Pāriet uz saturu

Mediation Controller serveru instalēšana

Piezīme

Atgādinām, ka Debian datoros pārslēgšanās uz root jāveic ar tālāk norādīto komandu:

1
su -

Šajā lapā sniegtie norādījumi ir jāatkārto abos Mediation Controller serveros, sākot ar serveri MASTER.
Ja starp serveriem MASTER un SLAVE ir atšķirības, tās tiks izceltas. Ja tas nav minēts, norādījumi attiecas gan uz serveri MASTER, gan uz serveri SLAVE.

Spoguļa un nepieciešamo rīku lejupielāde

CyberElements Cleanroom 4.6 spoguli un Systancia krātuves paraksta atslēgu var lejupielādēt, izmantojot šo saiti (nepieciešams izveidot klienta kontu): Systancia Marketplace

Papildus spogulim un atslēgai jaunināšanas procesam būs nepieciešami trešo pušu rīki:

  • SSH klients (operētājsistēmā Windows varat izmantot PuTTY)
  • SCP klients (operētājsistēmā Windows var izmantot rīkus WinSCP vai FileZilla)

Izmantojiet SSH klientu, lai attālināti izveidotu savienojumu ar savu serveri.

Izmantojiet SCP klientu, lai pārsūtītu failus uz savu attālo datoru.

Sagatavošanās instalēšanai

Tīkla konfigurācija

Instalējiet pakotni resolvconf, lai varētu lietot DNS konfigurāciju, kas norādīta konfigurācijas failā, kurš drīzumā tiks modificēts:

1
apt install -y resolvconf

Mediation Controller ir obligāti jākonfigurē statiska tīkla adrese. Lai to izdarītu, vispirms jāiegūst jūsu datora tīkla saskarnes nosaukums. Izpildiet tālāk norādīto komandu kā root:

1
ip -br a | grep -ve "^lo"

Šī komanda parāda tīkla saskarnes nosaukumu, tās statusu un saskarnei piešķirtās IP adreses.

Piemērs

Pēc komandas izpildes tiek parādīta šāda izvade:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Tīkla saskarnes nosaukums ir ens192.

Kad tīkla saskarnes nosaukums ir iegūts, var rediģēt datora tīkla konfigurāciju.
Rediģējiet failu /etc/network/interfaces, lai to mainītu atbilstoši šai veidnei:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Kur:

  • INTERFACE_NAME jāaizstāj ar iepriekš iegūto tīkla saskarnes nosaukumu.
  • RIP_MED_WEB_MASTER jāaizstāj ar servera galveno reālo IP adresi, caur kuru būs pieejamas tīmekļa konsoles.
  • NETMASK jāaizstāj ar IP adresei atbilstošo tīkla masku.
  • NETWORK_GATEWAY jāaizstāj ar tīkla noklusējuma vārteju.
  • IP_DNS jāaizstāj ar DNS servera IP adresi. Ja jākonfigurē vairāki serveri (ne vairāk kā 3), atdaliet tos ar atstarpi.
  • DNS_SUFFIX jāaizstāj ar izmantojamo DNS sufiksu. Ja sufikss nav jānorāda, izdzēsiet šo rindu.
  • RIP_MED_SSL_MASTER jāaizstāj ar servera sekundāro reālo IP adresi. Caur šo IP adresi būs pieejams SSL Router.
Piemērs 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Visbeidzot atliek tikai restartēt pakalpojumu networking, lai ielādētu jauno tīkla konfigurāciju: 

1
systemctl restart networking

Mediation Controller ir obligāti jākonfigurē statiska tīkla adrese. Lai to izdarītu, vispirms jāiegūst jūsu datora tīkla saskarnes nosaukums. Izpildiet tālāk norādīto komandu kā root:

1
ip -br a | grep -ve "^lo"

Šī komanda parāda tīkla saskarnes nosaukumu, tās statusu un saskarnei piešķirtās IP adreses.

Piemērs

Pēc komandas izpildes tiek parādīta šāda izvade:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Tīkla saskarnes nosaukums ir ens192.

