Ga naar inhoud

Voorwaarden voor een CyberElements Bastion Cluster-platform

Machine

Zowel fysieke als virtuele machines kunnen worden gebruikt om CyberElements Bastion te installeren.
Het product voert zelf geen virtualisatie uit, dus hoeft de optie voor geneste virtualisatie voor virtuele machines niet te worden ingeschakeld.

OS

CyberElements Bastion werkt op 64-bits machines met Debian 12 (Bookworm).
Het is aan te raden machines zonder grafische interface te gebruiken en de geïnstalleerde componenten tot de SSH-server te beperken.

CPU

Een CPU met 4 cores dekt de meeste gebruiksscenario's van het product.

RAM

Waarschuwing

De onderstaande RAM-waarden zijn slechts indicatief, aangezien er talrijke variabelen zijn die het RAM-gebruik kunnen beïnvloeden (gebruikte productfuncties of elementen die parallel met het product op de machine zijn geïnstalleerd).

Het RAM-gebruik hangt in het algemeen af van het aantal gelijktijdige gebruikers dat het platform kan opvangen:

  • Tussen 1 en 5 gelijktijdige gebruikers: minimaal 2 GB RAM, 4 GB aanbevolen.
  • Tussen 5 en 20 gelijktijdige gebruikers: minimaal 4 GB RAM.
  • Vanaf 20 gelijktijdige gebruikers: minimaal 8 GB RAM.

Het RAM-gebruik hangt af van het aantal gelijktijdige sessies en van de gebruikte applicatietypen.

De typische waarden zijn de volgende:

  • Tussen 1 en 5 gelijktijdige gebruikers: minimaal 2 GB RAM, 4 GB aanbevolen.
  • Tussen 5 en 20 gelijktijdige gebruikers: minimaal 4 GB RAM.
  • Vanaf 20 gelijktijdige gebruikers: 8 GB RAM.

Let erop dat een RDP- of VNC-applicatie zonder agent tot 400 MB per gestarte applicatie kan verbruiken.
Wanneer deze applicatietypen intensief worden gebruikt, is het aan te raden het RAM-gebruik te monitoren om de omvang ervan overeenkomstig aan te passen.

Het RAM-gebruik hangt af van het aantal gelijktijdig geopende HTML5-applicaties.

De basisserver moet 2 GB hebben om het systeem te laten werken, plus 50 MB per gelijktijdige HTML5-applicatie.

Als de rol HTML5 Gateway met een Edge Gateway-server wordt gecombineerd, tel dan 50 MB per gelijktijdige HTML5-applicatie op bij de RAM-aanbeveling voor de Edge Gateway-server.

Schijf

Wij raden aan de schijf met LVM te partitioneren om meer flexibiliteit te hebben als de omvang van de machine tijdens het gebruik moet worden herzien.

De verschillende servertypen hebben verschillende patronen van schijfgebruik, met eveneens verschillende volumes. Hieronder de informatie per servertype:

Op deze server neemt het volume toe in de volgende mappen:

  • /var/log/: map met de verschillende systeemlogs.
  • /var/lib/postgresql/15/main/: map met de gegevens van de lokale database.
  • /var/ipdiva/: map met de productspecifieke gegevens.

Het isoleren van de verschillende mappen in verschillende partities is niet verplicht, maar wel aanbevolen. U kunt de volgende aanwijzingen volgen:

Koppelpunt Opties Minimale grootte (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Geen optie Afhankelijk van het RAM (de helft minder)
/ Geen optie 2 GB of meer, afhankelijk van de beschikbare schijfruimte

Voorbeeld

Voor een server met 4 GB RAM (die 2 GB swap nodig heeft) bedraagt de met de voorgaande partitionering vereiste schijfruimte minimaal 35 GB.

Op deze server neemt het volume toe in de volgende mappen:

  • /var/log/: map met de verschillende systeemlogs.
  • /var/lib/ipdiva/carerecord/recording/: map met de archieven die op dat moment worden opgenomen; het gaat dus om een map voor tijdelijke opslag.
  • /var/lib/ipdiva/carerecord/archives/: standaardmap met de grafische archieven van het product.
  • /var/ipdiva/care/sshrecord/: standaardmap met de niet-grafische archieven (SSH) van het product.

