Aqbeż għall-kontenut

Prerekwiżiti għal pjattaforma CyberElements Bastion Cluster

Kompjuter

Jistgħu jintużaw kemm kompjuters fiżiċi kif ukoll magni virtwali biex tinstalla CyberElements Bastion.
Il-prodott ma jagħmel l-ebda virtwalizzazzjoni, għalhekk m’hemmx bżonn li tiġi attivata l-għażla tal-virtwalizzazzjoni inkorporata għall-magni virtwali.

OS

CyberElements Bastion jaħdem fuq kompjuters Debian 12 (Bookworm) ta’ 64 bit.
Huwa rakkomandat li tuża kompjuters mingħajr interfaċċa grafika u li tillimita l-komponenti installati għas-server SSH.

CPU

CPU b’4 cores tkopri l-biċċa l-kbira tal-każijiet ta’ użu tal-prodott.

RAM

Attenzjoni

Il-valuri tar-RAM mogħtija hawn taħt huma indikattivi biss, peress li hemm ħafna varjabbli li jistgħu jaffettwaw il-konsum tar-RAM (il-funzjonalitajiet tal-prodott użati jew l-elementi installati b’mod parallel mal-prodott fuq il-kompjuter).

Il-konsum tar-RAM ġeneralment jiddependi fuq in-numru ta’ utenti simultanji li l-pjattaforma tista’ tilqa’:

  • Bejn 1 u 5 utenti simultanji: minimu ta’ 2 GB ta’ RAM, 4 GB rakkomandati.
  • Bejn 5 u 20 utent simultanju: minimu ta’ 4 GB ta’ RAM.
  • Għal 20 utent simultanju jew aktar: minimu ta’ 8 GB ta’ RAM.

Il-konsum tar-RAM jiddependi fuq in-numru ta’ sessjonijiet simultanji kif ukoll fuq it-tipi ta’ applikazzjonijiet li jkunu qed jintużaw.

Il-valuri tipiċi huma kif ġej:

  • Bejn 1 u 5 utenti simultanji: minimu ta’ 2 GB ta’ RAM, 4 GB rakkomandati.
  • Bejn 5 u 20 utent simultanju: minimu ta’ 4 GB ta’ RAM.
  • Għal 20 utent simultanju jew aktar: 8 GB ta’ RAM.

Innota li applikazzjoni RDP jew VNC mingħajr aġent tista’ tikkonsma sa 400 MB għal kull applikazzjoni mnedija.
Meta dawn it-tipi ta’ applikazzjonijiet jintużaw b’mod estensiv, huwa rakkomandat li timmonitorja l-użu tar-RAM sabiex taġġusta d-daqs tagħha kif xieraq.

Il-konsum tar-RAM jiddependi fuq in-numru ta’ applikazzjonijiet HTML5 miftuħa fl-istess ħin.

Is-server bażi għandu jkollu 2 GB biex is-sistema taħdem, flimkien ma’ 50 MB għal kull applikazzjoni HTML5 simultanja.

Jekk ir-rwol HTML5 Gateway ikun ikkombinat ma’ server Edge Gateway, żid 50 MB għal kull applikazzjoni HTML5 simultanja mar-rakkomandazzjoni tar-RAM għas-server Edge Gateway.

Diska

Nirrakkomandaw li tippartizzjona d-disk bl-użu ta’ LVM biex ikollok aktar flessibbiltà jekk id-daqs tal-kompjuter ikollu jiġi rivedut waqt l-użu.

Tipi differenti ta’ servers għandhom xejriet differenti ta’ użu tad-disk, b’volumi li huma wkoll differenti. Hawn taħt hemm l-informazzjoni skont it-tip ta’ server:

Dan is-server se jkollu volum li jiżdied fid-direttorji li ġejjin:

  • /var/log/: direttorju li fih id-diversi reġistri tas-sistema.
  • /var/lib/postgresql/15/main/: direttorju li fih id-dejta tal-bażi tad-dejta lokali.
  • /var/ipdiva/: direttorju li fih id-dejta speċifika għall-prodott.