Kad tīkla saskarnes nosaukums ir iegūts, var rediģēt datora tīkla konfigurāciju.
Rediģējiet failu /etc/network/interfaces, lai to mainītu atbilstoši šai veidnei:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Kur:

  • INTERFACE_NAME jāaizstāj ar iepriekš iegūto tīkla saskarnes nosaukumu.
  • RIP_MED_WEB_SLAVE jāaizstāj ar servera galveno reālo IP adresi, caur kuru būs pieejamas tīmekļa konsoles.
  • NETMASK jāaizstāj ar IP adresei atbilstošo tīkla masku.
  • NETWORK_GATEWAY jāaizstāj ar tīkla noklusējuma vārteju.
  • IP_DNS jāaizstāj ar DNS servera IP adresi. Ja jākonfigurē vairāki serveri (ne vairāk kā 3), atdaliet tos ar atstarpi.
  • DNS_SUFFIX jāaizstāj ar izmantojamo DNS sufiksu. Ja sufikss nav jānorāda, izdzēsiet šo rindu.
  • RIP_MED_SSL_SLAVE jāaizstāj ar servera sekundāro reālo IP adresi. Caur šo IP adresi būs pieejams SSL Router.
Piemērs 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Visbeidzot atliek tikai restartēt pakalpojumu networking, lai ielādētu jauno tīkla konfigurāciju: 

1
systemctl restart networking

Atlicis pēdējais solis: modificējiet datora iekšējo nosaukumu izšķiršanu tā, lai datora nosaukums tiktu izšķirts uz tā faktisko primāro IP adresi (kas atbilst RIP_MED_WEB_MASTER vai RIP_MED_WEB_SLAVE).
Lai to izdarītu, rediģējiet failu /etc/hosts un aizstājiet 127.0.1.1 ar RIP_MED_WEB_MASTER vai RIP_MED_WEB_SLAVE atkarībā no Mediation Controller servera.

Piemērs

Mediation Controller serverim, kura faktiskā tīmekļa IP adrese ir 10.0.10.10 un kura nosaukums ir mediation-controller.domain.local, failam /etc/hosts būs šāda vērtība:

1
2
127.0.0.1       localhost
10.0.10.10      mediation-controller.domain.local   mediation-controller

Uzmanību!

Nepareiza faila konfigurācija var izraisīt kļūdu, instalējot pakotni collectd.

Pakotņu pārvaldnieka APT konfigurēšana

Augšupielādējiet no Systancia Marketplace lejupielādētos failus servera direktorijā /tmp/, izmantojot SCP klientu:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Piesakieties serverī kā root un pēc tam izpildiet tālāk norādītās komandas, lai izpakotu Systancia krātuvi, konfigurētu tās izmantošanu APT un to autentificētu.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Mēs stingri iesakām atspējot nevajadzīgu pakotņu instalēšanu, izpildot apt komandas. Lai to izdarītu, izpildiet šādu komandu:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Lokāles en_US.utf8 esamības pārbaude

Mediation Controller servera instalēšanai ir jāģenerē lokāles en_US.utf8.
Lai pārbaudītu, vai tās serverī jau ir ģenerētas, izpildiet šādu komandu kā root:

1
locale -a  | grep en_US.utf8

Ja komandas izvadē ir redzams en_US.utf8, pārejiet pie nākamās darbības — GRUB konfigurēšanas.
Pretējā gadījumā izpildiet šādas komandas, lai pievienotu šo lokāli datoram:

1
2
sed -i "s/# en_US.UTF-8 UTF-8/en_US.UTF-8 UTF-8/" /etc/locale.gen
locale-gen

Sāknēšanas programmas GRUB konfigurēšana

Kad šīs komandas ir izpildītas, jums jārestartē dators pēc iestatījuma lietošanas sāknēšanas programmā GRUB:

1
2
3
sed '9s/quiet/quiet vsyscall=emulate/' -i /etc/default/grub
update-grub
reboot

CyberElements Bastion Mediation Controller servera instalēšana

Pamatkomponentu instalēšana

Sāciet komponentu instalēšanu, izpildot tālāk norādīto komandu kā root:

1
apt install -y ipdiva-base

Pēc visu atkarību lejupielādes tiks atvērts logs, kurā jums tiks lūgts atlasīt servera tipu. Atlasiet mediation:

Pēc tam atlasiet instalēšanas režīmu lbMaster:

Pēc tam atlasiet instalēšanas režīmu lbSlave:

Pēc tam jums būs jāievada ports, kurā klausīsies komponents SSL Router. Parasti šis klausīšanās ports ir 443, taču var izmantot arī portu 8443, ja Mediation Controller serveris izmanto tikai vienu IP adresi:

Pēc tam iestatiet klastera režīmu uz loadbalancing, lai lietotāju slodze tiktu sadalīta starp abiem Mediation Controller serveriem:

