Aqbeż għall-kontenut

Installazzjoni tas-servers Mediation Controller

Nota

Bħala tfakkira, il-qlib għal root fuq kompjuters Debian għandu jsir bil-kmand li ġej:

1
su -

L-istruzzjonijiet mogħtija f’din il-paġna għandhom jiġu replikati fuq iż-żewġ servers Mediation Controller, billi tibda bis-server MASTER.
Meta jidhru differenzi bejn is-servers MASTER u SLAVE, dawn jiġu enfasizzati. Jekk ma jissemma xejn, l-istruzzjonijiet japplikaw kemm għas-server MASTER kif ukoll għas-server SLAVE.

Tniżżil tal-mirror u tal-għodod meħtieġa

Il-mirror ta’ CyberElements Cleanroom 4.6 u ċ-ċavetta tal-firma tar-repożitorju ta’ Systancia jistgħu jitniżżlu minn dan il-link (jeħtieġ il-ħolqien ta’ kont tal-klijent): Systancia Marketplace

Minbarra l-mirror u ċ-ċavetta, se jkunu meħtieġa għodod ta’ partijiet terzi għall-proċess tat-titjib tal-verżjoni:

  • Klijent SSH (fuq Windows, tista’ tuża PuTTY)
  • Klijent SCP (fuq Windows, jistgħu jintużaw l-għodod WinSCP jew FileZilla)

Uża l-klijent SSH biex tikkonnettja mill-bogħod mas-server tiegħek.

Uża l-klijent SCP biex tittrasferixxi fajls lejn il-kompjuter remot tiegħek.

Tħejjija għall-installazzjoni

Konfigurazzjoni tan-netwerk

Installa l-pakkett resolvconf biex tkun tista’ tiġi applikata l-konfigurazzjoni DNS speċifikata fil-fajl tal-konfigurazzjoni li se jiġi modifikat dalwaqt:

1
apt install -y resolvconf

Huwa essenzjali li tikkonfigura indirizz tan-netwerk statiku għall-komponent Mediation Controller. Biex tagħmel dan, l-ewwel trid tikseb l-isem tal-interfaċċa tan-netwerk tal-kompjuter tiegħek. Ħaddem il-kmand li ġej bħala root:

1
ip -br a | grep -ve "^lo"

Dan il-kmand juri l-isem tal-interfaċċa tan-netwerk, l-istatus tagħha, u l-indirizzi IP assenjati lill-interfaċċa.

Eżempju

Wara li jiġi eżegwit il-kmand, jintwera l-output li ġej:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

L-isem tal-interfaċċa tan-netwerk huwa ens192.

Ladarba jkun inkiseb l-isem tal-interfaċċa tan-netwerk, issa huwa possibbli li teditja l-konfigurazzjoni tan-netwerk tal-kompjuter.
Editja l-fajl /etc/network/interfaces biex timmodifikah billi tuża l-mudell li ġej:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Fejn:

  • INTERFACE_NAME għandu jiġi sostitwit bl-isem tal-interfaċċa tan-netwerk miksub qabel.
  • RIP_MED_WEB_MASTER għandu jiġi sostitwit bl-indirizz IP reali prinċipali tas-server, li se jkun l-indirizz IP li permezz tiegħu jkunu aċċessibbli l-konsols web.
  • NETMASK għandu jiġi sostitwit bil-maskra tan-netwerk assoċjata mal-indirizz IP.
  • NETWORK_GATEWAY għandu jiġi sostitwit bil-gateway default tan-netwerk.
  • IP_DNS għandu jiġi sostitwit bl-indirizz IP tas-server DNS. Jekk ikunu jridu jiġu kkonfigurati diversi servers (massimu ta’ 3), isseparahom bi spazju.
  • DNS_SUFFIX għandu jiġi sostitwit bis-suffiss DNS li għandu jintuża. Jekk ma jkun meħtieġ ebda suffiss, ħassar il-linja.
  • RIP_MED_SSL_MASTER għandu jiġi sostitwit bl-indirizz IP reali sekondarju tas-server. Dan se jkun l-indirizz IP li permezz tiegħu se jkun aċċessibbli l-komponent SSL Router.
Eżempju 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Fl-aħħar, ma jibqa’ xejn ħlief li terġa’ tibda s-servizz networking sabiex titgħabba l-konfigurazzjoni l-ġdida tan-netwerk: 

1
systemctl restart networking

Huwa essenzjali li tikkonfigura indirizz tan-netwerk statiku għall-komponent Mediation Controller. Biex tagħmel dan, l-ewwel trid tikseb l-isem tal-interfaċċa tan-netwerk tal-kompjuter tiegħek. Ħaddem il-kmand li ġej bħala root:

1
ip -br a | grep -ve "^lo"

Dan il-kmand juri l-isem tal-interfaċċa tan-netwerk, l-istatus tagħha, u l-indirizzi IP assenjati lill-interfaċċa.

Eżempju

Wara li jiġi eżegwit il-kmand, jintwera l-output li ġej:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

L-isem tal-interfaċċa tan-netwerk huwa ens192.