L-iżolament tad-direttorji differenti f’partizzjonijiet differenti mhuwiex obbligatorju iżda huwa rakkomandat. Tista’ ssegwi dawn l-istruzzjonijiet:

Punt tal-immuntar Għażliet Daqs minimu (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap L-ebda għażla Skont ir-RAM (nofs inqas)
/ L-ebda għażla 2 GB jew aktar skont l-ispazju disponibbli fuq id-disk

Eżempju

Għal server b’4 GB ta’ RAM (li jeħtieġ 2 GB ta’ swap), l-ispazju fuq id-disk meħtieġ bil-partizzjonar preċedenti huwa minimu ta’ 35 GB.

Dan is-server se jesperjenza żieda fil-volum fid-direttorji li ġejjin:

  • /var/log/: direttorju li fih id-diversi reġistri tas-sistema.
  • /var/lib/ipdiva/carerecord/recording/: direttorju li fih l-arkivji li jkunu qed jiġu rreġistrati; għalhekk dan huwa direttorju tal-ħażna temporanja.
  • /var/lib/ipdiva/carerecord/archives/: direttorju default li fih l-arkivji grafiċi tal-prodott.
  • /var/ipdiva/care/sshrecord/: direttorju default li fih l-arkivji mhux grafiċi (SSH) tal-prodott.

L-iżolament tad-direttorji differenti f’partizzjonijiet differenti mhuwiex obbligatorju iżda huwa rakkomandat. Tista’ ssegwi dawn l-istruzzjonijiet:

Punt tal-immuntar Għażliet Daqs minimu (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap L-ebda għażla Skont ir-RAM (nofs inqas)
/ L-ebda għażla 2 GB jew aktar skont l-ispazju disponibbli fuq id-disk

Eżempju

Għal server b’4 GB ta’ RAM (li jeħtieġ 2 GB ta’ swap), l-ispazju fuq id-disk meħtieġ bil-partizzjonar preċedenti huwa minimu ta’ 35 GB.

Madankollu, huwa rakkomandat bil-qawwa li talloka aktar spazju fuq id-disk għall-arkivji grafiċi temporanji jew fit-tul bil-punt tal-immuntar /var, sakemm l-arkivji ma jkunux esternalizzati.

Dan is-server se jkollu volum li jiżdied fid-direttorji li ġejjin:

  • /var/log/: direttorju li fih id-diversi reġistri tas-sistema.
  • /home/systanciahtml5share/: direttorju tal-ħażna temporanja għall-fajls skambjati mal-applikazzjonijiet HTML5.

L-iżolament tad-direttorji differenti f’partizzjonijiet differenti mhuwiex obbligatorju iżda huwa rakkomandat. Tista’ ssegwi dawn l-istruzzjonijiet:

Punt tal-immuntar Għażliet Daqs minimu (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap L-ebda għażla Skont ir-RAM (nofs inqas)
/ L-ebda għażla 2 GB jew aktar skont l-ispazju disponibbli fuq id-disk

Eżempju

Għal server b’4 GB ta’ RAM (li jeħtieġ 2 GB ta’ swap), l-ispazju fuq id-disk meħtieġ bil-partizzjonar preċedenti huwa minimu ta’ 35 GB.

Netwerk

Pjattaforma CyberElements Bastion Cluster teħtieġ:

  • 2 indirizzi IP reali għal kull server Mediation Controller (fuq l-istess interfaċċa tan-netwerk)
  • 3 indirizzi IP virtwali biex il-cluster jaħdem
  • 1 indirizz IP għal kull kompjuter Edge Gateway jew HTML5 Gateway

Informazzjoni addizzjonali

L-indirizzi IP reali u virtwali tas-servers Mediation Controller iridu kollha jappartjenu għall-istess sottonetwerk.