Norādiet klastera virtuālo tīmekļa IP adresi VIP_MED_WEB:

Ievadiet klastera virtuālo SSL IP adresi VIP_MED_SSL:

Ievadiet klastera konfigurācijas datu bāzes virtuālo IP adresi VIP_MED_ZEO:

Ievadiet Mediation Controller MASTER reālo tīmekļa IP adresi RIP_MED_WEB_MASTER:

Ievadiet Mediation Controller MASTER reālo SSL IP adresi RIP_MED_SSL_MASTER:

Ievadiet Mediation Controller SLAVE reālo tīmekļa IP adresi RIP_MED_WEB_SLAVE:

Visbeidzot ievadiet Mediation Controller SLAVE reālo SSL IP adresi RIP_MED_SSL_SLAVE:

Kā rīkoties kļūdas gadījumā?

Ja ievadītajā informācijā ir kļūda, turpiniet pakotnes ipdiva-base instalēšanu un pēc tam izmantojiet tālāk norādīto komandu, lai atkārtoti konfigurētu serveri:

1
dpkg-reconfigure ipdiva-base

Klastera komponentu instalēšana

Pēc pamatkomponentu instalēšanas Mediation Controller serveros ir jāinstalē klastera komponenti:

1
apt install -y ipdiva-mediation-cluster

Pēc komponentu instalēšanas ir nepieciešama restartēšana:

1
reboot

Klastera konfigurēšana

CyberElements Gate konsoles /mediation/system paroles maiņa

Šajā instalēšanas posmā ir pieejama jauna administrēšanas saskarne: Mainīt paroli

Licenču un sertifikātu lietošana

Joprojām konsolē /mediation/system jums būs jāievada Mediation Controller servera sertifikāti un licences.

Uzmanību!

SSL Router licence un sertifikāts ir specifiski MASTER vai SLAVE Mediation Controller serverim.
Nepareizas licences vai sertifikāta konfigurēšana vēlāk izraisīs darbības traucējumus.

Lietojiet komponenta SSL Router licenci un sertifikātu:

  1. Noklikšķiniet uz cilnes Settings.
  2. Izvēlnē atlasiet SSL Connections.
  3. Sameklējiet SSL Router sertifikātu.
  4. Ievadiet SSL Router sertifikāta paroli.
  5. Noklikšķiniet uz Apply, lai lietotu sertifikātu komponentam SSL Router.
  6. Atlasiet servera licences failu.
  7. Noklikšķiniet uz Modify, lai lietotu servera licenci.

Pēc tam ievadiet CyberElements Bastion klienta sertifikāta informāciju:

  1. Atlasiet cilni Plugin.
  2. Sameklējiet CyberElements Bastion klienta sertifikātu.
  3. Ievadiet sertifikāta paroli.
  4. Noklikšķiniet uz Apply, lai lietotu sertifikātu.

Vēl jāievada Watchdog sertifikāta informācija:

  1. Atlasiet cilni Watchdog
  2. Sameklējiet Watchdog sertifikātu.
  3. Ievadiet sertifikāta paroli.
  4. Noklikšķiniet uz Apply, lai lietotu sertifikātu.

Lai šīs izmaiņas stātos spēkā, jārestartē SSL Router un Watchdog:

Mediation Controller serveru pairing

Uzmanību!

Šajā brīdī abiem Mediation Controller serveriem jābūt konfigurētiem līdz licenču un sertifikātu lietošanai.
Ja SLAVE Mediation Controller serveris vēl nav konfigurēts, konfigurējiet to, sākot no šīs dokumentācijas sākuma.

Mediation Controller serveru pairing solis izveidos uzticamības saiti starp abiem serveriem un inicializēs klastera darbību.

SLAVE Mediation Controller serverī

Izpildiet tālāk norādīto komandu kā root, lai nosūtītu pairing pieprasījumu MASTER Mediation Controller serverim:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Aizstājiet RIP_MED_WEB_MASTER ar attiecīgo IP adresi.

