mediation Controller serverī (MASTER vai SLAVE):

1
hostManagerCtl listPeers

Rezultāts atšķirsies atkarībā no servera, kurā komanda tiek izpildīta:

Paredzamais rezultāts MASTER Mediation Controller serverī ir šāds:

1
slave -> RIP_MED_WEB_SLAVE
Piemērs 
1
slave -> 10.0.10.12

Paredzamais rezultāts SLAVE Mediation Controller serverī ir šāds:

1
master -> RIP_MED_WEB_MASTER
Piemērs 
1
master -> 10.0.10.10

SLAVE Mediation Controller serverī

Bootstrap statusu varat pārbaudīt no SLAVE servera, izmantojot šādu komandu:

1
hostManagerCtl getBootstrapStatus

Klasteris, kuram nav sinhronizācijas problēmu, atgriezīs vērtību 0.

Lai sinhronizētu abu Mediation Controller koplietoto noslēpumu, nepieciešama pēdējā komandu sērija, atkal SLAVE serverī:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Kāds ir starpserveru savienojuma mērķis?

Tas ir īpašs klastera darbības savienojums, kas ļauj Mediation Controller serverim maršrutēt datplūsmu uz citu Mediation Controller serveri gadījumos, kad mērķa Edge Gateway nav savienots ar pirmo serveri, bet tikai ar otro.

Piemēram, ja MASTER Mediation Controller serveris vairs nav savienots ar Edge Gateway, tas var izmantot starpserveru saiti, lai sasniegtu Edge Gateway caur SLAVE Mediation Controller serveri.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Savienojums zaudēts| GW(Edge Gateway)
    MASTER --> |Starpserveru savienojums| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

MASTER Mediation Controller serverī

Rediģējiet failu /etc/ipdiva/server/remoteServers.xml, lai norādītu starpserveru sertifikāta CN:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Aizstājiet SLAVECN ar starpserveru savienojumam paredzētā sertifikāta CN.
Ja nezināt starpserveru sertifikāta CN, var ievadīt rakstzīmi * (ieteicams šaubu gadījumā):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Piemērs

Ņemot vērā šādu informāciju:

  • Starpserveru sertifikāta CN: my-interserver-cert

Mediation Controller MASTER servera fails /etc/ipdiva/server/remoteServers.xml būtu jāaizpilda šādi:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Pilns fails 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

SLAVE Mediation Controller serverī

Nosūtiet starpserveru sertifikātu uz SLAVE Mediation Controller direktoriju /tmp/.
Pēc tam izpildiet tālāk norādītās komandas kā root, lai to pārvietotu uz mērķa direktoriju ar atbilstošām atļaujām:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Pēc tam rediģējiet failu /etc/ipdiva/server/remoteServers.xml, lai tagam <remoteConfig> pievienotu šādu saturu (veco tagu <localCluster> var pilnībā izdzēst):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Aizstājiet:

  • MASTERCN: norādiet MASTER Mediation Controller SSL Router sertifikāta CN, kas parasti ir RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: atbilst MASTER Mediation Controller sekundārajai IP adresei.
  • PORT_RIP_MED_SSL_MASTER: tas ir ports, kurā klausās MASTER Mediation Controller SSL Router; parasti tas ir 443.
  • INTERSERVER.P12: starpserveru savienojumam paredzētā sertifikāta nosaukums.
  • PASSWORD: starpserveru sertifikāta parole.
Piemērs

Ņemot vērā šādu informāciju:

  • Starpserveru sertifikāta nosaukums: my-interserver-cert.p12
  • Starpserveru sertifikāta parole: MySecurePassword
  • Mediation Controller MASTER RIP SSL: 10.0.10.11
  • Mediation Controller MASTER SSL RIP ports: 443
  • Mediation Controller MASTER sertifikāta CN: 10.0.10.11

Mediation Controller SLAVE servera fails /etc/ipdiva/server/remoteServers.xml būtu jāaizpilda šādi:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Pilns fails 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Mainiet SLAVE SSL Router konfigurāciju, izpildot šādu komandu:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

MASTER un SLAVE Mediation Controller serveros

Restartējiet SSL Router, lai lietotu starpserveru saites iestatījumus:

1
/usr/local/ipdiva/server/bin/restart

Lai pārliecinātos, ka starpserveru saite darbojas pareizi, tālāk norādītajai komandai jāatgriež rezultāts:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Iepriekšējai komandai jāizveido žurnāla ieraksts ar šādu saturu: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Ja šāds žurnāla ieraksts netiek parādīts, pārbaudiet šajā nodaļā iestatīto konfigurāciju.