Inkompatibbiltajiet mal-użu tal-IPs virtwali

L-IPs virtwali għandhom bilanċjar tat-tagħbija ġestit permezz ta’ IPVS (IP Virtual Server).
Il-bilanċjar tat-tagħbija jeħtieġ diversi prerekwiżiti biex jaħdem kif suppost:

  • Iddiżattiva l-funzjonalitajiet Reverse Path Forwarding (RPF) għall-komponenti Mediation Controller u għall-IPs li jinsabu fuq dawn il-kompjuters.
  • Assenja adattatur tan-netwerk E1000E minflok VMXNET3 fuq VMware għas-servers Mediation Controller.

Is-servers Mediation Controller normalment jitqiegħdu f’DMZ, iżda jistgħu jitqiegħdu wkoll f’DMZ privata jew jiġu ospitati fuq cloud pubbliku. Dan jiddependi mill-każ tal-użu tal-pjattaforma (pereżempju: aċċess mill-bogħod għall-fornituri tas-servizz jew l-iżgurar tal-aċċess intern għal żoni protetti).

Is-servers Edge Gateway normalment jitqiegħdu fil-LAN, f’VLANs li permezz tagħhom jistgħu jikkomunikaw mar-riżorsi fil-mira.

Is-servers HTML5 Gateway jistgħu jitqiegħdu jew fil-LAN jew fid-DMZ. Din id-dokumentazzjoni tipprevedi l-installazzjoni tal-komponent HTML5 Gateway fuq is-servers Edge Gateway, jiġifieri fil-LAN.

Biex jiġu identifikati aħjar l-indirizzi differenti tal-kompjuters, fid-dokumentazzjoni se jissejħu kif ġej:

Isem l-indirizz IP Tifsira
RIP_MED_WEB_MASTER L-indirizz IP primarju tas-server Mediation Controller MASTER, li jipprovdi aċċess għall-konsols web.
RIP_MED_WEB_SLAVE L-indirizz IP primarju tas-server Mediation Controller SLAVE, li jipprovdi aċċess għall-konsols web.
RIP_MED_SSL_MASTER It-tieni indirizz IP tas-server Mediation Controller MASTER użat mill-komponent SSL Router.
RIP_MED_SSL_SLAVE It-tieni indirizz IP tas-server Mediation Controller SLAVE użat mill-komponent SSL Router.
VIP_MED_WEB L-indirizz IP virtwali tal-cluster Mediation Controller, li jipprovdi aċċess għall-konsols web.
VIP_MED_SSL L-indirizz IP virtwali tal-cluster Mediation Controller, li jipprovdi aċċess għall-komponent SSL Router.
VIP_MED_ZEO L-indirizz IP virtwali tal-cluster Mediation Controller, li jagħti aċċess għal database interna tal-konfigurazzjoni tal-prodott.
IP_GW L-indirizz IP tas-server Edge Gateway.
IP_HTML5_GW L-indirizz IP tas-server HTML5 Gateway.

Informazzjoni

L-informazzjoni pprovduta dwar il-flussi tassumi li s-servers Mediation Controller jinsabu fid-DMZ u li s-servers Edge Gateway, li jaġixxu wkoll bħala komponenti HTML5 Gateway, jinsabu fil-LAN.

L-indirizzi IP tal-komponent Mediation Controller jistgħu jkunu jew indirizzi IP pubbliċi assenjati direttament lis-server Mediation Controller jew indirizzi IP pubbliċi tradotti b’NAT għal indirizzi IP privati (rakkomandat).