Piemērs

Ja RIP_MED_WEB_MASTER ir vienāds ar 10.0.10.10, jāievada šāda komanda:

1
hostManagerCtl bootstrap 10.0.10.10

MASTER Mediation Controller serverī

Izpildiet tālāk norādīto komandu kā root, lai pārbaudītu gaidošos pairing pieprasījumus un iegūtu pieprasījuma ID: 

1
hostManagerCtl getPendingRequests

Pēc tam izpildiet tālāk norādīto komandu, lai pieņemtu pairing pieprasījumu, aizstājot ID ar iepriekšējā komandā iegūto ID:

1
hostManagerCtl acceptRequest ID
Piemērs

Ja komandas hostManagerCtl getPendingRequests atgrieztā vērtība ir šāda:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Tad komanda pairing pieprasījuma pieņemšanai ir šāda:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Lai pārbaudītu sasaisti, izmantojiet tālāk norādīto komandu Mediation Controller serverī (MASTER vai SLAVE):

1
hostManagerCtl listPeers

Rezultāts atšķirsies atkarībā no servera, kurā komanda tiek izpildīta:

Paredzamais rezultāts MASTER Mediation Controller serverī ir šāds:

1
slave -> RIP_MED_WEB_SLAVE
Piemērs 
1
slave -> 10.0.10.12

Paredzamais rezultāts SLAVE Mediation Controller serverī ir šāds:

1
master -> RIP_MED_WEB_MASTER
Piemērs 
1
master -> 10.0.10.10

SLAVE Mediation Controller serverī

Bootstrap statusu varat pārbaudīt no SLAVE servera, izmantojot šādu komandu:

1
hostManagerCtl getBootstrapStatus

Klasteris, kuram nav sinhronizācijas problēmu, atgriezīs vērtību 0.

Lai sinhronizētu abu Mediation Controller koplietoto noslēpumu, nepieciešama pēdējā komandu sērija, atkal SLAVE serverī:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Kāds ir starpserveru savienojuma mērķis?

Tas ir īpašs klastera darbības savienojums, kas ļauj Mediation Controller serverim maršrutēt datplūsmu uz citu Mediation Controller serveri gadījumos, kad mērķa Edge Gateway nav savienots ar pirmo serveri, bet tikai ar otro.

Piemēram, ja MASTER Mediation Controller serveris vairs nav savienots ar Edge Gateway, tas var izmantot starpserveru saiti, lai sasniegtu Edge Gateway caur SLAVE Mediation Controller serveri.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Savienojums zaudēts| GW(Edge Gateway)
    MASTER --> |Starpserveru savienojums| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

MASTER Mediation Controller serverī

Rediģējiet failu /etc/ipdiva/server/remoteServers.xml, lai norādītu starpserveru sertifikāta CN:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Aizstājiet SLAVECN ar starpserveru savienojumam paredzētā sertifikāta CN.
Ja nezināt starpserveru sertifikāta CN, var ievadīt rakstzīmi * (ieteicams šaubu gadījumā):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Piemērs

Ņemot vērā šādu informāciju:

  • Starpserveru sertifikāta CN: my-interserver-cert

Mediation Controller MASTER servera fails /etc/ipdiva/server/remoteServers.xml būtu jāaizpilda šādi:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Pilns fails 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

SLAVE Mediation Controller serverī

Nosūtiet starpserveru sertifikātu uz SLAVE Mediation Controller direktoriju /tmp/.
Pēc tam izpildiet tālāk norādītās komandas kā root, lai to pārvietotu uz mērķa direktoriju ar atbilstošām atļaujām:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Pēc tam rediģējiet failu /etc/ipdiva/server/remoteServers.xml, lai tagam <remoteConfig> pievienotu šādu saturu (veco tagu <localCluster> var pilnībā izdzēst):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Aizstājiet:

  • MASTERCN: norādiet MASTER Mediation Controller SSL Router sertifikāta CN, kas parasti ir RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: atbilst MASTER Mediation Controller sekundārajai IP adresei.
  • PORT_RIP_MED_SSL_MASTER: tas ir ports, kurā klausās MASTER Mediation Controller SSL Router; parasti tas ir 443.
  • INTERSERVER.P12: starpserveru savienojumam paredzētā sertifikāta nosaukums.
  • PASSWORD: starpserveru sertifikāta parole.
Piemērs

Ņemot vērā šādu informāciju:

  • Starpserveru sertifikāta nosaukums: my-interserver-cert.p12
  • Starpserveru sertifikāta parole: MySecurePassword
  • Mediation Controller MASTER RIP SSL: 10.0.10.11
  • Mediation Controller MASTER SSL RIP ports: 443
  • Mediation Controller MASTER sertifikāta CN: 10.0.10.11

