Preskočiť na obsah

Inštalácia serverov Mediation Controller

Poznámka

Pripomíname, že prepnutie na root na počítačoch s Debianom je potrebné vykonať nasledujúcim príkazom:

1
su -

Pokyny uvedené na tejto stránke zopakujte na oboch serveroch Mediation Controller, počnúc serverom MASTER.
Ak sa medzi servermi MASTER a SLAVE objavia rozdiely, budú zvýraznené. Ak o tom nie je zmienka, pokyny platia pre oba servery, MASTER aj SLAVE.

Nastavenia systému

Pripojenie k počítaču

Na virtuálnych zariadeniach sú predvolene dva účty: používateľský účet a účet superpoužívateľa.

  • Používateľský účet
    • Prihlasovacie meno: systancia
    • Heslo: systnci
  • Účet superpoužívateľa
    • Prihlasovacie meno: root
    • Heslo: systnci

Pripojte sa k počítaču v režime konzoly.

Poznámka

Predvolené rozloženie klávesnice je QWERTY.

Zmena rozloženia klávesnice

Rozloženie klávesnice môžete zmeniť nasledujúcim príkazovým riadkom:

1
dpkg-reconfigure keyboard-configuration

Zobrazí sa ponuka, v ktorej môžete vybrať iné rozloženie klávesnice.

Potom pomocou nasledujúceho príkazového riadka nastavenia použite a uložte:

1
setupcon -k --save

Nastavenia sa prejavia okamžite po spustení tohto príkazu.

Konfigurácia siete

Pre server Mediation Controller je nevyhnutné nakonfigurovať statickú sieťovú adresu. Ak to chcete urobiť, najprv musíte zistiť názov sieťového rozhrania vášho počítača. Spustite nasledujúci príkaz ako root:

1
ip -br a | grep -ve "^lo"

Tento príkaz zobrazí názov sieťového rozhrania, jeho stav a IP adresy priradené k rozhraniu.

Príklad

Po vykonaní príkazu sa zobrazí nasledujúci výstup:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Názov sieťového rozhrania je ens192.

Po zistení názvu sieťového rozhrania je teraz možné upraviť sieťovú konfiguráciu počítača.
Upravte súbor /etc/network/interfaces podľa nasledujúcej šablóny:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Kde:

  • INTERFACE_NAME je potrebné nahradiť názvom predtým zisteného sieťového rozhrania.
  • RIP_MED_WEB_MASTER je potrebné nahradiť hlavnou skutočnou IP adresou servera, cez ktorú budú dostupné webové konzoly.
  • NETMASK je potrebné nahradiť sieťovou maskou priradenou k IP adrese.
  • NETWORK_GATEWAY je potrebné nahradiť predvolenou sieťovou bránou.
  • IP_DNS je potrebné nahradiť IP adresou servera DNS. Ak je potrebné nakonfigurovať viacero serverov (najviac 3), oddeľte ich medzerou.
  • DNS_SUFFIX je potrebné nahradiť príponou DNS, ktorá sa má použiť. Ak nie je potrebné zadať žiadnu príponu, riadok odstráňte.
  • RIP_MED_SSL_MASTER je potrebné nahradiť sekundárnou skutočnou IP adresou servera. Cez túto IP adresu bude dostupný komponent SSL Router.
Príklad 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Nakoniec zostáva už len reštartovať službu networking, aby sa načítala nová sieťová konfigurácia: 

1
systemctl restart networking

Pre server Mediation Controller je nevyhnutné nakonfigurovať statickú sieťovú adresu. Ak to chcete urobiť, najprv musíte zistiť názov sieťového rozhrania vášho počítača. Spustite nasledujúci príkaz ako root:

1
ip -br a | grep -ve "^lo"

Tento príkaz zobrazí názov sieťového rozhrania, jeho stav a IP adresy priradené k rozhraniu.

Príklad

Po vykonaní príkazu sa zobrazí nasledujúci výstup:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Názov sieťového rozhrania je ens192.