Sors Destinazzjoni Port tad-destinazzjoni Kummenti
Stazzjon tax-xogħol tal-utent VIP_MED_WEB TCP 443 (jekk jintuża l-port standard) Ippermetti l-aċċess għall-konsols web u għall-applikazzjonijiet li jitħaddmu direttament fil-browser.
Stazzjon tax-xogħol tal-utent VIP_MED_SSL TCP 443 (jekk jintuża l-port standard) Stabbilixxi tunnel TLS biex jiġi kriptat il-fluss li jgħaddi mill-klijent CyberElements Bastion.
IP_GW VIP_MED_WEB TCP 443 (jekk jintuża l-port standard) Meta l-komponent Edge Gateway jinsab fuq netwerk remot. Konnessjoni mas-sistema tal-pairing tal-komponent Edge Gateway.
IP_GW VIP_MED_SSL TCP 443 (jekk jintuża l-port standard) Meta l-komponent Edge Gateway jinsab fuq netwerk remot. Konnessjoni mal-komponent SSL Router biex jiġi stabbilit tunnel TLSv1.3 u biex il-komunikazzjonijiet tal-prodott jgħaddu minnu.
Sors Destinazzjoni Port tad-destinazzjoni Kummenti
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Repożitorji Debian TCP 80 Meħtieġ għall-installazzjoni tad-dipendenzi ta’ CyberElements Bastion u biex is-sistema tinżamm aġġornata. Id-dokumentazzjoni u l-apparati virtwali jużaw ftp.fr.debian.org u security.debian.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 packages.microsoft.com TCP 443 Repożitorju ta’ Microsoft għall-installazzjoni u l-aġġornament tad-drivers MS SQL. Meħtieġ biss jekk ikun mixtieq aċċess għal database MS SQL (l-apparati virtwali fihom id-drivers MS SQL).
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server tal-ħin NTP UDP 123 Fakultattiv jekk is-server ikollu bżonn jissinkronizza l-arloġġ tiegħu ma’ server fid-DMZ. B’mod default, jintużaw il-pools ta’ Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org u 3.debian.pool.ntp.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server SMTP TCP 25, 465, 587 Meħtieġ jekk server SMTP irid jintuża biex jintbagħtu l-emails u jinsab fil-WAN.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server DNS UDP 53 Meħtieġ għar-riżoluzzjoni DNS. Jista’ jinsab fil-WAN jew fid-DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 api.neomia.ai TCP 443 (Fakultattiv) Konnessjoni mal-APIs tal-prodott MFA li juża l-bijometrija tal-imġiba Neomia Pulse.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Fakultattiv) Konnessjoni mal-kaxxaforti Keeper EPM skont il-post tagħha.
Sors Destinazzjoni Port tad-destinazzjoni Kummenti
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server tal-ħin NTP UDP 123 Jekk is-server ikollu bżonn jissinkronizza l-arloġġ tiegħu ma’ server fid-DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server SMTP TCP 25, 465, 587 Meħtieġ jekk server SMTP irid jintuża biex jintbagħtu l-emails u jinsab fid-DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server tad-database TCP 1433, 5432, jew kwalunkwe port personalizzat ieħor Meħtieġ jekk trid tuża database esterna li tinsab fid-DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server DNS UDP 53 Meħtieġ għar-riżoluzzjoni DNS. Jista’ jinsab fid-DMZ jew fil-WAN.

Informazzjoni addizzjonali

Is-servers Mediation Controller iridu jkunu jistgħu jikkomunikaw bejniethom minn u lejn kwalunkwe wieħed mill-indirizzi tagħhom, irrispettivament mill-protokoll.