Het isoleren van de verschillende mappen in verschillende partities is niet verplicht, maar wel aanbevolen. U kunt de volgende aanwijzingen volgen:

Koppelpunt Opties Minimale grootte (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Geen optie Afhankelijk van het RAM (de helft minder)
/ Geen optie 2 GB of meer, afhankelijk van de beschikbare schijfruimte

Voorbeeld

Voor een server met 4 GB RAM (die 2 GB swap nodig heeft) bedraagt de met de voorgaande partitionering vereiste schijfruimte minimaal 35 GB.

Het wordt echter sterk aanbevolen aan het koppelpunt /var meer schijfruimte toe te wijzen voor tijdelijke of langdurige grafische archieven, tenzij de archieven worden uitbesteed.

Op deze server neemt het volume toe in de volgende mappen:

  • /var/log/: map met de verschillende systeemlogs.
  • /home/systanciahtml5share/: map voor de tijdelijke opslag van de met HTML5-applicaties uitgewisselde bestanden.

Het isoleren van de verschillende mappen in verschillende partities is niet verplicht, maar wel aanbevolen. U kunt de volgende aanwijzingen volgen:

Koppelpunt Opties Minimale grootte (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Geen optie Afhankelijk van het RAM (de helft minder)
/ Geen optie 2 GB of meer, afhankelijk van de beschikbare schijfruimte

Voorbeeld

Voor een server met 4 GB RAM (die 2 GB swap nodig heeft) bedraagt de met de voorgaande partitionering vereiste schijfruimte minimaal 35 GB.

Netwerk

Een CyberElements Bastion Cluster-platform vereist:

  • 2 werkelijke IP-adressen per Mediation Controller-server (op dezelfde netwerkinterface)
  • 3 virtuele IP-adressen voor de werking van de cluster
  • 1 IP-adres per Edge Gateway- of HTML5 Gateway-machine

Aanvullende informatie

De werkelijke en virtuele IP-adressen van de Mediation Controller-servers moeten alle tot hetzelfde subnet behoren.

Incompatibiliteiten bij het gebruik van virtuele IP-adressen

De virtuele IP-adressen beschikken over lastverdeling die met IPVS (IP Virtual Server) wordt beheerd.
De lastverdeling stelt verschillende voorwaarden om correct te werken:

  • De functies Reverse Path Forwarding (RPF) uitschakelen voor de Mediation Controllers en voor de IP-adressen die door deze machines worden gedragen.
  • Voor de Mediation Controller-servers onder VMware een netwerkadapter E1000E toewijzen in plaats van VMXNET3.

De Mediation Controller-servers worden doorgaans in een DMZ geplaatst, maar ze kunnen ook in een privé-DMZ worden geplaatst of in een openbare cloud worden gehost. Dat hangt af van het gebruiksscenario van het platform (bijvoorbeeld: toegang op afstand voor dienstverleners of het beveiligen van de interne toegang tot beschermde zones).

De Edge Gateway-servers worden doorgaans in het LAN geplaatst, in VLAN's die hen in staat stellen met de doelresources te communiceren.

De HTML5 Gateway-servers kunnen zowel in het LAN als in de DMZ worden geplaatst. Deze documentatie voorziet in de installatie van de HTML5 Gateway-component op de Edge Gateway-servers, dus in het LAN.

Om de verschillende adressen van de machines beter te kunnen identificeren, worden ze in de documentatie als volgt aangeduid:

Naam van het IP-adres Betekenis
RIP_MED_WEB_MASTER Primair IP-adres van de Mediation Controller-server MASTER, dat toegang geeft tot de webconsoles.
RIP_MED_WEB_SLAVE Primair IP-adres van de Mediation Controller-server SLAVE, dat toegang geeft tot de webconsoles.
RIP_MED_SSL_MASTER Tweede IP-adres van de Mediation Controller-server MASTER, gebruikt door de component SSL Router.
RIP_MED_SSL_SLAVE Tweede IP-adres van de Mediation Controller-server SLAVE, gebruikt door de component SSL Router.
VIP_MED_WEB Virtueel IP-adres van de Mediation Controller-cluster, dat toegang geeft tot de webconsoles.
VIP_MED_SSL Virtueel IP-adres van de Mediation Controller-cluster, dat toegang geeft tot de SSL Router.
VIP_MED_ZEO Virtueel IP-adres van de Mediation Controller-cluster, dat toegang geeft tot een interne configuratiedatabase van het product.
IP_GW IP-adres van de Edge Gateway-server.
IP_HTML5_GW IP-adres van de HTML5 Gateway-server.