Mediation Controller SLAVE servera fails /etc/ipdiva/server/remoteServers.xml būtu jāaizpilda šādi:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Pilns fails 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Mainiet SLAVE SSL Router konfigurāciju, izpildot šādu komandu:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

MASTER un SLAVE Mediation Controller serveros

Restartējiet SSL Router, lai lietotu starpserveru saites iestatījumus:

1
/usr/local/ipdiva/server/bin/restart

Lai pārliecinātos, ka starpserveru saite darbojas pareizi, tālāk norādītajai komandai jāatgriež rezultāts:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Iepriekšējai komandai jāizveido žurnāla ieraksts ar šādu saturu: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Ja šāds žurnāla ieraksts netiek parādīts, pārbaudiet šajā nodaļā iestatīto konfigurāciju.

MASTER Mediation Controller tīmekļa konsolē /mediation/system

Iespējojiet starpserveru savienojumu starp abiem Mediation Controller, rediģējot SSL virtuālo resursdatoru default:

Aizpildiet laukus atbilstoši tālāk sniegtajiem norādījumiem un iespējojiet starpserveru sasaistes funkciju, atzīmējot izvēles rūtiņu Is cross-server linking configured?:

  • Public address for plugin connections: atbilst VIP_MED_SSL, kam seko tās klausīšanās ports (parasti 443).
  • Actual public IP addresses for web connections: atbilst reālo tīmekļa IP adrešu pārim (RIP_MED_WEB_MASTER un RIP_MED_WEB_SLAVE) ar attiecīgajiem portiem, pa vienai rindai katram IP adreses un porta pārim.
  • Actual public IP addresses for SSL connections: atbilst reālo SSL IP adrešu pārim (RIP_MED_SSL_MASTER un RIP_MED_SSL_SLAVE) ar attiecīgajiem portiem, pa vienai rindai katram IP adreses un porta pārim.

Specifisku CyberElements Bastion komponentu instalēšana

Sāciet CyberElements Bastion komponentu instalēšanu Mediation Controller serveros, izmantojot šādu komandu:

1
apt install -y ipdiva-safe-server

Lai pabeigtu instalēšanu, serveri ir jārestartē:

1
reboot

Savienojuma izveide ar PostgreSQL datu bāzi

Lai darbotos, CyberElements Bastion ir nepieciešama ārēja PostgreSQL datu bāze (DB), kurā glabāt iestatījumus un dažādus konsoles /system žurnālus.
Ja DB ir tieši pieejama no Mediation Controller serveriem, pārejiet tieši uz DB inicializēšanas darbību.

Savienojuma izveide ar datu bāzi LAN tīklā

Lai iespējotu savienojumu ar datu bāzi, kas atrodas LAN tīklā, neatverot plūsmu no DMZ uz LAN, datu bāzes plūsma tiks novirzīta caur TLS tuneli starp Edge Gateway un Mediation Controller.
Lai to panāktu, ir jākonfigurē viens Edge Gateway (vai divi Edge Gateway), izmantojot pamatā esošo CyberElements Gate tehnoloģiju.

CyberElements Gate Edge Gateway deklarēšana

Lai to izdarītu, vispirms piesakieties CyberElements Gate konsolē /mediation/system.

Pēc tam atveriet izvēlni „Organizations“ un noklikšķiniet uz „Add“:

Ievadiet organizācijas nosaukumu, kam jāatšķiras no CyberElements Bastion piešķirtā nosaukuma (piemēram, tunnel), un norādiet vismaz vienu lietotāja sesijas licenci, kā arī konta admin paroli:

Piesakieties iepriekš izveidotās organizācijas administrēšanas saskarnē ar kontu admin, atverot /gate/admin:

Pēc tam deklarējiet abas Edge Gateway vārtejas, kas tiks izmantotas tuneļa izveidei.
Kreisajā pusē novietojiet peles rādītāju virs Infrastructure, noklikšķiniet uz Gateways un pēc tam uz pogas Add:

Ievadiet pirmās Edge Gateway vārtejas nosaukumu un apstipriniet ievadīto:

Informācija

Atgādinām, ka Edge Gateway vārtejas nosaukums ir saistīts ar sertifikātu, ko tā izmantos, lai autentificētos Mediation Controller komponentā SSL Router.
Šim nosaukumam ir šāda forma: <GW_NAME>@<ORGANIZATION_NAME>, kur <GW_NAME> atbilst Edge Gateway vārtejas nosaukumam un <ORGANIZATION_NAME> atbilst CyberElements Gate sistēmas konsolē izveidotās organizācijas nosaukumam.