Sors Destinazzjoni Port tad-destinazzjoni Kummenti
IP_GW Repożitorji Debian TCP 80 Meħtieġ għall-installazzjoni tad-dipendenzi ta’ CyberElements Bastion u biex is-sistema tinżamm aġġornata. Id-dokumentazzjoni u l-apparati virtwali jużaw ftp.fr.debian.org u security.debian.org.
IP_GW Server DNS UDP 53 Meħtieġ għar-riżoluzzjoni DNS. Fakultattiv jekk ikun disponibbli server DNS fil-LAN jew fid-DMZ.
IP_GW Server tal-ħin NTP UDP 123 Fakultattiv jekk is-server ikollu bżonn jissinkronizza l-arloġġ tiegħu ma’ server fil-LAN jew fid-DMZ. B’mod default, jintużaw il-pools ta’ Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org u 3.debian.pool.ntp.org.
IP_GW Fornitur tal-SMS TCP 443 (Fakultattiv) Konnessjoni mal-APIs tal-fornituri tal-SMS appoġġati minn CyberElements Bastion.
Sorsi Destinazzjoni Port tad-destinazzjoni Kummenti
IP_GW
IP_HTML5_GW		 VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (jekk jintuża l-port standard) Konnessjoni mas-sistema tal-pairing tal-komponent Edge Gateway.
IP_GW
IP_HTML5_GW		 VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (jekk jintuża l-port standard) Konnessjoni mal-komponent SSL Router biex jiġi stabbilit tunnel TLSv1.3 u biex il-komunikazzjonijiet tal-prodott jgħaddu minnu.
Stazzjon tax-xogħol tal-klijent VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (jekk jintuża l-port standard) Konnessjoni mad-diversi konsols web tal-prodott.
Stazzjon tax-xogħol tal-klijent VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (jekk jintuża l-port standard) Stabbilixxi tunnel TLS biex jiġi kriptat il-fluss li jgħaddi mill-klijent CyberElements Bastion.
Stazzjon tax-xogħol tal-amministratur RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 22 Konnessjoni SSH mas-server Mediation Controller.
Sors Destinazzjoni Port tad-destinazzjoni Kummenti
IP_GW Server DNS UDP 53 Meħtieġ għar-riżoluzzjoni DNS. Fakultattiv jekk jintuża server DNS fil-WAN jew fid-DMZ.
IP_GW Servers LDAP jew AD TCP 389 jew 636 Konnessjoni ta’ CyberElements Bastion ma’ server LDAP jew AD.
IP_GW Servers AD TCP 139 u 445 Rotazzjoni tal-passwords tal-kontijiet AD, użata biss jekk ir-rotazzjoni permezz ta’ LDAPS ma tkunx possibbli.
IP_GW Servers RDP TCP/UDP 3389 (jekk jintuża l-port standard) Konnessjoni minn CyberElements Bastion mas-servers RDP.
IP_GW Servers SSH TCP 22 (jekk jintuża l-port standard) Konnessjoni minn CyberElements Bastion mas-servers SSH.
IP_GW Servers VNC TCP 5900 (jekk jintuża l-port standard) Konnessjoni minn CyberElements Bastion mas-servers VNC.
IP_GW Servers web TCP 80 jew 443 (jekk jintuża l-port standard) Konnessjoni minn CyberElements Bastion mas-servers web.
IP_GW Servers Citrix Storefront TCP 443 (jekk jintuża l-port standard) Konnessjoni minn CyberElements Bastion mas-servers Citrix Storefront.
IP_GW Servers tal-applikazzjonijiet Citrix TCP 1494 Konnessjoni minn CyberElements Bastion mas-servers tal-applikazzjonijiet Citrix (tnedija ta’ applikazzjoni jew ta’ desktop bil-klijent ICA).
IP_GW Servers tal-fajls TCP 139 u 445 Konnessjoni minn CyberElements Bastion mas-servers tal-fajls.
IP_GW Server tad-database TCP 1433, 5432, jew kwalunkwe port personalizzat ieħor Meħtieġ jekk trid tuża database esterna li tinsab fil-LAN (pereżempju, biex tittrasferixxi d-database tal-modulu Vault).
IP_GW Servers RDP TCP 139 u 445 Skjerament tal-aġent tar-reġistrazzjoni permezz tal-konsol tal-amministrazzjoni.
Stazzjon tax-xogħol tal-klijent IP_GW TCP [port definit mill-amministratur] Konnessjoni ta’ aċċess dirett SSH.
Stazzjon tax-xogħol tal-klijent IP_GW TCP 3389 Konnessjoni ta’ aċċess dirett RDP.
Servers RDP IP_GW TCP 8443 Konnessjoni bejn l-aġent tar-reġistrazzjoni u l-komponent Edge Gateway biex tittella’ r-reġistrazzjoni tas-sessjoni tal-utent.
Stazzjon tax-xogħol tal-amministratur IP_GW TCP 22 Konnessjoni SSH mas-server Edge Gateway.