Informatie

De verstrekte informatie over de stromen gaat ervan uit dat de Mediation Controller-servers zich in de DMZ bevinden en dat de Edge Gateway-servers, die ook de rol van HTML5 Gateway op zich nemen, zich in het LAN bevinden.

De IP-adressen van de Mediation Controller kunnen openbare IP-adressen zijn die direct aan de Mediation Controller-server zijn toegewezen, of openbare IP-adressen die via NAT naar privé-IP-adressen worden omgezet (aanbevolen).

Bron Bestemming Bestemmingspoort Opmerkingen
Werkstation van de gebruiker VIP_MED_WEB TCP 443 (bij gebruik van de standaardpoort) Toegang toestaan tot de webconsoles en tot de applicaties die direct in de browser worden uitgevoerd.
Werkstation van de gebruiker VIP_MED_SSL TCP 443 (bij gebruik van de standaardpoort) Een TLS-tunnel opzetten om de stroom te versleutelen die via de CyberElements Bastion-client loopt.
IP_GW VIP_MED_WEB TCP 443 (bij gebruik van de standaardpoort) Wanneer de Edge Gateway zich in een extern netwerk bevindt. Verbinding met het pairing-systeem van de Edge Gateway.
IP_GW VIP_MED_SSL TCP 443 (bij gebruik van de standaardpoort) Wanneer de Edge Gateway zich in een extern netwerk bevindt. Verbinding met de SSL Router om een TLSv1.3-tunnel op te zetten en de communicatie van het product erdoor te leiden.
Bron Bestemming Bestemmingspoort Opmerkingen
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Debian-repositories TCP 80 Vereist om de afhankelijkheden van CyberElements Bastion te installeren en het systeem actueel te houden. De documentatie en de virtuele appliances gebruiken ftp.fr.debian.org en security.debian.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 packages.microsoft.com TCP 443 Microsoft-repository voor het installeren en bijwerken van de MS SQL-stuurprogramma's. Alleen vereist als toegang tot een MS SQL-database gewenst is (de virtuele appliances bevatten de MS SQL-stuurprogramma's).
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 NTP-tijdserver UDP 123 Optioneel als de server zijn klok moet synchroniseren met een server in de DMZ. Standaard worden de Debian-pools gebruikt: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org en 3.debian.pool.ntp.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 SMTP-server TCP 25, 465, 587 Vereist als er voor het verzenden van e-mails een SMTP-server moet worden gebruikt die zich in het WAN bevindt.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 DNS-server UDP 53 Vereist voor de DNS-resolutie. Die kan zich in het WAN of in de DMZ bevinden.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 api.neomia.ai TCP 443 (Optioneel) Verbinding met de API's van het MFA-product met gedragsbiometrie Neomia Pulse.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Optioneel) Verbinding met de kluis Keeper EPM, afhankelijk van de locatie ervan.
Bron Bestemming Bestemmingspoort Opmerkingen
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 NTP-tijdserver UDP 123 Als de server zijn klok moet synchroniseren met een server in de DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 SMTP-server TCP 25, 465, 587 Vereist als er voor het verzenden van e-mails een SMTP-server moet worden gebruikt die zich in de DMZ bevindt.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Databaseserver TCP 1433, 5432 of elke andere aangepaste poort Vereist als u een externe database wilt gebruiken die zich in de DMZ bevindt.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 DNS-server UDP 53 Vereist voor de DNS-resolutie. Die kan zich in de DMZ of in het WAN bevinden.

Aanvullende informatie

De Mediation Controller-servers moeten met elkaar kunnen communiceren van en naar elk van hun adressen, ongeacht het protocol.