Ladarba jkun inkiseb l-isem tal-interfaċċa tan-netwerk, issa huwa possibbli li teditja l-konfigurazzjoni tan-netwerk tal-kompjuter.
Editja l-fajl /etc/network/interfaces biex timmodifikah billi tuża l-mudell li ġej:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Fejn:

  • INTERFACE_NAME għandu jiġi sostitwit bl-isem tal-interfaċċa tan-netwerk miksub qabel.
  • RIP_MED_WEB_SLAVE għandu jiġi sostitwit bl-indirizz IP reali prinċipali tas-server, li se jkun l-indirizz IP li permezz tiegħu jkunu aċċessibbli l-konsols web.
  • NETMASK għandu jiġi sostitwit bil-maskra tan-netwerk assoċjata mal-indirizz IP.
  • NETWORK_GATEWAY għandu jiġi sostitwit bil-gateway default tan-netwerk.
  • IP_DNS għandu jiġi sostitwit bl-indirizz IP tas-server DNS. Jekk ikunu jridu jiġu kkonfigurati diversi servers (massimu ta’ 3), isseparahom bi spazju.
  • DNS_SUFFIX għandu jiġi sostitwit bis-suffiss DNS li għandu jintuża. Jekk ma jkun meħtieġ ebda suffiss, ħassar il-linja.
  • RIP_MED_SSL_SLAVE għandu jiġi sostitwit bl-indirizz IP reali sekondarju tas-server. Dan se jkun l-indirizz IP li permezz tiegħu se jkun aċċessibbli l-komponent SSL Router.
Eżempju 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Fl-aħħar, ma jibqa’ xejn ħlief li terġa’ tibda s-servizz networking sabiex titgħabba l-konfigurazzjoni l-ġdida tan-netwerk: 

1
systemctl restart networking

Fadal pass wieħed finali: immodifika r-riżoluzzjoni interna tal-ismijiet tal-kompjuter biex jirriżolvi l-indirizz IP primarju reali tiegħu (li jikkorrispondi għal RIP_MED_WEB_MASTER jew RIP_MED_WEB_SLAVE).
Biex tagħmel dan, editja l-fajl /etc/hosts u ibdel 127.0.1.1 b’RIP_MED_WEB_MASTER jew RIP_MED_WEB_SLAVE skont is-server Mediation Controller.

Eżempju

Għal server Mediation Controller li l-indirizz IP web reali tiegħu huwa 10.0.10.10 u li ismu huwa mediation-controller.domain.local, il-fajl /etc/hosts ikollu l-valur li ġej:

1
2
127.0.0.1       localhost
10.0.10.10      mediation-controller.domain.local   mediation-controller

Attenzjoni!

Konfigurazzjoni ħażina tal-fajl tista’ tikkawża żball meta jiġi installat il-pakkett collectd.

Konfigurazzjoni tal-maniġer tal-pakketti APT

Tella’ l-fajls imniżżla minn Systancia Marketplace fid-direttorju /tmp/ fuq is-server billi tuża klijent SCP:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Idħol fis-server bħala root, imbagħad ħaddem il-kmandi li ġejjin biex tiddekompressa r-repożitorju ta’ Systancia, tikkonfigura l-użu tiegħu f’APT, u tawtentikah.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Nirrakkomandaw bil-qawwa li tiddiżattiva l-installazzjoni ta’ pakketti mhux meħtieġa meta tħaddem il-kmandi apt. Biex tagħmel dan, ħaddem il-kmand li ġej:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Verifika tal-preżenza tal-locale en_US.utf8

L-installazzjoni tas-server Mediation Controller teħtieġ il-ġenerazzjoni tal-locales en_US.utf8.
Biex tivverifika jekk diġà ġewx ġenerati fuq is-server, ħaddem il-kmand li ġej bħala root:

1
locale -a  | grep en_US.utf8

Jekk ir-riżultat tal-kmand juri en_US.utf8, mur għall-pass li jmiss tal-konfigurazzjoni ta’ GRUB.
Inkella, ħaddem il-kmandi li ġejjin biex iżżid dan il-locale mal-kompjuter:

1
2
sed -i "s/# en_US.UTF-8 UTF-8/en_US.UTF-8 UTF-8/" /etc/locale.gen
locale-gen

Konfigurazzjoni tal-programm tal-ibbutjar GRUB

Ladarba jkunu ġew eżegwiti dawn il-kmandi, trid terġa’ tibda l-kompjuter wara li tapplika setting fil-programm tal-ibbutjar GRUB:

1
2
3
sed '9s/quiet/quiet vsyscall=emulate/' -i /etc/default/grub
update-grub
reboot

Installazzjoni tas-server Mediation Controller ta’ CyberElements Bastion

Installazzjoni tal-komponenti bażiċi

Ibda l-installazzjoni tal-komponenti billi tuża l-kmand li ġej bħala root:

1
apt install -y ipdiva-base

Wara li jitniżżlu d-dipendenzi kollha, se tinfetaħ tieqa li titolbok tagħżel it-tip ta’ server. Agħżel mediation:

Imbagħad agħżel il-modalità tal-installazzjoni lbMaster:

Imbagħad agħżel il-modalità tal-installazzjoni lbSlave:

Imbagħad ikollok iddaħħal il-port li fuqu se jisma’ l-komponent SSL Router. Dan il-port tas-smigħ normalment ikun issettjat għal 443, iżda jista’ jintuża wkoll il-port 8443 jekk is-server Mediation Controller juża IP wieħed biss:

Imbagħad issettja l-modalità Cluster għal loadbalancing biex it-tagħbija tal-utenti titqassam fuq iż-żewġ servers Mediation Controller:

Speċifika l-indirizz IP virtwali web tal-cluster, VIP_MED_WEB:

Daħħal l-indirizz IP virtwali SSL tal-cluster, VIP_MED_SSL:

Daħħal l-indirizz IP virtwali tad-database tal-konfigurazzjoni tal-cluster, VIP_MED_ZEO:

Daħħal l-indirizz IP reali web tal-komponent Mediation Controller MASTER, RIP_MED_WEB_MASTER:

Daħħal l-indirizz IP reali SSL tal-komponent Mediation Controller MASTER, RIP_MED_SSL_MASTER:

Daħħal l-indirizz IP reali web tal-komponent Mediation Controller SLAVE, RIP_MED_WEB_SLAVE:

Fl-aħħar, daħħal l-indirizz IP reali SSL tal-komponent Mediation Controller SLAVE, RIP_MED_SSL_SLAVE:

X’għandi nagħmel jekk ikun hemm żball?

Jekk ikun hemm żball fl-informazzjoni li daħħalt, kompli bl-installazzjoni tal-pakkett ipdiva-base u mbagħad uża l-kmand li ġej biex terġa’ tikkonfigura s-server:

1
dpkg-reconfigure ipdiva-base

Installazzjoni tal-komponenti Cluster

Wara l-installazzjoni tal-komponenti bażiċi, il-komponenti Cluster iridu jiġu installati fuq is-servers Mediation Controller:

1
apt install -y ipdiva-mediation-cluster

Wara l-installazzjoni tal-komponenti, huwa meħtieġ bidu mill-ġdid:

1
reboot

Konfigurazzjoni tal-cluster

Bidla tal-password tal-konsol /mediation/system ta’ CyberElements Gate

F’dan l-istadju tal-installazzjoni, hemm disponibbli interfaċċa ġdida tal-amministrazzjoni: Ibdel il-password

Applikazzjoni tal-liċenzji u taċ-ċertifikati

Xorta fil-konsol /mediation/system, se jkollok iddaħħal iċ-ċertifikati u l-liċenzji għas-server Mediation Controller.

Attenzjoni!

Il-liċenzja u ċ-ċertifikat tal-komponent SSL Router huma speċifiċi għas-server Mediation Controller MASTER jew SLAVE.
Jekk tikkonfigura l-liċenzja jew iċ-ċertifikat ħażin, dan se jikkawża ħsarat fil-funzjonament aktar tard.

Applika l-liċenzja u ċ-ċertifikat għall-komponent SSL Router:

  1. Ikklikkja fuq it-tab Settings.
  2. Agħżel SSL Connections mill-menu.
  3. Fittex iċ-ċertifikat għall-komponent SSL Router.
  4. Daħħal il-password taċ-ċertifikat tal-komponent SSL Router.
  5. Ikklikkja fuq Apply biex tapplika ċ-ċertifikat għall-komponent SSL Router.
  6. Agħżel il-fajl tal-liċenzja tas-server.
  7. Ikklikkja fuq Modify biex tapplika l-liċenzja tas-server.

Imbagħad, daħħal l-informazzjoni taċ-ċertifikat għall-klijent CyberElements Bastion:

  1. Agħżel it-tab Plugin.
  2. Fittex iċ-ċertifikat tal-klijent CyberElements Bastion.
  3. Daħħal il-password taċ-ċertifikat.
  4. Ikklikkja fuq Apply biex tapplika ċ-ċertifikat.

Għad trid iddaħħal l-informazzjoni għaċ-ċertifikat Watchdog:

  1. Agħżel it-tab Watchdog
  2. Fittex iċ-ċertifikat Watchdog.
  3. Daħħal il-password taċ-ċertifikat.
  4. Ikklikkja fuq Apply biex tapplika ċ-ċertifikat.

Biex dawn il-bidliet jidħlu fis-seħħ, trid terġa’ tibda l-komponent SSL Router u l-komponent Watchdog:

Pairing tas-servers Mediation Controller

Attenzjoni!

S’issa, iż-żewġ servers Mediation Controller iridu jkunu ġew ikkonfigurati sal-applikazzjoni tal-liċenzji u taċ-ċertifikati.
Jekk is-server Mediation Controller SLAVE għadu ma ġiex ikkonfigurat, agħmel dan billi tibda mill-bidu ta’ din id-dokumentazzjoni.

Il-pass tal-pairing tas-servers Mediation Controller se jistabbilixxi rabta ta’ fiduċja bejn iż-żewġ servers u jinizjalizza t-tħaddim tal-cluster.

Fuq is-server Mediation Controller SLAVE

Ħaddem il-kmand li ġej bħala root biex tibda talba għal pairing mas-server Mediation Controller MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Issostitwixxi RIP_MED_WEB_MASTER bl-indirizz IP rilevanti.