Database

CyberElements Bastion juża databases differenti (DB) għat-tħaddim tiegħu.

  1. Database tal-konfigurazzjoni tas-sistema. Din id-database tintuża biex jinħażnu s-settings kollha tal-interfaċċa tal-amministrazzjoni /system u għandu jkollha l-isem default.

    Attenzjoni!

    Trid toħloq id-database default qabel ma tikkonnettja ma’ CyberElements Bastion (ma tinħoloqx awtomatikament).

  2. Database tal-konfigurazzjoni tal-organizzazzjoni. Kull organizzazzjoni maħluqa fuq is-server Mediation Controller teħtieġ DB differenti li fiha jinżammu s-settings u r-reġistri kollha tal-organizzazzjoni.

  3. Database tal-modulu Vault. Kull organizzazzjoni maħluqa twassal għall-ħolqien ta’ DB speċifika għall-modulu Vault tal-prodott, li b’mod default tinħażen fuq is-server Mediation Controller. Din id-database tista’ tiġi esternalizzata fil-LAN, sakemm komponent Edge Gateway ikun jista’ jaċċessaha.

Meta jintużaw databases esterni (il-każ nominali f’Cluster), it-tipi ta’ database appoġġati huma:

Liċenzja

Is-server Mediation Controller jeħtieġ liċenzja biex jaħdem.
Il-liċenzja tista’ tinkiseb mingħand Systancia permezz tal-formola li ġejja għat-talba tal-liċenzja: Itlob liċenzja

Ċertifikati

CyberElements Bastion juża l-kriptaġġ TLS għall-komunikazzjonijiet interni u HTTPS biex jassigura l-aċċess web, u dan jeħtieġ l-użu ta’ diversi ċertifikati x509. L-informazzjoni hawn taħt tiġbor fil-qosor iċ-ċertifikati differenti meħtieġa, l-iskop tagħhom, u s-settings minimi.

Restrizzjoni tas-sigurtà taċ-ċertifikat

Irrispettivament miċ-ċertifikat użat, kun żgur li jikkonforma mal-livell ta’ sigurtà 2 ta’ OpenSSL, li jista’ jinġabar fil-qosor kif ġej:

  • Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit.
  • Il-firma taċ-ċertifikat m’għandhiex tkun MD5 jew SHA-1 (SHA-512 huwa ppreferut).

Dan is-server juża ħames ċertifikati differenti:

  • Ċertifikat web biex jiġi attivat l-HTTPS.
  • Ċertifikat għall-komponent SSL Router, responsabbli biex iwaqqaf it-tunnels TLS u jirrotta t-traffiku bejniethom.
  • Ċertifikat għall-komponent Watchdog, responsabbli biex jissorvelja t-tħaddim korrett tal-komponent SSL Router.
  • Ċertifikat għall-klijent CyberElements Bastion biex ikun jista’ jikkonnettja mal-komponent SSL Router u jistabbilixxi tunnel TLSv1.3.
  • Ċertifikat għall-iskambji bejn is-servers Mediation Controller (għas-server SLAVE biss).

Ċertifikat web

Rakkomandazzjoni

Iċ-ċertifikat web preferibbilment għandu jkun maħruġ minn awtorità taċ-ċertifikazzjoni (CA) pubblika li hija rikonoxxuta bħala affidabbli.
B’hekk l-utenti ma jirċievu l-ebda allarm relatat maċ-ċertifikat użat (sakemm ikun validu u jkopri l-isem li bih l-utent beda l-konnessjoni) mingħajr ebda azzjoni addizzjonali. L-użu ta’ ċertifikat maħruġ minn PKI interna jeħtieġ l-iskjerament taċ-ċertifikat tas-CA fuq l-istazzjonijiet tax-xogħol tal-utenti.