Bron Bestemming Bestemmingspoort Opmerkingen
IP_GW Debian-repositories TCP 80 Vereist om de afhankelijkheden van CyberElements Bastion te installeren en het systeem actueel te houden. De documentatie en de virtuele appliances gebruiken ftp.fr.debian.org en security.debian.org.
IP_GW DNS-server UDP 53 Vereist voor de DNS-resolutie. Optioneel als er in het LAN of in de DMZ een DNS-server beschikbaar is.
IP_GW NTP-tijdserver UDP 123 Optioneel als de server zijn klok moet synchroniseren met een server in het LAN of in de DMZ. Standaard worden de Debian-pools gebruikt: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org en 3.debian.pool.ntp.org.
IP_GW SMS-provider TCP 443 (Optioneel) Verbinding met de API's van de SMS-providers die door CyberElements Bastion worden ondersteund.
Bron(nen) Bestemming Bestemmingspoort Opmerkingen
IP_GW
IP_HTML5_GW		 VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (bij gebruik van de standaardpoort) Verbinding met het pairing-systeem van de Edge Gateway.
IP_GW
IP_HTML5_GW		 VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (bij gebruik van de standaardpoort) Verbinding met de SSL Router om een TLSv1.3-tunnel op te zetten en de communicatie van het product erdoor te leiden.
Clientwerkstation VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (bij gebruik van de standaardpoort) Verbinding met de verschillende webconsoles van het product.
Clientwerkstation VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (bij gebruik van de standaardpoort) Een TLS-tunnel opzetten om de stroom te versleutelen die via de CyberElements Bastion-client loopt.
Werkstation van de beheerder RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 22 SSH-verbinding met de Mediation Controller-server.
Bron Bestemming Bestemmingspoort Opmerkingen
IP_GW DNS-server UDP 53 Vereist voor de DNS-resolutie. Optioneel als er een DNS-server in het WAN of in de DMZ wordt gebruikt.
IP_GW LDAP- of AD-servers TCP 389 of 636 Verbinding van CyberElements Bastion met een LDAP- of AD-server.
IP_GW AD-servers TCP 139 en 445 Rotatie van de wachtwoorden van AD-accounts; wordt alleen gebruikt als rotatie via LDAPS niet mogelijk is.
IP_GW RDP-servers TCP/UDP 3389 (bij gebruik van de standaardpoort) Verbinding van CyberElements Bastion met de RDP-servers.
IP_GW SSH-servers TCP 22 (bij gebruik van de standaardpoort) Verbinding van CyberElements Bastion met de SSH-servers.
IP_GW VNC-servers TCP 5900 (bij gebruik van de standaardpoort) Verbinding van CyberElements Bastion met de VNC-servers.
IP_GW Webservers TCP 80 of 443 (bij gebruik van de standaardpoort) Verbinding van CyberElements Bastion met de webservers.
IP_GW Citrix Storefront-servers TCP 443 (bij gebruik van de standaardpoort) Verbinding van CyberElements Bastion met de Citrix Storefront-servers.
IP_GW Citrix-applicatieservers TCP 1494 Verbinding van CyberElements Bastion met de Citrix-applicatieservers (het starten van een applicatie of een desktop met de ICA-client).
IP_GW Bestandsservers TCP 139 en 445 Verbinding van CyberElements Bastion met de bestandsservers.
IP_GW Databaseserver TCP 1433, 5432 of een andere aangepaste poort Vereist als u een externe database in het LAN wilt gebruiken (bijvoorbeeld om de Vault-database uit te besteden).
IP_GW RDP-servers TCP 139 en 445 Implementatie van de opname-agent via de beheerconsole.
Clientwerkstation IP_GW TCP [poort gedefinieerd door de beheerder] Verbinding voor directe SSH-toegang.
Clientwerkstation IP_GW TCP 3389 Verbinding voor directe RDP-toegang.
RDP-servers IP_GW TCP 8443 Verbinding tussen de opname-agent en de Edge Gateway om de opname van de gebruikerssessie te uploaden.
Beheerderswerkstation IP_GW TCP 22 SSH-verbinding met de Edge Gateway-server.

Database

CyberElements Bastion gebruikt voor zijn werking verschillende databases (DB).

  1. Database van de systeemconfiguratie. Deze database wordt gebruikt om alle instellingen van de beheerinterface /system op te slaan en moet de naam default dragen.

    Waarschuwing!

    U moet de database default aanmaken voordat u verbinding maakt met CyberElements Bastion (deze wordt niet automatisch aangemaakt).

  2. Database van de configuratie van de organisatie. Elke organisatie die op de Mediation Controller-server wordt aangemaakt, vereist een aparte DB die alle instellingen en logs van de organisatie bevat.

  3. Vault-database. Elke aangemaakte organisatie leidt tot het aanmaken van een specifieke DB voor de Vault van het product, die standaard op de Mediation Controller-server wordt opgeslagen. Deze database kan naar het LAN worden uitbesteed, op voorwaarde dat een Edge Gateway er toegang tot heeft.