Eżempju

Jekk RIP_MED_WEB_MASTER huwa ugwali għal 10.0.10.10, allura l-kmand li għandek iddaħħal huwa kif ġej:

1
hostManagerCtl bootstrap 10.0.10.10

Fuq is-server Mediation Controller MASTER

Ħaddem il-kmand li ġej bħala root biex tiċċekkja jekk hemmx talbiet għal pairing pendenti u tikseb l-ID tat-talba: 

1
hostManagerCtl getPendingRequests

Imbagħad, ħaddem il-kmand li ġej biex taċċetta t-talba għal pairing, billi tissostitwixxi ID bl-ID miksub mill-kmand preċedenti:

1
hostManagerCtl acceptRequest ID
Eżempju

Jekk il-valur ritornat mill-kmand hostManagerCtl getPendingRequests huwa kif ġej:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Għalhekk il-kmand biex taċċetta t-talba għal pairing huwa kif ġej:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Biex tivverifika l-assoċjazzjoni, uża l-kmand li ġej fuq is-server Mediation Controller (jew MASTER jew SLAVE):

1
hostManagerCtl listPeers

Ir-riżultat ivarja skont is-server li fuqu jiġi eżegwit il-kmand:

Ir-riżultat mistenni fuq is-server Mediation Controller MASTER huwa kif ġej:

1
slave -> RIP_MED_WEB_SLAVE
Eżempju 
1
slave -> 10.0.10.12

Ir-riżultat mistenni fuq is-server Mediation Controller SLAVE huwa kif ġej:

1
master -> RIP_MED_WEB_MASTER
Eżempju 
1
master -> 10.0.10.10

Fuq is-server Mediation Controller SLAVE

Tista’ tiċċekkja l-istatus tal-bootstrap mis-server SLAVE billi tuża l-kmand li ġej:

1
hostManagerCtl getBootstrapStatus

Cluster li ma jkollu ebda problema ta’ sinkronizzazzjoni jirritorna l-valur 0.

Hija meħtieġa serje finali ta’ kmandi, għal darb’oħra fuq is-server SLAVE, biex jiġi sinkronizzat sigriet kondiviż bejn iż-żewġ komponenti Mediation Controller:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
X’inhu l-iskop tal-konnessjoni interserver?

Din hija konnessjoni speċjali għat-tħaddim f’cluster li tippermetti lil server Mediation Controller jiddirieġi t-traffiku lejn server Mediation Controller ieħor f’każijiet fejn il-komponent Edge Gateway fil-mira mhuwiex konness mal-ewwel server iżda biss mat-tieni wieħed.

Pereżempju, jekk is-server Mediation Controller MASTER m’għadux konness mal-komponent Edge Gateway, jista’ juża r-rabta interserver biex jilħaq il-komponent Edge Gateway permezz tas-server Mediation Controller SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Il-konnessjoni intilfet| GW(Edge Gateway)
    MASTER --> |Konnessjoni bejn is-servers| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Fuq is-server Mediation Controller MASTER

Editja l-fajl /etc/ipdiva/server/remoteServers.xml biex tindika s-CN taċ-ċertifikat interserver:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Issostitwixxi SLAVECN bis-CN taċ-ċertifikat maħsub għall-konnessjoni interserver.
Jekk ma tafx is-CN taċ-ċertifikat interserver, allura tista’ ddaħħal il-karattru * (rakkomandat f’każ ta’ dubju):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Eżempju

B’kont meħud tal-informazzjoni li ġejja:

  • CN taċ-ċertifikat interserver: my-interserver-cert

Il-fajl /etc/ipdiva/server/remoteServers.xml fuq is-server Mediation Controller MASTER jimtela kif ġej:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Fajl komplut 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Fuq is-server Mediation Controller SLAVE

Ibgħat iċ-ċertifikat interserver lill-komponent Mediation Controller SLAVE fid-direttorju /tmp/.
Imbagħad, ħaddem il-kmandi li ġejjin bħala root biex iċċaqilqu lejn id-direttorju tad-destinazzjoni bil-permessi xierqa:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Imbagħad, editja l-fajl /etc/ipdiva/server/remoteServers.xml biex iżżid il-kontenut li ġej mat-tikketta <remoteConfig> (it-tikketta l-antika <localCluster> tista’ titħassar għalkollox):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Ibdel:

  • MASTERCN: speċifika s-CN taċ-ċertifikat SSL Router tal-komponent Mediation Controller MASTER, li normalment huwa RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: jikkorrispondi għall-indirizz IP sekondarju tal-komponent Mediation Controller MASTER.
  • PORT_RIP_MED_SSL_MASTER: dan huwa l-port li fuqu jisma’ l-komponent SSL Router tal-komponent Mediation Controller MASTER; normalment huwa 443.
  • INTERSERVER.P12: isem iċ-ċertifikat maħsub għall-interserver.
  • PASSWORD: password taċ-ċertifikat interserver.
Eżempju

B’kont meħud tal-informazzjoni li ġejja:

  • Isem iċ-ċertifikat interserver: my-interserver-cert.p12
  • Password taċ-ċertifikat interserver: MySecurePassword
  • RIP SSL tal-komponent Mediation Controller MASTER: 10.0.10.11
  • Port fuq ir-RIP SSL tal-komponent Mediation Controller MASTER: 443
  • CN taċ-ċertifikat tal-komponent Mediation Controller MASTER: 10.0.10.11

Il-fajl /etc/ipdiva/server/remoteServers.xml fuq is-server Mediation Controller SLAVE jimtela kif ġej:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Fajl komplut 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Immodifika l-konfigurazzjoni tal-komponent SSL Router SLAVE billi tħaddem il-kmand li ġej:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Fuq is-servers Mediation Controller MASTER u SLAVE

Erġa’ ibda l-komponent SSL Router biex tapplika s-settings tar-rabta interserver:

1
/usr/local/ipdiva/server/bin/restart

Biex tikkonferma li r-rabta interserver qed taħdem sew, il-kmand li ġej għandu jirritorna riżultat:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Il-kmand preċedenti għandu jipproduċi entrata fir-reġistru li jkun fiha dan li ġej: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Jekk ma tintwera ebda entrata bħal din fir-reġistru, iċċekkja l-konfigurazzjoni stabbilita f’dan il-kapitolu.

Fil-konsol web /mediation/system tal-komponent Mediation Controller MASTER

Attiva l-konnessjoni interserver bejn iż-żewġ komponenti Mediation Controller billi teditja l-ospitant virtwali SSL default:

Imla l-oqsma differenti billi tuża l-istruzzjonijiet hawn taħt u attiva l-funzjonalità tar-rabta interserver billi timmarka l-kaxxa ta’ selezzjoni Is cross-server linking configured?:

  • Public address for plugin connections: jikkorrispondi għal VIP_MED_SSL segwit mill-port tas-smigħ tiegħu (normalment 443).
  • Actual public IP addresses for web connections: jikkorrispondi għall-par ta’ indirizzi IP web reali (RIP_MED_WEB_MASTER u RIP_MED_WEB_SLAVE) bil-portijiet korrispondenti tagħhom, linja waħda għal kull par ta’ indirizz IP u port.
  • Actual public IP addresses for SSL connections: jikkorrispondi għall-par ta’ indirizzi IP SSL reali (RIP_MED_SSL_MASTER u RIP_MED_SSL_SLAVE) bil-portijiet korrispondenti tagħhom, linja waħda għal kull par ta’ indirizz IP u port.

Installazzjoni tal-komponenti speċifiċi ta’ CyberElements Bastion

Ibda l-installazzjoni tal-komponenti ta’ CyberElements Bastion fuq is-servers Mediation Controller bil-kmand li ġej:

1
apt install -y ipdiva-safe-server

Is-servers iridu jerġgħu jinbdew biex titlesta l-installazzjoni:

1
reboot

Konnessjoni mad-database PostgreSQL

Biex jaħdem, CyberElements Bastion jeħtieġ l-użu ta’ database PostgreSQL (DB) esterna biex jaħżen is-settings tiegħu u diversi reġistri fil-konsol /system.
Jekk id-DB tkun aċċessibbli direttament mis-servers Mediation Controller, mur direttament għall-pass tal-inizjalizzazzjoni tad-DB.

Konnessjoni ma’ database fil-LAN

Biex tkun possibbli l-konnessjoni ma’ database li tinsab fil-LAN mingħajr ma jinfetaħ fluss mid-DMZ lejn il-LAN, il-fluss tad-database jiġi ridirett permezz ta’ tunnel TLS bejn il-komponenti Edge Gateway u l-komponenti Mediation Controller.
Biex jinkiseb dan, huwa meħtieġ li tikkonfigura komponent Edge Gateway wieħed (jew żewġ komponenti Edge Gateway) bl-użu tat-teknoloġija sottostanti CyberElements Gate.

Dikjarazzjoni tal-komponenti Edge Gateway ta’ CyberElements Gate

Biex tagħmel dan, ibda billi tidħol fil-konsol /mediation/system f’CyberElements Gate.

Imbagħad mur fil-menu “Organizations” u kklikkja fuq “Add”:

Daħħal l-isem tal-organizzazzjoni, li għandu jkun differenti minn dak assenjat lil CyberElements Bastion (pereżempju, tunnel), u speċifika mill-inqas liċenzja waħda ta’ sessjoni tal-utent flimkien mal-password għall-kont admin:

Idħol fl-interfaċċa tal-amministrazzjoni tal-organizzazzjoni li ħloqt qabel bil-kont admin, billi tmur fuq /gate/admin:

Imbagħad iddikjara ż-żewġ komponenti Edge Gateway li se jintużaw biex jiġi stabbilit it-tunnel.
Fuq ix-xellug, poġġi l-pointer fuq Infrastructure, ikklikkja fuq Gateways, u mbagħad ikklikkja fuq il-buttuna Add:

Daħħal l-isem tal-ewwel komponent Edge Gateway u kkonferma d-dħul:

Informazzjoni

Bħala tfakkira, l-isem ta’ komponent Edge Gateway huwa marbut maċ-ċertifikat li se juża biex jawtentika ruħu mal-komponent SSL Router tas-server Mediation Controller.
Dan l-isem jieħu l-forma li ġejja <GW_NAME>@<ORGANIZATION_NAME>, fejn <GW_NAME> jikkorrispondi għall-isem tal-komponent Edge Gateway u fejn <ORGANIZATION_NAME> jikkorrispondi għall-isem tal-organizzazzjoni maħluqa fil-konsol tas-sistema ta’ CyberElements Gate.