Atkārtojiet Edge Gateway vārtejas deklarēšanas soli otrajai Edge Gateway vārtejai.

Tuneļa savienojumi un iestatījumi Edge Gateway serveros

Informācija

Tālāk norādītās darbības var atkārtot abās Edge Gateway vārtejās, kas tiek izmantotas tunelim piekļuvei datu bāzei.

Priekšnosacījumi

Lai pabeigtu šo daļu, jums būs jāizmanto viens no šiem variantiem:

Vispirms izmantojiet tādu rīku kā WinSCP vai FileZilla, lai, izmantojot SCP, pārsūtītu savienojumam nepieciešamo sertifikātu uz Edge Gateway vārtejas direktoriju /tmp/.

Pēc tam izveidojiet savienojumu, izmantojot SSH, un pārslēdzieties uz root.

Lai savienotu Edge Gateway vārteju ar abiem Mediation Controller, jāizveido divas jaunas Edge Gateway instances: viena izveidos savienojumu ar MASTER Mediation Controller, bet otra — ar SLAVE Mediation Controller.
Lai tās izveidotu, izpildiet šādas komandas:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Kopējiet sertifikāta failu direktorijos /etc/ipdiva/gateway-tunnel-master/ssl/ un /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Aizstājiet <CERT_NAME> ar tā sertifikāta nosaukumu, kas Edge Gateway vārtejai jāizmanto, lai izveidotu savienojumu ar Mediation Controller.

Konfigurējiet Edge Gateway instances, lai tās varētu izveidot savienojumu ar Mediation Controller serveriem.
Konfigurācijas atšķiras atkarībā no tā, ar kuru Mediation Controller jāsazinās. Veiciet abus iestatījumus:

Rediģējiet failu /etc/ipdiva/gateway-tunnel-master/gateway.xml un papildiniet to ar šādu informāciju (vairākas daļas ir izlaistas un apzīmētas ar […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Aizstājiet šādus elementus:

  • @SERVER@: jāaizstāj ar adresi RIP_MED_SSL_MASTER
  • @SERVERPORT@: jāaizstāj ar SSL Router klausīšanās portu, parasti 443
  • keyfile.pem: jāaizstāj ar sertifikāta faila nosaukumu
  • PASSWORD: jāaizstāj ar sertifikāta paroli
  • @RPC_PORT@: jāaizstāj ar portu, kurā dators pašlaik neklausās; var izmantot portu 9082
Piemērs

Ņemot vērā šādu informāciju:

  • RIP_MED_SSL_MASTER ir vienāds ar: 10.0.10.11
  • SSL Router klausīšanās ports: 443
  • Sertifikāta faila nosaukums: gate-tunnel.p12
  • Sertifikāta parole: Str0ngP@ssw0rd

Fails /etc/ipdiva/gateway-tunnel-master/gateway.xml būtu jākonfigurē šādi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Pilns fails 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Rediģējiet failu /etc/ipdiva/gateway-tunnel-slave/gateway.xml un papildiniet to ar šādu informāciju (vairākas daļas ir izlaistas un apzīmētas ar […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Aizstājiet šādus elementus:

  • @SERVER@: jāaizstāj ar adresi RIP_MED_SSL_SLAVE
  • @SERVERPORT@: jāaizstāj ar SSL Router klausīšanās portu, parasti 443
  • keyfile.pem: jāaizstāj ar sertifikāta faila nosaukumu
  • PASSWORD: jāaizstāj ar sertifikāta paroli
  • @RPC_PORT@: jāaizstāj ar portu, kas datorā pašlaik netiek izmantots; var izmantot portu 9083
Piemērs

Ņemot vērā šādu informāciju:

  • RIP_MED_SSL_SLAVE ir vienāds ar: 10.0.10.13
  • SSL Router klausīšanās ports: 443
  • Sertifikāta faila nosaukums: gate-tunnel.p12
  • Sertifikāta parole: Str0ngP@ssw0rd