Bij gebruik van externe databases (het nominale geval in Cluster) zijn de ondersteunde databasetypen de volgende:

Licentie

De Mediation Controller-server heeft een licentie nodig om te werken.
De licentie kan bij Systancia worden verkregen via het volgende aanvraagformulier: Een licentie aanvragen

Certificaten

CyberElements Bastion gebruikt TLS-versleuteling voor de interne communicatie en HTTPS om de webtoegang te beveiligen, waarvoor verschillende x509-certificaten nodig zijn. De onderstaande informatie vat de verschillende vereiste certificaten, hun doel en de minimale instellingen samen.

Beveiligingsvoorwaarde voor het certificaat

Zorg er, ongeacht het gebruikte certificaat, voor dat het voldoet aan OpenSSL-veiligheidsniveau 2, dat als volgt kan worden samengevat:

  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn.
  • De ondertekening van het certificaat mag niet MD5 of SHA-1 zijn (SHA-512 heeft de voorkeur).

Deze server gebruikt vijf verschillende certificaten:

  • Een webcertificaat om HTTPS mogelijk te maken.
  • Een certificaat voor de component SSL Router, die verantwoordelijk is voor het opzetten van de TLS-tunnels en het routeren van het verkeer daartussen.
  • Een certificaat voor de component Watchdog, die verantwoordelijk is voor het toezien op de goede werking van de SSL Router.
  • Een certificaat voor de client CyberElements Bastion, zodat deze verbinding kan maken met de SSL Router en een TLSv1.3-tunnel kan opzetten.
  • Een certificaat voor de uitwisselingen tussen de Mediation Controller-servers (alleen voor de server SLAVE).

Webcertificaat

Aanbeveling

Het webcertificaat wordt bij voorkeur uitgegeven door een openbare certificeringsinstantie (CA) die als betrouwbaar wordt erkend.
Zo is zonder verdere actie gewaarborgd dat de gebruikers geen alerts over het gebruikte certificaat ontvangen (op voorwaarde dat het geldig is en de naam dekt waarmee de gebruiker de verbinding heeft geopend). Het gebruik van een door een interne PKI uitgegeven certificaat vereist de implementatie van het CA-certificaat op de werkstations van de gebruikers.

Het webcertificaat moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 398 dagen (13 maanden).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • De waarde van het attribuut Common Name moet de DNS-naam (of jokernaam) zijn waarvoor het certificaat bestemd is.
  • Het attribuut Key Usage moet de waarden critical, digitalSignature en keyEncipherment hebben.
  • Het attribuut Extended Key Usage moet de waarde id-kp-serverAuth hebben (OpenSSL gebruikt de waarde serverAuth).
  • Het attribuut Subject Alternative Name moet ten minste één vermelding bevatten die overeenstemt met de primaire DNS-naam; er kunnen andere vermeldingen worden toegevoegd om andere DNS-namen of IP-adressen te dekken.

Aanvaarde certificaatindeling: P12 of PEM (met twee bestanden, één voor het certificaat en één voor de privésleutel).

Certificaat van de SSL Router

Het certificaat van de SSL Router moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • De waarde van het attribuut Common Name moet het IP-adres zijn of een DNS-naam die naar IP_MED_SSL verwijst.
  • Het attribuut Key Usage moet de waarden critical, digitalSignature en keyEncipherment hebben.
  • Het attribuut Extended Key Usage moet de waarde serverAuth hebben.

Aanvaarde certificaatindeling: P12.

Certificaat van de Watchdog

Het certificaat van de Watchdog moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • Het attribuut Common Name moet als waarde een identificatienaam voor de Watchdog hebben, bijvoorbeeld ”Watchdog”.
  • Het attribuut Key Usage moet de waarden critical en digitalSignature hebben.
  • Het attribuut Extended Key Usage moet de waarde clientAuth hebben.

Aanvaarde certificaatindeling: P12.

Certificaat van de client CyberElements Bastion

Het certificaat van de CyberElements Bastion-client moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • Het attribuut Common Name moet als waarde een identificatienaam van de klant hebben, bijvoorbeeld ”cyberelements-cleanroom-client”.
  • Het attribuut Key Usage moet de waarden critical en digitalSignature hebben.
  • Het attribuut Extended Key Usage moet de waarde clientAuth hebben.