Po zistení názvu sieťového rozhrania je teraz možné upraviť sieťovú konfiguráciu počítača.
Upravte súbor /etc/network/interfaces podľa nasledujúcej šablóny:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Kde:

  • INTERFACE_NAME je potrebné nahradiť názvom predtým zisteného sieťového rozhrania.
  • RIP_MED_WEB_SLAVE je potrebné nahradiť hlavnou skutočnou IP adresou servera, cez ktorú budú dostupné webové konzoly.
  • NETMASK je potrebné nahradiť sieťovou maskou priradenou k IP adrese.
  • NETWORK_GATEWAY je potrebné nahradiť predvolenou sieťovou bránou.
  • IP_DNS je potrebné nahradiť IP adresou servera DNS. Ak je potrebné nakonfigurovať viacero serverov (najviac 3), oddeľte ich medzerou.
  • DNS_SUFFIX je potrebné nahradiť príponou DNS, ktorá sa má použiť. Ak nie je potrebné zadať žiadnu príponu, riadok odstráňte.
  • RIP_MED_SSL_SLAVE je potrebné nahradiť sekundárnou skutočnou IP adresou servera. Cez túto IP adresu bude dostupný komponent SSL Router.
Príklad 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Nakoniec zostáva už len reštartovať službu networking, aby sa načítala nová sieťová konfigurácia: 

1
systemctl restart networking

Tip

Teraz, keď boli nastavenia siete použité, je server dostupný cez SSH.

Zmena hesiel lokálnych účtov

CyberElements dôrazne odporúča po nasadení virtuálneho zariadenia zmeniť heslo týchto účtov.

Použite nasledujúci príkaz a zadajte nové heslo pre štandardný účet systancia:

1
passwd systancia

Potom operáciu zopakujte pre účet superpoužívateľa root:

1
passwd root

Konfigurácia názvu počítača

Názov servera môžete zmeniť konfiguráciou súborov hostname a hosts servera.

Upravte súbor /etc/hostname a zadajte v ňom názov počítača.
Produkt potrebuje nový názov na inom mieste, preto je potrebné vytvoriť kópiu predchádzajúceho súboru pomocou nasledujúceho príkazu:

1
cp /etc/hostname /var/ipdiva/zopeChroot/etc/hostname

Konfiguráciu súboru /etc/hosts je potrebné zopakovať vo vzťahu k skutočnej primárnej adrese IP počítača (RIP_MED_WEB_MASTER).
Ak to chcete urobiť, upravte súbor /etc/hosts a skontrolujte, či má druhý riadok nasledujúci formát:

2
RIP_MED_WEB_MASTER  FQDN    MACHINE_NAME
Príklad

Ak sa počítač nazýva MEDIATION-CONTROLLER-MASTER, nepatrí do domény a jeho skutočná adresa IP RIP_MED_WEB_MASTER je 10.0.10.10, súbor by sa vyplnil takto:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER

Ak počítač patrí do domény DOMAIN.LOCAL, súbor by sa vyplnil takto:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER.DOMAIN.LOCAL   MEDIATION-CONTROLLER-MASTER

Konfiguráciu súboru /etc/hosts je potrebné zopakovať vo vzťahu k skutočnej primárnej adrese IP počítača (RIP_MED_WEB_SLAVE).
Ak to chcete urobiť, upravte súbor /etc/hosts a skontrolujte, či má druhý riadok nasledujúci formát:

2
RIP_MED_WEB_SLAVE  FQDN    MACHINE_NAME
Príklad

Ak sa počítač nazýva MEDIATION-CONTROLLER-SLAVE, nepatrí do domény a jeho skutočná adresa IP RIP_MED_WEB_SLAVE je 10.0.10.12, súbor by sa vyplnil takto:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE

Ak počítač patrí do domény DOMAIN.LOCAL, súbor by sa vyplnil takto:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE.DOMAIN.LOCAL   MEDIATION-CONTROLLER-SLAVE

Ak chcete použiť novú konfiguráciu, reštartujte server:

1
reboot

Zmena časového pásma

Virtuálne zariadenie je predvolene nastavené na časové pásmo Europe/Paris.