Irrepeti l-pass tad-dikjarazzjoni tal-komponent Edge Gateway għat-tieni komponent Edge Gateway.

Konnessjonijiet u settings tat-tunnel fuq il-komponenti Edge Gateway

Informazzjoni

Il-passi li ġejjin jistgħu jiġu rreplikati fuq iż-żewġ komponenti Edge Gateway użati għat-tunnel tal-aċċess għad-database.

Prerekwiżiti

Biex tlesti din il-parti, ikollok bżonn tuża waħda minn dawn:

L-ewwel nett, uża għodda bħal WinSCP jew FileZilla biex tittrasferixxi ċ-ċertifikat meħtieġ għall-konnessjoni lejn id-direttorju /tmp/ fuq il-komponent Edge Gateway permezz ta’ SCP.

Imbagħad ikkonnettja permezz ta’ SSH u aqleb għal root.

Biex tikkonnettja l-komponent Edge Gateway maż-żewġ komponenti Mediation Controller, trid toħloq żewġ istanzi ġodda ta’ Edge Gateway: waħda se tikkonnettja mal-komponent Mediation Controller MASTER, filwaqt li l-oħra se tikkonnettja mal-komponent Mediation Controller SLAVE.
Biex toħloqhom, ħaddem il-kmandi li ġejjin:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Ikkopja l-fajl taċ-ċertifikat fid-direttorji /etc/ipdiva/gateway-tunnel-master/ssl/ u /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Issostitwixxi <CERT_NAME> bl-isem taċ-ċertifikat li l-komponent Edge Gateway għandu juża biex jikkonnettja mal-komponent Mediation Controller.

Ikkonfigura l-istanzi ta’ Edge Gateway biex ikunu jistgħu jikkonnettjaw mal-komponenti Mediation Controller.
Il-konfigurazzjonijiet ivarjaw skont il-komponent Mediation Controller li għandu jiġi kkuntattjat. Applika ż-żewġ settings:

Editja l-fajl /etc/ipdiva/gateway-tunnel-master/gateway.xml u kompletah billi tuża l-informazzjoni li ġejja (diversi partijiet tħallew barra u huma indikati b’[…]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Issostitwixxi l-elementi li ġejjin:

  • @SERVER@: għandu jiġi sostitwit bl-indirizz RIP_MED_SSL_MASTER
  • @SERVERPORT@: għandu jiġi sostitwit bil-port tas-smigħ tal-komponent SSL Router, normalment issettjat għal 443
  • keyfile.pem: għandu jiġi sostitwit bl-isem tal-fajl taċ-ċertifikat
  • PASSWORD: għandu jiġi sostitwit bil-password taċ-ċertifikat
  • @RPC_PORT@: għandu jiġi sostitwit b’port li fuqu l-kompjuter bħalissa mhux qed jisma’; jista’ jintuża l-port 9082
Eżempju

B’kont meħud tal-informazzjoni li ġejja:

  • RIP_MED_SSL_MASTER huwa ugwali għal: 10.0.10.11
  • Port tas-smigħ tal-komponent SSL Router: 443
  • Isem il-fajl taċ-ċertifikat: gate-tunnel.p12
  • Password taċ-ċertifikat: Str0ngP@ssw0rd

Il-fajl /etc/ipdiva/gateway-tunnel-master/gateway.xml jiġi kkonfigurat kif ġej:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Fajl komplut 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Editja l-fajl /etc/ipdiva/gateway-tunnel-slave/gateway.xml u kompletah billi tuża l-informazzjoni li ġejja (diversi partijiet tħallew barra u huma indikati b’[…]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Issostitwixxi l-elementi li ġejjin:

  • @SERVER@: għandu jiġi sostitwit bl-indirizz RIP_MED_SSL_SLAVE
  • @SERVERPORT@: għandu jiġi sostitwit bil-port tas-smigħ tal-komponent SSL Router, normalment issettjat għal 443
  • keyfile.pem: għandu jiġi sostitwit bl-isem tal-fajl taċ-ċertifikat
  • PASSWORD: għandu jiġi sostitwit bil-password taċ-ċertifikat
  • @RPC_PORT@: għandu jiġi sostitwit b’port li bħalissa mhux qed jintuża fuq il-kompjuter; jista’ jintuża l-port 9083
Eżempju

B’kont meħud tal-informazzjoni li ġejja:

  • RIP_MED_SSL_SLAVE huwa ugwali għal: 10.0.10.13
  • Port tas-smigħ tal-komponent SSL Router: 443
  • Isem il-fajl taċ-ċertifikat: gate-tunnel.p12
  • Password taċ-ċertifikat: Str0ngP@ssw0rd