MASTER Mediation Controller tīmekļa konsolē /mediation/system

Iespējojiet starpserveru savienojumu starp abiem Mediation Controller, rediģējot SSL virtuālo resursdatoru default:

Aizpildiet laukus atbilstoši tālāk sniegtajiem norādījumiem un iespējojiet starpserveru sasaistes funkciju, atzīmējot izvēles rūtiņu Is cross-server linking configured?:

  • Public address for plugin connections: atbilst VIP_MED_SSL, kam seko tās klausīšanās ports (parasti 443).
  • Actual public IP addresses for web connections: atbilst reālo tīmekļa IP adrešu pārim (RIP_MED_WEB_MASTER un RIP_MED_WEB_SLAVE) ar attiecīgajiem portiem, pa vienai rindai katram IP adreses un porta pārim.
  • Actual public IP addresses for SSL connections: atbilst reālo SSL IP adrešu pārim (RIP_MED_SSL_MASTER un RIP_MED_SSL_SLAVE) ar attiecīgajiem portiem, pa vienai rindai katram IP adreses un porta pārim.

CyberElements Bastion inicializēšana

Savienojuma izveide ar PostgreSQL datu bāzi

Lai darbotos, CyberElements Bastion ir nepieciešama ārēja PostgreSQL datu bāze (DB), kurā glabāt iestatījumus un dažādus konsoles /system žurnālus.
Ja DB ir tieši pieejama no Mediation Controller serveriem, pārejiet tieši uz DB inicializēšanas darbību.

Savienojuma izveide ar datu bāzi LAN tīklā

Lai iespējotu savienojumu ar datu bāzi, kas atrodas LAN tīklā, neatverot plūsmu no DMZ uz LAN, datu bāzes plūsma tiks novirzīta caur TLS tuneli starp Edge Gateway un Mediation Controller.
Lai to panāktu, ir jākonfigurē viens Edge Gateway (vai divi Edge Gateway), izmantojot pamatā esošo CyberElements Gate tehnoloģiju.

CyberElements Gate Edge Gateway deklarēšana

Lai to izdarītu, vispirms piesakieties CyberElements Gate konsolē /mediation/system.

Pēc tam atveriet izvēlni „Organizations“ un noklikšķiniet uz „Add“:

Ievadiet organizācijas nosaukumu, kam jāatšķiras no CyberElements Bastion piešķirtā nosaukuma (piemēram, tunnel), un norādiet vismaz vienu lietotāja sesijas licenci, kā arī konta admin paroli:

Piesakieties iepriekš izveidotās organizācijas administrēšanas saskarnē ar kontu admin, atverot /gate/admin:

Pēc tam deklarējiet abas Edge Gateway vārtejas, kas tiks izmantotas tuneļa izveidei.
Kreisajā pusē novietojiet peles rādītāju virs Infrastructure, noklikšķiniet uz Gateways un pēc tam uz pogas Add:

Ievadiet pirmās Edge Gateway vārtejas nosaukumu un apstipriniet ievadīto:

Informācija

Atgādinām, ka Edge Gateway vārtejas nosaukums ir saistīts ar sertifikātu, ko tā izmantos, lai autentificētos Mediation Controller komponentā SSL Router.
Šim nosaukumam ir šāda forma: <GW_NAME>@<ORGANIZATION_NAME>, kur <GW_NAME> atbilst Edge Gateway vārtejas nosaukumam un <ORGANIZATION_NAME> atbilst CyberElements Gate sistēmas konsolē izveidotās organizācijas nosaukumam.

Atkārtojiet Edge Gateway vārtejas deklarēšanas soli otrajai Edge Gateway vārtejai.

Tuneļa savienojumi un iestatījumi Edge Gateway serveros

Informācija

Tālāk norādītās darbības var atkārtot abās Edge Gateway vārtejās, kas tiek izmantotas tunelim piekļuvei datu bāzei.

Priekšnosacījumi

Lai pabeigtu šo daļu, jums būs jāizmanto viens no šiem variantiem:

Vispirms izmantojiet tādu rīku kā WinSCP vai FileZilla, lai, izmantojot SCP, pārsūtītu savienojumam nepieciešamo sertifikātu uz Edge Gateway vārtejas direktoriju /tmp/.