Ak chcete toto časové pásmo zmeniť, najprv pomocou nasledujúceho príkazu zistite zápis dostupných časových pásiem:

1
timedatectl list-timezones

Potom použite nasledujúci príkazový riadok:

1
timedatectl set-timezone your_time_zone
Príklad

Ak chcete nastaviť časové pásmo Londýna, je potrebné spustiť nasledujúci príkaz:

1
timedatectl set-timezone Europe/London

Skontrolujte časové pásmo servera pomocou nasledujúceho príkazového riadka:

1
timedatectl

Inicializácia servera Mediation Controller

Inicializácia servera Mediation Controller

Server Mediation Controller sa inicializuje pomocou konfiguračného skriptu. Tento skript prekonfiguruje adresy IP clustera v rôznych službách produktu a vopred nakonfiguruje nastavenia potrebné na fungovanie komponentu HTML5 Gateway.
Spustite ho pomocou nasledujúceho príkazového riadka ako root:

1
/opt/systancia/initializeCluster

Skript vás vyzve na zadanie nasledujúcich informácií:

  • IP VIP HTTPS: virtuálna webová adresa IP clustera, teda VIP_MED_WEB.
  • IP VIP SSL: virtuálna adresa IP SSL clustera, teda VIP_MED_SSL.
  • IP VIP ZIO: virtuálna adresa IP na pripojenie servera Mediation Controller SLAVE k internej konfiguračnej databáze servera MASTER, teda VIP_MED_ZEO.
  • IP Master HTTPS: skutočná webová adresa IP servera Mediation Controller MASTER, teda RIP_MED_WEB_MASTER.
  • IP Master SSL: skutočná adresa IP pre SSL Router servera Mediation Controller MASTER, teda RIP_MED_SSL_MASTER.
  • IP Slave HTTPS: skutočná webová adresa IP servera Mediation Controller SLAVE, teda RIP_MED_WEB_SLAVE.
  • IP Slave SSL: skutočná adresa IP pre SSL Router servera Mediation Controller SLAVE, teda RIP_MED_SSL_SLAVE.
  • HTML5 port: lokálny port načúvania na presmerovanie prístupu k službe HTML5 Gateway; odporúčame zadať port 1234.
  • Gateway: názov komponentu Edge Gateway; zadajte názov prvého komponentu Edge Gateway.
  • Organization: názov organizácie, ku ktorej sa budú pripájať komponenty Edge Gateway a HTML5 Gateway.

Po dokončení inicializácie reštartujte server:

1
reboot

Zmena hesla konzoly /mediation/system produktu CyberElements Gate

V tejto fáze inštalácie je k dispozícii nové rozhranie na správu: Zmeniť heslo

Použitie licencií a certifikátov

Stále v konzole /mediation/system budete musieť zadať certifikáty a licencie pre server Mediation Controller.

Pozor!

Licencia a certifikát komponentu SSL Router sú špecifické pre server Mediation Controller MASTER alebo SLAVE.
Konfigurácia nesprávnej licencie alebo nesprávneho certifikátu neskôr spôsobí poruchy.

Použite licenciu a certifikát pre komponent SSL Router:

  1. Kliknite na kartu Settings.
  2. V ponuke vyberte SSL Connections.
  3. Vyhľadajte certifikát pre komponent SSL Router.
  4. Zadajte heslo certifikátu komponentu SSL Router.
  5. Kliknite na Apply, aby sa certifikát použil pre komponent SSL Router.
  6. Vyberte súbor licencie servera.
  7. Kliknite na Modify, aby sa použila licencia servera.

Potom zadajte informácie o certifikáte pre klienta CyberElements Bastion:

  1. Vyberte kartu Plugin.
  2. Vyhľadajte certifikát klienta CyberElements Bastion.
  3. Zadajte heslo certifikátu.
  4. Kliknite na Apply, aby sa certifikát použil.

Ešte musíte zadať informácie o certifikáte komponentu Watchdog:

  1. Vyberte kartu Watchdog
  2. Vyhľadajte certifikát komponentu Watchdog.
  3. Zadajte heslo certifikátu.
  4. Kliknite na Apply, aby sa certifikát použil.

Aby sa tieto zmeny prejavili, musíte reštartovať komponenty SSL Router a Watchdog:

Pairing serverov Mediation Controller

Pozor!

V tomto bode už musia byť oba servery Mediation Controller nakonfigurované až po použitie licencií a certifikátov.
Ak server Mediation Controller SLAVE ešte nie je nakonfigurovaný, nakonfigurujte ho a začnite od začiatku tejto dokumentácie.

Krok pairingu serverov Mediation Controller vytvorí dôveryhodné prepojenie medzi oboma servermi a inicializuje činnosť clustera.

Na serveri Mediation Controller SLAVE

Spustite nasledujúci príkaz ako root, aby ste iniciovali požiadavku na pairing so serverom Mediation Controller MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Nahraďte RIP_MED_WEB_MASTER príslušnou IP adresou.