Il-fajl /etc/ipdiva/gateway-tunnel-slave/gateway.xml jiġi kkonfigurat kif ġej:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Fajl komplut 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Issa li l-istanzi huma kkonfigurati biex jikkonnettjaw mal-komponenti Mediation Controller, għad iridu jiġu kkonfigurati biex jidderieġu mill-ġdid il-konnessjoni tal-komponent Mediation Controller lejn id-database.
Biex tagħmel dan, editja l-fajl /etc/ipdiva/gateway-tunnel-master/services.xml u mmodifikah kif ġej: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Issostitwixxi DB_SERVER bl-isem DNS jew bl-indirizz IP użat biex tikkonnettja mad-database, u DB_PORT bil-port tas-smigħ tal-istanza tad-database.
Irreplika dawn is-settings għall-istanza li tikkonnettja mas-server Mediation Controller SLAVE billi tikkopja l-fajl:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Fl-aħħar, ibda l-istanzi ta’ Edge Gateway sabiex jistabbilixxu konnessjoni mal-komponenti Mediation Controller:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Konfigurazzjoni tat-tunnel tal-komponenti Mediation Controller

Sabiex it-tunnel ikun jista’ jintuża mill-komponenti Mediation Controller, għad trid tiddikjara l-eżistenza tiegħu.
Biex tagħmel dan, idħol bħala root fil-komponenti Mediation Controller u editja l-fajl /etc/ipdiva/server/services.xml biex iżżid il-parti li ġejja (diversi partijiet tħallew barra u huma mmarkati b’[…]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Issostitwixxi l-elementi li ġejjin:

  • GW1_NAME bl-isem tal-ewwel komponent Edge Gateway
  • GW2_NAME bl-isem tat-tieni komponent Edge Gateway
  • ORGANIZATION_NAME bl-isem tal-organizzazzjoni CyberElements Gate li nħolqot qabel
Eżempju

B’kont meħud tal-informazzjoni li ġejja:

  • Isem il-komponent Edge Gateway 1: gate-tunnel-1
  • Isem il-komponent Edge Gateway 2: gate-tunnel-2
  • Isem l-organizzazzjoni CyberElements Gate: tunnel

Il-fajl /etc/ipdiva/server/services.xml jimtela kif ġej:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Fajl komplut 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Biex tapplika l-konfigurazzjoni l-ġdida, erġa’ ibda l-komponent SSL Router bil-kmand li ġej:

1
/usr/local/ipdiva/server/bin/restart

Inizjalizzazzjoni tad-database

Attenzjoni!

Trid toħloq id-database default qabel ma CyberElements Bastion jinizjalizzaha (ma tinħoloqx awtomatikament).

Biex tinizjalizza d-database PostgreSQL tal-konfigurazzjoni tas-sistema, l-ewwel trid tikkonfigura s-settings tal-konnessjoni fuq il-komponenti Mediation Controller.
Biex tagħmel dan, editja l-fajl /etc/ipdiva/care/databasesettings.ini fuq iż-żewġ servers u żid l-entrati li ġejjin:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Issostitwixxi l-elementi li ġejjin:

  • DB_USERNAME bl-isem tal-utent użat biex tikkonnettja mad-database.
  • DB_PWD bil-password tal-utent li qed jidħol.
  • DB_HOST bl-indirizz IP jew bl-isem DNS użat biex tikkonnettja mad-database; jekk tintuża konnessjoni permezz tal-komponenti Edge Gateway, allura jkollok iddaħħal 127.0.0.1.
  • DB_PORT bil-port użat biex tikkonnettja mal-istanza tad-database; jekk tintuża konnessjoni permezz tal-komponenti Edge Gateway, allura jkollok iddaħħal 1432.

L-inizjalizzazzjoni tad-database tista’ titnieda bil-kmandi li ġejjin, li għandhom jiġu eżegwiti fuq komponent Mediation Controller wieħed biss:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Wara dan, ma jibqa’ xejn ħlief li terġa’ tibda s-servizz apache2 fuq iż-żewġ komponenti Mediation Controller biex tapplika l-inizjalizzazzjoni tad-database tas-sistema:

1
systemctl restart apache2

Installazzjoni tad-drivers għall-konnessjoni mad-databases Microsoft SQL

Jekk trid tikkonnettja ma’ database esterna u din hija Microsoft SQL Server, allura jridu jiġu installati drivers ODBC addizzjonali.

Hemm żewġ verżjonijiet disponibbli: il-verżjoni 17 u l-verżjoni 18.

Konnessjoni TLS meħtieġa għad-drivers fil-verżjoni 18

L-użu tad-drivers ODBC 18 jeħtieġ li l-konnessjoni tkun kriptata bl-użu ta’ TLS. Biex tagħmel dan, trid tikkonfigura MS SQL Server għall-kriptaġġ tal-konnessjoni.