Aanvaarde certificaatindeling: P12 met een wachtwoord van ten minste 8 alfanumerieke tekens (speciale tekens, letters met accent of koppeltekens worden niet ondersteund).

Interservercertificaat

Het interservercertificaat van CyberElements Bastion moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • Het attribuut Common Name moet als waarde een identificatienaam hebben, bijvoorbeeld ”interserver-cleanroom”.
  • Het attribuut Key Usage moet de waarden critical en digitalSignature hebben.
  • Het attribuut Extended Key Usage moet de waarde clientAuth hebben.

Aanvaarde certificaatindeling: P12 met een wachtwoord van ten minste 8 tekens zonder speciale tekens.

Deze server gebruikt twee verschillende certificaten:

  • Een certificaat om de component Edge Gateway te authenticeren bij de SSL Router.
  • Een certificaat voor de opnameservice, zodat de opname-agenten er verbinding mee kunnen maken.

Informatie

Een Edge Gateway-server kan meerdere Edge Gateway-instanties bevatten, waarvoor evenveel certificaten nodig zijn als er Edge Gateway-instanties zijn (behalve in het specifieke geval van een clusterarchitectuur).

Een Edge Gateway-server heeft daarentegen slechts één opnameservice, zodat er maar één certificaat per machine nodig is.

Certificaat van de Edge Gateway

Het certificaat van de Edge Gateway moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • Het attribuut Common Name moet als waarde een waarde hebben die de logische Edge Gateway aanduidt. Deze naam heeft de volgende vorm <GW_NAME>@<ORGANIZATION_NAME>, waarbij <GW_NAME> overeenstemt met de naam van de Edge Gateway (zoals ingevoerd in de beheerconsole) en <ORGANIZATION_NAME> met de naam van de organisatie waarmee de Edge Gateway verbinding zal maken.
  • Het attribuut Key Usage moet de waarden critical en digitalSignature hebben.
  • Het attribuut Extended Key Usage moet de waarde clientAuth hebben.

Aanvaarde certificaatindeling: P12.

Certificaat van de opnameservice

Het certificaat van de opnameservice moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • De waarde van het attribuut Common Name moet de FQDN-naam zijn of ten minste de naam van de machine van de Edge Gateway.
  • Het attribuut Key Usage moet de waarden critical, digitalSignature en keyEncipherment hebben.
  • Het attribuut Extended Key Usage moet de waarde serverAuth hebben.

Aanvaarde certificaatindeling: P12.

Deze server gebruikt één enkel certificaat: het certificaat dat de component HTML5 Gateway authenticeert bij de SSL Router.

Informatie

Een HTML5 Gateway-server kan meerdere HTML5 Gateway-instanties bevatten, waarvoor evenveel certificaten nodig zijn als er HTML5 Gateway-instanties zijn (behalve in het specifieke geval van een clusterarchitectuur).

Certificaat van de HTML5 Gateway

Het certificaat van de HTML5 Gateway moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • Het attribuut Common Name moet als waarde een waarde hebben die de logische Edge Gateway aanduidt. Deze naam heeft de volgende vorm <HTML5_GW_NAME>@<ORGANIZATION_NAME>, waarbij <HTML5_GW_NAME> overeenstemt met de naam van de Edge Gateway (zoals ingevoerd in de beheerconsole) en <ORGANIZATION_NAME> met de naam van de organisatie waarmee de Edge Gateway verbinding zal maken.
  • Het attribuut Key Usage moet de waarden critical en digitalSignature hebben.
  • Het attribuut Extended Key Usage moet de waarde clientAuth hebben.

Aanvaarde certificaatindeling: P12.

Voor de werking in directe toegang gebruikt de opname-agent in directe toegang een certificaat om zich te authenticeren bij de opnameservice van een Edge Gateway.

Het certificaat moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • Het attribuut Common Name moet als waarde de korte naam, de FQDN of een andere naam hebben die de machine op unieke wijze aanduidt. Deze naam dient om de op de machine uitgevoerde acties te identificeren en te volgen.
  • Het attribuut Key Usage moet de waarden critical en digitalSignature hebben.
  • Het attribuut Extended Key Usage moet de waarde clientAuth hebben.

Aanvaarde certificaatindeling: P12.