Pēc tam izveidojiet savienojumu, izmantojot SSH, un pārslēdzieties uz root.

Lai savienotu Edge Gateway vārteju ar abiem Mediation Controller, jāizveido divas jaunas Edge Gateway instances: viena izveidos savienojumu ar MASTER Mediation Controller, bet otra — ar SLAVE Mediation Controller.
Lai tās izveidotu, izpildiet šādas komandas:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Kopējiet sertifikāta failu direktorijos /etc/ipdiva/gateway-tunnel-master/ssl/ un /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Aizstājiet <CERT_NAME> ar tā sertifikāta nosaukumu, kas Edge Gateway vārtejai jāizmanto, lai izveidotu savienojumu ar Mediation Controller.

Konfigurējiet Edge Gateway instances, lai tās varētu izveidot savienojumu ar Mediation Controller serveriem.
Konfigurācijas atšķiras atkarībā no tā, ar kuru Mediation Controller jāsazinās. Veiciet abus iestatījumus:

Rediģējiet failu /etc/ipdiva/gateway-tunnel-master/gateway.xml un papildiniet to ar šādu informāciju (vairākas daļas ir izlaistas un apzīmētas ar […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Aizstājiet šādus elementus:

  • @SERVER@: jāaizstāj ar adresi RIP_MED_SSL_MASTER
  • @SERVERPORT@: jāaizstāj ar SSL Router klausīšanās portu, parasti 443
  • keyfile.pem: jāaizstāj ar sertifikāta faila nosaukumu
  • PASSWORD: jāaizstāj ar sertifikāta paroli
  • @RPC_PORT@: jāaizstāj ar portu, kurā dators pašlaik neklausās; var izmantot portu 9082
Piemērs

Ņemot vērā šādu informāciju:

  • RIP_MED_SSL_MASTER ir vienāds ar: 10.0.10.11
  • SSL Router klausīšanās ports: 443
  • Sertifikāta faila nosaukums: gate-tunnel.p12
  • Sertifikāta parole: Str0ngP@ssw0rd

Fails /etc/ipdiva/gateway-tunnel-master/gateway.xml būtu jākonfigurē šādi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Pilns fails 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Rediģējiet failu /etc/ipdiva/gateway-tunnel-slave/gateway.xml un papildiniet to ar šādu informāciju (vairākas daļas ir izlaistas un apzīmētas ar […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Aizstājiet šādus elementus:

  • @SERVER@: jāaizstāj ar adresi RIP_MED_SSL_SLAVE
  • @SERVERPORT@: jāaizstāj ar SSL Router klausīšanās portu, parasti 443
  • keyfile.pem: jāaizstāj ar sertifikāta faila nosaukumu
  • PASSWORD: jāaizstāj ar sertifikāta paroli
  • @RPC_PORT@: jāaizstāj ar portu, kas datorā pašlaik netiek izmantots; var izmantot portu 9083
Piemērs

Ņemot vērā šādu informāciju:

  • RIP_MED_SSL_SLAVE ir vienāds ar: 10.0.10.13
  • SSL Router klausīšanās ports: 443
  • Sertifikāta faila nosaukums: gate-tunnel.p12
  • Sertifikāta parole: Str0ngP@ssw0rd

Fails /etc/ipdiva/gateway-tunnel-slave/gateway.xml būtu jākonfigurē šādi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Pilns fails 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Tagad, kad instances ir konfigurētas savienojuma izveidei ar Mediation Controller serveriem, tās vēl jākonfigurē tā, lai tās novirzītu Mediation Controller savienojumu uz datu bāzi.
Lai to izdarītu, rediģējiet failu /etc/ipdiva/gateway-tunnel-master/services.xml un mainiet to šādi: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Aizstājiet DB_SERVER ar DNS nosaukumu vai IP adresi, ko izmanto savienojumam ar datu bāzi, un DB_PORT — ar datu bāzes instances klausīšanās portu.
Atkārtojiet šos iestatījumus instancei, kas izveido savienojumu ar SLAVE Mediation Controller serveri, kopējot failu:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Visbeidzot palaidiet Edge Gateway instances, lai tās izveidotu savienojumu ar Mediation Controller serveriem:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Mediation Controller tuneļa konfigurēšana