Príklad

Ak sa RIP_MED_WEB_MASTER rovná 10.0.10.10, príkaz, ktorý treba zadať, je nasledujúci:

1
hostManagerCtl bootstrap 10.0.10.10

Na serveri Mediation Controller MASTER

Spustite nasledujúci príkaz ako root, aby ste skontrolovali čakajúce požiadavky na pairing a získali ID požiadavky: 

1
hostManagerCtl getPendingRequests

Potom spustite nasledujúci príkaz na prijatie požiadavky na pairing, pričom ID nahraďte ID získaným z predchádzajúceho príkazu:

1
hostManagerCtl acceptRequest ID
Príklad

Ak je návratová hodnota príkazu hostManagerCtl getPendingRequests nasledujúca:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Príkaz na prijatie požiadavky na pairing je teda nasledujúci:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Na overenie priradenia použite nasledujúci príkaz na serveri Mediation Controller (MASTER alebo SLAVE):

1
hostManagerCtl listPeers

Výsledok sa líši v závislosti od servera, na ktorom sa príkaz spustí:

Očakávaný výsledok na serveri Mediation Controller MASTER je nasledujúci:

1
slave -> RIP_MED_WEB_SLAVE
Príklad 
1
slave -> 10.0.10.12

Očakávaný výsledok na serveri Mediation Controller SLAVE je nasledujúci:

1
master -> RIP_MED_WEB_MASTER
Príklad 
1
master -> 10.0.10.10

Na serveri Mediation Controller SLAVE

Stav bootstrapu môžete skontrolovať zo servera SLAVE pomocou nasledujúceho príkazu:

1
hostManagerCtl getBootstrapStatus

Cluster, ktorý nemá žiadne problémy so synchronizáciou, vráti hodnotu 0.

Na serveri SLAVE je potrebná ešte posledná séria príkazov na synchronizáciu tajného kľúča zdieľaného medzi oboma servermi Mediation Controller:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Na čo slúži medziserverové pripojenie?

Ide o špeciálne pripojenie na prevádzku clustera, ktoré umožňuje serveru Mediation Controller smerovať prevádzku na iný server Mediation Controller v prípadoch, keď cieľový komponent Edge Gateway nie je pripojený k prvému serveru, ale iba k druhému.

Ak napríklad server Mediation Controller MASTER už nie je pripojený ku komponentu Edge Gateway, môže použiť medziserverové prepojenie na dosiahnutie komponentu Edge Gateway cez server Mediation Controller SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Strata pripojenia| GW(Edge Gateway)
    MASTER --> |Medziserverové prepojenie| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Na serveri Mediation Controller MASTER

Upravte súbor /etc/ipdiva/server/remoteServers.xml a uveďte v ňom CN medziserverového certifikátu:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Nahraďte SLAVECN hodnotou CN certifikátu určeného na medziserverové pripojenie.
Ak CN medziserverového certifikátu nepoznáte, môžete zadať znak * (odporúča sa v prípade pochybností):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Príklad

Vzhľadom na nasledujúce informácie:

  • CN medziserverového certifikátu: my-interserver-cert

Súbor /etc/ipdiva/server/remoteServers.xml na serveri Mediation Controller MASTER by sa vyplnil takto:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Na serveri Mediation Controller SLAVE

Odošlite medziserverový certifikát na server Mediation Controller SLAVE do adresára /tmp/.
Potom spustite nasledujúce príkazy ako root, aby ste ho presunuli do cieľového adresára s príslušnými povoleniami:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Potom upravte súbor /etc/ipdiva/server/remoteServers.xml a do značky <remoteConfig> pridajte nasledujúci obsah (starú značku <localCluster> je možné úplne odstrániť):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Nahraďte:

  • MASTERCN: zadajte CN certifikátu komponentu SSL Router servera Mediation Controller MASTER, ktorý je zvyčajne RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: zodpovedá sekundárnej IP adrese servera Mediation Controller MASTER.
  • PORT_RIP_MED_SSL_MASTER: ide o port, na ktorom počúva komponent SSL Router servera Mediation Controller MASTER; zvyčajne je to 443.
  • INTERSERVER.P12: názov certifikátu určeného na medziserverové pripojenie.
  • PASSWORD: heslo medziserverového certifikátu.
Príklad

Vzhľadom na nasledujúce informácie:

  • Názov medziserverového certifikátu: my-interserver-cert.p12
  • Heslo medziserverového certifikátu: MySecurePassword
  • RIP SSL servera Mediation Controller MASTER: 10.0.10.11
  • Port na RIP SSL servera Mediation Controller MASTER: 443
  • CN certifikátu servera Mediation Controller MASTER: 10.0.10.11

Súbor /etc/ipdiva/server/remoteServers.xml na serveri Mediation Controller SLAVE by sa vyplnil takto:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Upravte konfiguráciu komponentu SSL Router servera SLAVE spustením nasledujúceho príkazu:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Na serveroch Mediation Controller MASTER a SLAVE

Reštartujte komponent SSL Router, aby sa použili nastavenia medziserverového prepojenia:

1
/usr/local/ipdiva/server/bin/restart

Ak chcete potvrdiť, že medziserverové prepojenie funguje správne, nasledujúci príkaz by mal vrátiť výsledok:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Predchádzajúci príkaz by mal vytvoriť log s nasledujúcim obsahom: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Ak sa takýto log nezobrazí, skontrolujte konfiguráciu nastavenú v tejto kapitole.

Vo webovej konzole /mediation/system servera Mediation Controller MASTER

Povoľte medziserverové pripojenie medzi oboma servermi Mediation Controller úpravou virtuálneho hostiteľa SSL default:

Vyplňte jednotlivé polia podľa nasledujúcich pokynov a povoľte funkciu prepojenia medzi servermi začiarknutím políčka Is cross-server linking configured?:

  • Public address for plugin connections: zodpovedá adrese VIP_MED_SSL nasledovanej jej portom na počúvanie (zvyčajne 443).
  • Actual public IP addresses for web connections: zodpovedá dvojici skutočných webových IP adries (RIP_MED_WEB_MASTER a RIP_MED_WEB_SLAVE) s príslušnými portami, jeden riadok na každú dvojicu IP adresy a portu.
  • Actual public IP addresses for SSL connections: zodpovedá dvojici skutočných IP adries SSL (RIP_MED_SSL_MASTER a RIP_MED_SSL_SLAVE) s príslušnými portami, jeden riadok na každú dvojicu IP adresy a portu.

Inicializácia produktu CyberElements Bastion

Pripojenie k databáze PostgreSQL

Na svoje fungovanie vyžaduje CyberElements Bastion externú databázu PostgreSQL (DB), v ktorej ukladá svoje nastavenia a rôzne logy konzoly /system.
Ak je DB priamo dostupná zo serverov Mediation Controller, prejdite priamo na krok inicializácie DB.

Pripojenie k databáze v sieti LAN

Aby bolo možné pripojiť sa k databáze umiestnenej v sieti LAN bez otvorenia toku z DMZ do LAN, tok databázy sa presmeruje cez tunel TLS medzi komponentmi Edge Gateway a servermi Mediation Controller.
Na tento účel je potrebné nakonfigurovať jeden komponent Edge Gateway (alebo dva komponenty Edge Gateway) pomocou základnej technológie CyberElements Gate.

Deklarácia komponentov Edge Gateway v CyberElements Gate

Ak to chcete urobiť, najprv sa prihláste do konzoly /mediation/system v CyberElements Gate.

Potom otvorte ponuku „Organizations“ a kliknite na „Add“:

Zadajte názov organizácie, ktorý sa musí líšiť od názvu priradeného k CyberElements Bastion (napríklad tunnel), a zadajte aspoň jednu licenciu relácie používateľa spolu s heslom pre účet admin:

Prihláste sa do rozhrania na správu predtým vytvorenej organizácie pomocou účtu admin tak, že prejdete na /gate/admin:

Potom deklarujte oba komponenty Edge Gateway, ktoré sa použijú na vytvorenie tunela.
Vľavo ukážte myšou na Infrastructure, kliknite na Gateways a potom kliknite na tlačidlo Add:

Zadajte názov prvého komponentu Edge Gateway a potvrďte zadanie:

Informácie

Pripomíname, že názov komponentu Edge Gateway je prepojený s certifikátom, ktorý použije na overenie voči komponentu SSL Router servera Mediation Controller.
Tento názov má nasledujúci tvar <GW_NAME>@<ORGANIZATION_NAME>, kde <GW_NAME> zodpovedá názvu komponentu Edge Gateway a <ORGANIZATION_NAME> zodpovedá názvu organizácie vytvorenej v systémovej konzole CyberElements Gate.