Iċ-ċertifikat web għandu jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

  • Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 398 jum (13-il xahar).
  • Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
  • Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
  • Il-valur tal-attribut Common Name għandu jkun l-isem DNS (jew wildcard) li għalih huwa maħsub iċ-ċertifikat.
  • L-attribut Key Usage għandu jkollu l-valuri critical, digitalSignature u keyEncipherment.
  • L-attribut Extended Key Usage għandu jkollu l-valur id-kp-serverAuth (OpenSSL juża l-valur serverAuth).
  • L-attribut Subject Alternative Name għandu jkun fih mill-inqas entrata waħda li tikkorrispondi għall-isem DNS primarju; jistgħu jiżdiedu entrati oħra biex ikopru ismijiet DNS jew indirizzi IP oħra.

Format taċ-ċertifikat aċċettat: P12 jew PEM (b’żewġ fajls, wieħed għaċ-ċertifikat u ieħor għaċ-ċavetta privata).

Ċertifikat tal-komponent SSL Router

Iċ-ċertifikat SSL Router għandu jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

  • Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
  • Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
  • Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
  • Il-valur tal-attribut Common Name għandu jkun l-indirizz IP jew isem DNS li jirridirezzjona lejn IP_MED_SSL.
  • L-attribut Key Usage għandu jkollu l-valuri critical, digitalSignature u keyEncipherment.
  • L-attribut Extended Key Usage għandu jkollu l-valur serverAuth.

Format taċ-ċertifikat aċċettat: P12.

Ċertifikat tal-komponent Watchdog

Iċ-ċertifikat Watchdog għandu jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

  • Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
  • Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
  • Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
  • L-attribut Common Name għandu jkollu valur li jkun isem ta’ identifikazzjoni tal-komponent Watchdog, pereżempju “Watchdog”.
  • L-attribut Key Usage għandu jkollu l-valuri critical u digitalSignature.
  • L-attribut Extended Key Usage għandu jkollu l-valur clientAuth.

Format taċ-ċertifikat aċċettat: P12.

Ċertifikat tal-klijent CyberElements Bastion

Iċ-ċertifikat tal-klijent CyberElements Bastion għandu jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

  • Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
  • Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
  • Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
  • L-attribut Common Name għandu jkollu valur li jkun isem ta’ identifikazzjoni tal-klijent, pereżempju “cyberelements-cleanroom-client”.
  • L-attribut Key Usage għandu jkollu l-valuri critical u digitalSignature.
  • L-attribut Extended Key Usage għandu jkollu l-valur clientAuth.

Format taċ-ċertifikat aċċettat: P12 b’password ta’ mill-inqas 8 karattri alfanumeriċi (il-karattri speċjali, l-ittri b’aċċenti u s-sing mhumiex appoġġati).

Ċertifikat bejn is-servers

Iċ-ċertifikat interserver ta’ CyberElements Bastion għandu jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

  • Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
  • Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
  • Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
  • L-attribut Common Name għandu jkollu isem ta’ identifikazzjoni bħala l-valur tiegħu, pereżempju “interserver-cleanroom”.
  • L-attribut Key Usage għandu jkollu l-valuri critical u digitalSignature.
  • L-attribut Extended Key Usage għandu jkollu l-valur clientAuth.

Format taċ-ċertifikat aċċettat: P12 b’password ta’ mill-inqas 8 karattri mingħajr karattri speċjali.

Dan is-server juża żewġ ċertifikati differenti:

  • Ċertifikat għall-awtentikazzjoni tal-komponent Edge Gateway mal-komponent SSL Router.
  • Ċertifikat għas-servizz tar-reġistrazzjoni sabiex l-aġenti tar-reġistrazzjoni jkunu jistgħu jikkonnettjaw miegħu.

Informazzjoni

Server Edge Gateway jista’ jkollu diversi istanzi ta’ Edge Gateway, u dan jeħtieġ daqstant ċertifikati daqs kemm hemm istanzi ta’ Edge Gateway (ħlief fil-każ speċifiku tal-arkitettura Cluster).