Fails /etc/ipdiva/gateway-tunnel-slave/gateway.xml būtu jākonfigurē šādi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Pilns fails 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Tagad, kad instances ir konfigurētas savienojuma izveidei ar Mediation Controller serveriem, tās vēl jākonfigurē tā, lai tās novirzītu Mediation Controller savienojumu uz datu bāzi.
Lai to izdarītu, rediģējiet failu /etc/ipdiva/gateway-tunnel-master/services.xml un mainiet to šādi: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Aizstājiet DB_SERVER ar DNS nosaukumu vai IP adresi, ko izmanto savienojumam ar datu bāzi, un DB_PORT — ar datu bāzes instances klausīšanās portu.
Atkārtojiet šos iestatījumus instancei, kas izveido savienojumu ar SLAVE Mediation Controller serveri, kopējot failu:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Visbeidzot palaidiet Edge Gateway instances, lai tās izveidotu savienojumu ar Mediation Controller serveriem:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Mediation Controller tuneļa konfigurēšana

Lai Mediation Controller serveri varētu izmantot tuneli, vēl jādeklarē tā esamība.
Lai to izdarītu, piesakieties Mediation Controller serveros kā root un rediģējiet failu /etc/ipdiva/server/services.xml, lai pievienotu šādu daļu (vairākas daļas ir izlaistas un apzīmētas ar […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Aizstājiet šādus elementus:

  • GW1_NAME ar pirmās Edge Gateway vārtejas nosaukumu
  • GW2_NAME ar otrās Edge Gateway vārtejas nosaukumu
  • ORGANIZATION_NAME ar iepriekš izveidotās CyberElements Gate organizācijas nosaukumu
Piemērs

Ņemot vērā šādu informāciju:

  • Edge Gateway 1 nosaukums: gate-tunnel-1
  • Edge Gateway 2 nosaukums: gate-tunnel-2
  • CyberElements Gate organizācijas nosaukums: tunnel

Fails /etc/ipdiva/server/services.xml būtu jāaizpilda šādi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Pilns fails 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Lai lietotu jauno konfigurāciju, restartējiet SSL Router ar šādu komandu:

1
/usr/local/ipdiva/server/bin/restart

Datu bāzes inicializēšana

Uzmanību!

Datu bāze default jāizveido, pirms CyberElements Bastion to inicializē (tā netiek izveidota automātiski).

Lai inicializētu PostgreSQL sistēmas konfigurācijas datu bāzi, vispirms Mediation Controller serveros jākonfigurē savienojuma iestatījumi.
Lai to izdarītu, abos serveros rediģējiet failu /etc/ipdiva/care/databasesettings.ini un pievienojiet šādus ierakstus:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Aizstājiet šādus elementus:

  • DB_USERNAME ar lietotājvārdu, ko izmanto savienojumam ar datu bāzi.
  • DB_PWD ar tā lietotāja paroli, kurš piesakās.
  • DB_HOST ar IP adresi vai DNS nosaukumu, ko izmanto savienojumam ar datu bāzi; ja tiek izmantots savienojums caur Edge Gateway vārtejām, jāievada 127.0.0.1.
  • DB_PORT ar portu, ko izmanto savienojumam ar datu bāzes instanci; ja tiek izmantots savienojums caur Edge Gateway vārtejām, jāievada 1432.

Datu bāzes inicializāciju var palaist ar šīm komandām, kas jāizpilda tikai vienā Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Pēc tam atliek tikai restartēt pakalpojumu apache2 abos Mediation Controller serveros, lai lietotu sistēmas datu bāzes inicializāciju:

1
systemctl restart apache2

Draiveru instalēšana savienojumam ar Microsoft SQL datu bāzēm

Ja vēlaties izveidot savienojumu ar ārēju datu bāzi un tā ir Microsoft SQL Server datu bāze, jāinstalē papildu ODBC draiveri.

Ir pieejamas divas versijas: versija 17 un versija 18.

Versijas 18 draiveriem nepieciešams TLS savienojums

Lai izmantotu ODBC 18 draiverus, savienojumam jābūt šifrētam ar TLS. Lai to nodrošinātu, jums jākonfigurē MS SQL Server savienojumu šifrēšanai.