Zopakujte krok deklarácie komponentu Edge Gateway pre druhý komponent Edge Gateway.

Pripojenia tunela a nastavenia na komponentoch Edge Gateway

Informácie

Nasledujúce kroky je možné zopakovať na oboch komponentoch Edge Gateway používaných pre tunel na prístup k databáze.

Predpoklady

Na dokončenie tejto časti budete potrebovať jednu z týchto možností:

Najprv pomocou nástroja, ako je WinSCP alebo FileZilla, preneste cez SCP certifikát potrebný na pripojenie do adresára /tmp/ na serveri Edge Gateway.

Potom sa pripojte cez SSH a prepnite sa na root.

Ak chcete pripojiť server Edge Gateway k obom serverom Mediation Controller, musíte vytvoriť dve nové inštancie Edge Gateway: jedna sa pripojí k serveru Mediation Controller MASTER, druhá k serveru Mediation Controller SLAVE.
Na ich vytvorenie spustite nasledujúce príkazy:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Skopírujte súbor certifikátu do adresárov /etc/ipdiva/gateway-tunnel-master/ssl/ a /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Nahraďte <CERT_NAME> názvom certifikátu, ktorý musí server Edge Gateway použiť na pripojenie k serveru Mediation Controller.

Nakonfigurujte inštancie Edge Gateway tak, aby sa mohli pripojiť k serverom Mediation Controller.
Konfigurácie sa líšia v závislosti od servera Mediation Controller, ku ktorému sa treba pripojiť. Vykonajte obe nastavenia:

Upravte súbor /etc/ipdiva/gateway-tunnel-master/gateway.xml a doplňte ho pomocou nasledujúcich informácií (niekoľko častí bolo vynechaných a sú označené ako […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte nasledujúce prvky:

  • @SERVER@: je potrebné nahradiť adresou RIP_MED_SSL_MASTER
  • @SERVERPORT@: je potrebné nahradiť portom na počúvanie komponentu SSL Router, ktorý je zvyčajne nastavený na 443
  • keyfile.pem: je potrebné nahradiť názvom súboru certifikátu
  • PASSWORD: je potrebné nahradiť heslom certifikátu
  • @RPC_PORT@: je potrebné nahradiť portom, na ktorom počítač momentálne nepočúva; je možné použiť port 9082
Príklad

Vzhľadom na nasledujúce informácie:

  • RIP_MED_SSL_MASTER sa rovná: 10.0.10.11
  • Port na počúvanie komponentu SSL Router: 443
  • Názov súboru certifikátu: gate-tunnel.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Súbor /etc/ipdiva/gateway-tunnel-master/gateway.xml by sa nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Upravte súbor /etc/ipdiva/gateway-tunnel-slave/gateway.xml a doplňte ho pomocou nasledujúcich informácií (niekoľko častí bolo vynechaných a sú označené ako […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte nasledujúce prvky:

  • @SERVER@: je potrebné nahradiť adresou RIP_MED_SSL_SLAVE
  • @SERVERPORT@: je potrebné nahradiť portom na počúvanie komponentu SSL Router, ktorý je zvyčajne nastavený na 443
  • keyfile.pem: je potrebné nahradiť názvom súboru certifikátu
  • PASSWORD: je potrebné nahradiť heslom certifikátu
  • @RPC_PORT@: je potrebné nahradiť portom, ktorý sa na počítači momentálne nepoužíva; je možné použiť port 9083
Príklad

Vzhľadom na nasledujúce informácie:

  • RIP_MED_SSL_SLAVE sa rovná: 10.0.10.13
  • Port na počúvanie komponentu SSL Router: 443
  • Názov súboru certifikátu: gate-tunnel.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Súbor /etc/ipdiva/gateway-tunnel-slave/gateway.xml by sa nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Teraz, keď sú inštancie nakonfigurované na pripojenie k serverom Mediation Controller, je ešte potrebné nakonfigurovať ich tak, aby presmerovali pripojenie servera Mediation Controller na databázu.
Ak to chcete urobiť, upravte súbor /etc/ipdiva/gateway-tunnel-master/services.xml takto: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Nahraďte DB_SERVER názvom DNS alebo IP adresou použitou na pripojenie k databáze a DB_PORT portom na počúvanie inštancie databázy.
Zopakujte tieto nastavenia pre inštanciu, ktorá sa pripája k serveru Mediation Controller SLAVE, skopírovaním súboru:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Nakoniec spustite inštancie Edge Gateway, aby nadviazali pripojenie k serverom Mediation Controller:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Konfigurácia tunela serverov Mediation Controller