Qabel ma tibda l-installazzjoni tad-drivers ODBC, trid tinstalla l-pakketti meħtieġa għat-tħejjija, imbagħad tħejji r-repożitorju ta’ Microsoft għall-installazzjoni tal-pakketti:

1
2
3
4
apt install -y curl apt-transport-https gpg
curl -fsSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor -o /usr/share/keyrings/microsoft-prod.gpg
curl https://packages.microsoft.com/config/debian/12/prod.list > /etc/apt/sources.list.d/mssql-release.list
apt update

Imbagħad, installa d-drivers skont il-verżjoni magħżula u kkonfigura s-sistema biex tuża l-kmand sqlcmd:

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql17 mssql-tools python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools/bin/sqlcmd /usr/bin/sqlcmd

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql18 mssql-tools18 python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools18/bin/sqlcmd /usr/bin/sqlcmd

Id-drivers ODBC issa huma installati b’mod korrett.
Jekk is-server Mediation Controller għandu aċċess għal server MS SQL, il-kmand li ġej għandu jippermetti l-konnessjoni mas-server remot: 

1
sqlcmd -S SERVER\INSTANCE_NAME,PORT -U USER

Fejn:

  • SERVER għandu jiġi sostitwit bl-isem DNS jew bl-indirizz IP tas-server MS SQL.
  • INSTANCE_NAME għandu jiġi sostitwit bl-isem tal-istanza li magħha trid tikkonnettja; jekk mhux meħtieġ, neħħi wkoll il-karattru \.
  • PORT għandu jiġi sostitwit bil-port tal-konnessjoni mal-istanza tad-database MS SQL.
  • USER għandu jiġi sostitwit bl-isem tal-utent biex tiġi stabbilita l-konnessjoni.
Eżempji

Jekk is-server Mediation Controller għandu aċċess għal server tad-database MS SQL permezz tal-indirizz IP 10.0.10.100, l-istanza li għandha tiġi aċċessata qed tisma’ fuq il-port 1433, u l-kont tal-aċċess huwa sql-user. Allura l-kmand tal-konnessjoni huwa kif ġej:

1
sqlcmd -S 10.0.10.100,1433 -U sql-user

Kieku kellha tiġi speċifikata l-istanza tal-konnessjoni bl-isem MSSQLINSTANCE, il-kmand jiġi mmodifikat kif ġej:

1
sqlcmd -S 10.0.10.100\MSSQLINSTANCE,1433 -U sql-user

Konfigurazzjoni ta’ server tal-ħin NTP

Huwa rakkomandat li tikkonfigura server tal-ħin biex l-arloġġ tas-sistema jibqa’ aġġornat. Il-passi meħtieġa huma deskritti fil-paġna tal-konfigurazzjoni NTP.

Konfigurazzjonijiet inizjali fuq CyberElements Bastion

Awtorizzazzjoni tal-aċċess għall-interfaċċi web bl-IP virtwali

B’mod default, il-konnessjoni mal-interfaċċi web tal-prodott CyberElements Bastion bl-IP virtwali VIP_MED_WEB mhijiex permessa.
Biex iżżid l-awtorizzazzjoni, ħaddem bħala root il-kmandi li ġejjin fuq il-komponenti Mediation Controller:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Issostitwixxi IP bl-indirizz IP li jikkorrispondi għal VIP_MED_WEB.

Konfigurazzjonijiet inizjali

F’dan l-istadju, is-servers Mediation Controller huma installati, iżda għad iridu jitwettqu diversi azzjonijiet:

  • Ibdel il-passwords default

    Ibdel il-passwords default tal-konsols tas-sistema.

    Ibdel

  • Installa ċ-ċertifikati u l-liċenzji

    Il-komponent Mediation Controller jeħtieġ diversi ċertifikati u liċenzja biex ikun operattiv.
    Iċ-ċertifikat għall-klijent CyberElements Bastion biss irid jerġa’ jiġi ddikjarat fuq iż-żewġ komponenti Mediation Controller (uża l-indirizzi RIP RIP_MED_WEB_MASTER u RIP_MED_WEB_SLAVE).

    Installa ċ-ċertifikati u l-liċenzja

  • Ikkonfigura ċ-ċertifikat web

    Ikkonfigura ċ-ċertifikat web użat għall-konnessjoni mal-interfaċċi web

    Ikkonfigura

  • Iddikjara isem DNS

    Żid isem DNS awtorizzat biex jikkonnettja mal-interfaċċi web.

    Żid

  • Ikkonfigura l-organizzazzjoni

    Ikkonfigura l-organizzazzjoni ta’ CyberElements Bastion.

    Ikkonfigura b’aċċess dirett għad-database

    Ikkonfigura b’aċċess għad-database permezz tat-tunnel tal-komponenti Edge Gateway

  • Iddikjara l-komponenti Edge Gateway

    Iddikjara l-komponent(i) Edge Gateway jew HTML5 Gateway li għandhom jiġu installati.

    Oħloq komponenti Edge Gateway

  • Oħloq sit loġiku

    Oħloq u kkonfigura sit loġiku li jiġbor flimkien il-komponenti Edge Gateway u HTML5 Gateway li jistgħu jaċċessaw ir-riżorsi lokali.

    Oħloq sit

  • Installa komponent Edge Gateway

    Installa u kkonfigura komponent Edge Gateway ġdid mas-servers Mediation Controller li għadhom kif ġew installati.
    Tiġi kkonfigurata wkoll istanza HTML5 Gateway.

    Installa