Madankollu, server Edge Gateway għandu servizz tar-reġistrazzjoni wieħed biss, għalhekk ikun meħtieġ ċertifikat wieħed biss għal kull kompjuter.

Ċertifikat tal-komponent Edge Gateway

Iċ-ċertifikat tal-komponent Edge Gateway għandu jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

  • Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
  • Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
  • Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
  • L-attribut Common Name irid ikollu valur li jidentifika l-komponent Edge Gateway loġiku. Dan l-isem għandu l-forma li ġejja <GW_NAME>@<ORGANIZATION_NAME>, fejn <GW_NAME> jikkorrispondi għall-isem tal-komponent Edge Gateway (kif imdaħħal fil-konsol tal-amministrazzjoni) u <ORGANIZATION_NAME> jikkorrispondi għall-isem tal-organizzazzjoni li magħha se jikkonnettja l-komponent Edge Gateway.
  • L-attribut Key Usage għandu jkollu l-valuri critical u digitalSignature.
  • L-attribut Extended Key Usage għandu jkollu l-valur clientAuth.

Format taċ-ċertifikat aċċettat: P12.

Ċertifikat tas-servizz tar-reġistrazzjoni

Iċ-ċertifikat tas-servizz tar-reġistrazzjoni irid jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

  • Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
  • Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
  • Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
  • Il-valur tal-attribut Common Name irid ikun l-isem FQDN jew għall-inqas l-isem tal-kompjuter Edge Gateway.
  • L-attribut Key Usage għandu jkollu l-valuri critical, digitalSignature u keyEncipherment.
  • L-attribut Extended Key Usage għandu jkollu l-valur serverAuth.

Format taċ-ċertifikat aċċettat: P12.

Dan is-server juża ċertifikat wieħed biss: dak għall-awtentikazzjoni tal-komponent HTML5 Gateway mal-komponent SSL Router.

Informazzjoni

Server HTML5 Gateway jista’ jkollu diversi istanzi ta’ HTML5 Gateway, u dan jeħtieġ daqstant ċertifikati daqs kemm hemm istanzi ta’ HTML5 Gateway (ħlief fil-każ speċifiku tal-arkitettura Cluster).

Ċertifikat tal-komponent HTML5 Gateway

Iċ-ċertifikat tal-komponent HTML5 Gateway irid jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

  • Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
  • Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
  • Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
  • L-attribut Common Name irid ikollu valur li jidentifika l-komponent Edge Gateway loġiku. Dan l-isem għandu l-forma li ġejja <HTML5_GW_NAME>@<ORGANIZATION_NAME>, fejn <HTML5_GW_NAME> jikkorrispondi għall-isem tal-komponent Edge Gateway (kif imdaħħal fil-konsol tal-amministrazzjoni) u <ORGANIZATION_NAME> jikkorrispondi għall-isem tal-organizzazzjoni li magħha se jikkonnettja l-komponent Edge Gateway.
  • L-attribut Key Usage għandu jkollu l-valuri critical u digitalSignature.
  • L-attribut Extended Key Usage għandu jkollu l-valur clientAuth.

Format taċ-ċertifikat aċċettat: P12.

Għat-tħaddim f’aċċess dirett, l-aġent tar-reġistrazzjoni f’aċċess dirett juża ċertifikat biex jawtentika ruħu mas-servizz tar-reġistrazzjoni ta’ komponent Edge Gateway.

Iċ-ċertifikat irid jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

  • Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
  • Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
  • Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
  • L-attribut Common Name irid ikollu valur li jkun l-isem qasir, l-FQDN, jew kwalunkwe isem ieħor li jidentifika l-kompjuter b’mod uniku. Dan l-isem jintuża biex jiġu identifikati u segwiti l-azzjonijiet imwettqa fuq il-kompjuter.
  • L-attribut Key Usage għandu jkollu l-valuri critical u digitalSignature.
  • L-attribut Extended Key Usage għandu jkollu l-valur clientAuth.

Format taċ-ċertifikat aċċettat: P12.