Aby mohli servery Mediation Controller tunel používať, je ešte potrebné deklarovať jeho existenciu.
Ak to chcete urobiť, prihláste sa ako root na servery Mediation Controller a upravte súbor /etc/ipdiva/server/services.xml, aby ste pridali nasledujúcu časť (niekoľko častí bolo vynechaných a sú označené ako […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Nahraďte nasledujúce prvky:

  • GW1_NAME názvom prvého komponentu Edge Gateway
  • GW2_NAME názvom druhého komponentu Edge Gateway
  • ORGANIZATION_NAME názvom predtým vytvorenej organizácie CyberElements Gate
Príklad

Vzhľadom na nasledujúce informácie:

  • Názov komponentu Edge Gateway 1: gate-tunnel-1
  • Názov komponentu Edge Gateway 2: gate-tunnel-2
  • Názov organizácie CyberElements Gate: tunnel

Súbor /etc/ipdiva/server/services.xml by sa vyplnil takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Ak chcete použiť novú konfiguráciu, reštartujte komponent SSL Router nasledujúcim príkazom:

1
/usr/local/ipdiva/server/bin/restart

Inicializácia databázy

Pozor!

Databázu default musíte vytvoriť skôr, ako ju CyberElements Bastion inicializuje (nevytvára sa automaticky).

Ak chcete inicializovať databázu PostgreSQL so systémovou konfiguráciou, musíte najprv nakonfigurovať nastavenia pripojenia na serveroch Mediation Controller.
Ak to chcete urobiť, upravte súbor /etc/ipdiva/care/databasesettings.ini na oboch serveroch a pridajte nasledujúce položky:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Nahraďte nasledujúce prvky:

  • DB_USERNAME menom používateľa použitým na pripojenie k databáze.
  • DB_PWD heslom používateľa, ktorý sa prihlasuje.
  • DB_HOST IP adresou alebo názvom DNS použitým na pripojenie k databáze; ak sa používa pripojenie cez servery Edge Gateway, budete musieť zadať 127.0.0.1.
  • DB_PORT portom použitým na pripojenie k inštancii databázy; ak sa používa pripojenie cez servery Edge Gateway, budete musieť zadať 1432.

Inicializáciu databázy je možné spustiť nasledujúcimi príkazmi, ktoré sa vykonávajú iba na jednom serveri Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Potom zostáva už len reštartovať službu apache2 na oboch serveroch Mediation Controller, aby sa použila inicializácia systémovej databázy:

1
systemctl restart apache2

Konfigurácia časového servera NTP

Odporúča sa nastaviť časový server, aby boli systémové hodiny aktuálne. Potrebné kroky sú opísané na stránke konfigurácie NTP.

Počiatočné konfigurácie produktu CyberElements Bastion

Autorizácia prístupu k webovým rozhraniam s virtuálnou adresou IP

Predvolene nie je povolené pripájať sa k webovým rozhraniam produktu CyberElements Bastion pomocou virtuálnej IP adresy VIP_MED_WEB.
Ak chcete pridať autorizáciu, spustite ako root nasledujúce príkazy na serveroch Mediation Controller:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Nahraďte IP IP adresou zodpovedajúcou VIP_MED_WEB.

Počiatočné konfigurácie

V tejto fáze sú servery Mediation Controller nainštalované, ale ešte je potrebné vykonať niekoľko akcií:

  • Zmeňte predvolené heslá

    Zmeňte predvolené heslá systémových konzol.

    Zmeniť

  • Nainštalujte certifikáty a licencie

    Server Mediation Controller vyžaduje na prevádzku rôzne certifikáty a licenciu.
    Na oboch serveroch Mediation Controller je potrebné znova deklarovať len certifikát pre klienta CyberElements Bastion (použite RIP RIP_MED_WEB_MASTER a RIP_MED_WEB_SLAVE).

    Nainštalovať certifikáty a licenciu

  • Nakonfigurujte webový certifikát

    Nakonfigurujte webový certifikát používaný na pripojenie k webovým rozhraniam

    Nakonfigurovať

  • Deklarujte názov DNS

    Pridajte názov DNS autorizovaný na pripojenie k webovým rozhraniam.

    Pridať