Lai Mediation Controller serveri varētu izmantot tuneli, vēl jādeklarē tā esamība.
Lai to izdarītu, piesakieties Mediation Controller serveros kā root un rediģējiet failu /etc/ipdiva/server/services.xml, lai pievienotu šādu daļu (vairākas daļas ir izlaistas un apzīmētas ar […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Aizstājiet šādus elementus:

  • GW1_NAME ar pirmās Edge Gateway vārtejas nosaukumu
  • GW2_NAME ar otrās Edge Gateway vārtejas nosaukumu
  • ORGANIZATION_NAME ar iepriekš izveidotās CyberElements Gate organizācijas nosaukumu
Piemērs

Ņemot vērā šādu informāciju:

  • Edge Gateway 1 nosaukums: gate-tunnel-1
  • Edge Gateway 2 nosaukums: gate-tunnel-2
  • CyberElements Gate organizācijas nosaukums: tunnel

Fails /etc/ipdiva/server/services.xml būtu jāaizpilda šādi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Pilns fails 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Lai lietotu jauno konfigurāciju, restartējiet SSL Router ar šādu komandu:

1
/usr/local/ipdiva/server/bin/restart

Datu bāzes inicializēšana

Uzmanību!

Datu bāze default jāizveido, pirms CyberElements Bastion to inicializē (tā netiek izveidota automātiski).

Lai inicializētu PostgreSQL sistēmas konfigurācijas datu bāzi, vispirms Mediation Controller serveros jākonfigurē savienojuma iestatījumi.
Lai to izdarītu, abos serveros rediģējiet failu /etc/ipdiva/care/databasesettings.ini un pievienojiet šādus ierakstus:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Aizstājiet šādus elementus:

  • DB_USERNAME ar lietotājvārdu, ko izmanto savienojumam ar datu bāzi.
  • DB_PWD ar tā lietotāja paroli, kurš piesakās.
  • DB_HOST ar IP adresi vai DNS nosaukumu, ko izmanto savienojumam ar datu bāzi; ja tiek izmantots savienojums caur Edge Gateway vārtejām, jāievada 127.0.0.1.
  • DB_PORT ar portu, ko izmanto savienojumam ar datu bāzes instanci; ja tiek izmantots savienojums caur Edge Gateway vārtejām, jāievada 1432.

Datu bāzes inicializāciju var palaist ar šīm komandām, kas jāizpilda tikai vienā Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Pēc tam atliek tikai restartēt pakalpojumu apache2 abos Mediation Controller serveros, lai lietotu sistēmas datu bāzes inicializāciju:

1
systemctl restart apache2

NTP laika servera konfigurēšana

Lai sistēmas pulkstenis vienmēr būtu aktuāls, ieteicams iestatīt laika serveri. Nepieciešamās darbības ir aprakstītas NTP konfigurācijas lapā.

CyberElements Bastion sākotnējās konfigurācijas

Piekļuves autorizācija tīmekļa saskarnēm ar virtuālo IP adresi

Pēc noklusējuma nav atļauts izveidot savienojumu ar produkta CyberElements Bastion tīmekļa saskarnēm, izmantojot virtuālo IP adresi VIP_MED_WEB.
Lai pievienotu autorizāciju, izpildiet Mediation Controller serveros kā root šādas komandas:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Aizstājiet IP ar IP adresi, kas atbilst VIP_MED_WEB.

Sākotnējās konfigurācijas

Šajā posmā Mediation Controller serveri ir instalēti, taču vēl ir jāveic vairākas darbības:

  • Mainiet noklusējuma paroles

    Mainiet sistēmas konsoļu noklusējuma paroles.

    Mainīt

  • Instalējiet sertifikātus un licences

    Lai Mediation Controller darbotos, tam ir nepieciešami dažādi sertifikāti un licence.
    Tikai CyberElements Bastion klienta sertifikāts ir atkārtoti jādeklarē abos Mediation Controller serveros (izmantojiet RIP RIP_MED_WEB_MASTER un RIP_MED_WEB_SLAVE).

    Instalēt sertifikātus un licenci

  • Konfigurējiet tīmekļa sertifikātu

    Konfigurējiet tīmekļa sertifikātu, kas tiek izmantots savienojumam ar tīmekļa saskarnēm

    Konfigurēt

  • Deklarējiet DNS nosaukumu

    Pievienojiet DNS nosaukumu, kuram ir atļauts izveidot savienojumu ar tīmekļa saskarnēm.

    Pievienot