Pirms ODBC draiveru instalēšanas sākšanas jāinstalē sagatavošanai nepieciešamās pakotnes un pēc tam jāsagatavo Microsoft krātuve pakotņu instalēšanai:

1
2
3
4
apt install -y curl apt-transport-https gpg
curl -fsSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor -o /usr/share/keyrings/microsoft-prod.gpg
curl https://packages.microsoft.com/config/debian/12/prod.list > /etc/apt/sources.list.d/mssql-release.list
apt update

Pēc tam instalējiet draiverus atbilstoši atlasītajai versijai un konfigurējiet sistēmu komandas sqlcmd izmantošanai:

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql17 mssql-tools python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools/bin/sqlcmd /usr/bin/sqlcmd

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql18 mssql-tools18 python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools18/bin/sqlcmd /usr/bin/sqlcmd

ODBC draiveri tagad ir pareizi instalēti.
Ja Mediation Controller serverim ir piekļuve MS SQL serverim, tālāk norādītajai komandai vajadzētu ļaut izveidot savienojumu ar attālo serveri: 

1
sqlcmd -S SERVER\INSTANCE_NAME,PORT -U USER

Kur:

  • SERVER jāaizstāj ar MS SQL servera DNS nosaukumu vai IP adresi.
  • INSTANCE_NAME jāaizstāj ar tās instances nosaukumu, ar kuru jāizveido savienojums; ja tas nav nepieciešams, noņemiet arī rakstzīmi \.
  • PORT jāaizstāj ar MS SQL datu bāzes instances savienojuma portu.
  • USER jāaizstāj ar lietotājvārdu savienojuma izveidei.
Piemēri

Pieņemsim, ka Mediation Controller serverim ir piekļuve MS SQL datu bāzes serverim, izmantojot IP adresi 10.0.10.100, instance, kurai jāpiekļūst, klausās portā 1433 un piekļuves konts ir sql-user. Tad savienojuma komanda ir šāda:

1
sqlcmd -S 10.0.10.100,1433 -U sql-user

Ja būtu jānorāda savienojuma instance ar nosaukumu MSSQLINSTANCE, komanda būtu jāmaina šādi:

1
sqlcmd -S 10.0.10.100\MSSQLINSTANCE,1433 -U sql-user

NTP laika servera konfigurēšana

Lai sistēmas pulkstenis vienmēr būtu aktuāls, ieteicams iestatīt laika serveri. Nepieciešamās darbības ir aprakstītas NTP konfigurācijas lapā.

CyberElements Bastion sākotnējās konfigurācijas

Piekļuves autorizācija tīmekļa saskarnēm ar virtuālo IP adresi

Pēc noklusējuma nav atļauts izveidot savienojumu ar produkta CyberElements Bastion tīmekļa saskarnēm, izmantojot virtuālo IP adresi VIP_MED_WEB.
Lai pievienotu autorizāciju, izpildiet Mediation Controller serveros kā root šādas komandas:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Aizstājiet IP ar IP adresi, kas atbilst VIP_MED_WEB.

Sākotnējās konfigurācijas

Šajā posmā Mediation Controller serveri ir instalēti, taču vēl ir jāveic vairākas darbības:

  • Mainiet noklusējuma paroles

    Mainiet sistēmas konsoļu noklusējuma paroles.

    Mainīt

  • Instalējiet sertifikātus un licences

    Lai Mediation Controller darbotos, tam ir nepieciešami dažādi sertifikāti un licence.
    Tikai CyberElements Bastion klienta sertifikāts ir atkārtoti jādeklarē abos Mediation Controller serveros (izmantojiet RIP RIP_MED_WEB_MASTER un RIP_MED_WEB_SLAVE).

    Instalēt sertifikātus un licenci

  • Konfigurējiet tīmekļa sertifikātu

    Konfigurējiet tīmekļa sertifikātu, kas tiek izmantots savienojumam ar tīmekļa saskarnēm

    Konfigurēt

  • Deklarējiet DNS nosaukumu

    Pievienojiet DNS nosaukumu, kuram ir atļauts izveidot savienojumu ar tīmekļa saskarnēm.

    Pievienot

  • Konfigurējiet organizāciju

    Konfigurējiet CyberElements Bastion organizāciju.

    Konfigurēt ar tiešu piekļuvi datu bāzei

    Konfigurēt ar piekļuvi datu bāzei caur Edge Gateway tuneli

  • Deklarējiet Edge Gateway

    Deklarējiet vienu vai vairākus instalējamos Edge Gateway vai HTML5 Gateway.

    Izveidot Edge Gateway

  • Izveidojiet loģisko site

    Izveidojiet un konfigurējiet loģisko site, kas apvieno Edge Gateway un HTML5 Gateway, kuri var piekļūt lokālajiem resursiem.

    Izveidot site

  • Instalējiet Edge Gateway

    Instalējiet un konfigurējiet jaunu Edge Gateway ar tikko instalētajiem Mediation Controller serveriem.
    Tiks konfigurēta arī HTML5 Gateway instance.

    Instalēt