Preskočiť na obsah

Inštalácia servera Edge Gateway

Poznámka

Pripomíname, že prepnutie na root na počítačoch s Debianom je potrebné vykonať nasledujúcim príkazom:

1
su -

Stiahnutie zrkadla a potrebných nástrojov

Zrkadlo CyberElements Cleanroom 4.6 a podpisový kľúč úložiska Systancia si môžete stiahnuť z tohto odkazu (vyžaduje vytvorenie zákazníckeho účtu): Systancia Marketplace

Okrem zrkadla a kľúča budú na proces upgradu potrebné nástroje tretích strán:

  • Klient SSH (v systéme Windows môžete použiť PuTTY)
  • Klient SCP (v systéme Windows možno použiť nástroje WinSCP alebo FileZilla)

Pomocou klienta SSH sa vzdialene pripojte k serveru.

Pomocou klienta SCP preneste súbory do vzdialeného počítača.

Príprava na inštaláciu

Konfigurácia siete

Dôrazne sa odporúča definovať pre server Edge Gateway statickú sieťovú adresu. Ak to chcete urobiť, najprv musíte zistiť názov sieťového rozhrania vášho počítača a jeho adresu MAC. Spustite nasledujúci príkaz ako root:

1
ip -br link | grep -ve "^lo"

Tento príkaz zobrazí názov sieťového rozhrania, jeho stav, jeho adresu MAC a nastavenia rozhrania.

Príklad

Po vykonaní príkazu sa zobrazí nasledujúci výstup:

1
ens192           UP             00:50:56:a1:56:9f <BROADCAST,MULTICAST,UP,LOWER_UP>

Názov sieťového rozhrania je ens192 a jeho adresa MAC je 00:50:56:a1:56:9f.

Po zistení názvu sieťového rozhrania a adresy MAC je teraz možné upraviť sieťovú konfiguráciu počítača.
Upravte súbor /etc/network/interfaces podľa nasledujúcej šablóny:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports INTERFACE_NAME
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw MAC_ADDRESS
    address IP_GW
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

Kde:

  • INTERFACE_NAME je potrebné nahradiť názvom predtým zisteného sieťového rozhrania.
  • MAC_ADDRESS je potrebné nahradiť predtým zistenou adresou MAC.
  • IP_GW je potrebné nahradiť IP adresou servera.
  • NETMASK je potrebné nahradiť sieťovou maskou priradenou k IP adrese.
  • NETWORK_GATEWAY je potrebné nahradiť predvolenou sieťovou bránou.
  • IP_DNS je potrebné nahradiť IP adresou servera DNS. Ak je potrebné nakonfigurovať viacero serverov (najviac 3), oddeľte ich medzerou.
  • DNS_SUFFIX je potrebné nahradiť príponou DNS, ktorá sa má použiť. Ak nie je potrebné zadať žiadnu príponu, riadok odstráňte.
Príklad 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto br0
iface br0 inet static
    bridge_ports ens192
    bridge_stp off
    bridge_fd 0
    bridge_maxwait 2
    bridge_hw 00:50:56:a1:56:9f
    address 172.16.10.10
    netmask 255.255.255.0
    gateway 172.16.10.254
    dns-nameservers 172.16.11.2 172.16.11.3
    dns-search domain.local

Pred použitím konfigurácie zostávajú ešte tri kroky.

Prvým je inštalácia balíkov resolvconf a bridge-utils, aby bolo možné použiť konfiguráciu DNS zadanú v predchádzajúcom súbore a používať rozhranie br0:

1
apt install -y resolvconf bridge-utils

Druhým je kontrola konfigurácie súboru /etc/hosts vzhľadom na primárnu IP adresu počítača (IP_GW).
Ak to chcete urobiť, upravte súbor /etc/hosts a skontrolujte, či má druhý riadok nasledujúci formát:

2
IP_GW   FQDN    MACHINE_NAME
Príklad

Ak má počítač názov EDGE-GATEWAY, nepatrí do domény a jeho IP adresa IP_GW je 172.16.10.10, súbor by sa vyplnil takto:

2
172.16.10.10  EDGE-GATEWAY

Ak počítač patrí do domény DOMAIN.LOCAL, súbor by sa vyplnil takto:

2
172.16.10.10  EDGE-GATEWAY.DOMAIN.LOCAL   EDGE-GATEWAY

Pozor!

Nesprávna konfigurácia súboru môže spôsobiť chybu pri inštalácii balíka collectd.

Zostáva už len reštartovať server: 

1
reboot

Konfigurácia správcu balíkov APT

Pomocou klienta SCP nahrajte súbory stiahnuté zo Systancia Marketplace do adresára /tmp/ na serveri:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Prihláste sa na server ako root a potom spustite nasledujúce príkazy na rozbalenie úložiska Systancia, konfiguráciu jeho používania v APT a jeho overenie.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Dôrazne odporúčame zakázať inštaláciu nepotrebných balíkov pri spúšťaní príkazov apt. Ak to chcete urobiť, spustite nasledujúci príkaz:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Inštalácia servera Edge Gateway produktu CyberElements Bastion

Inštalácia základných komponentov

Spustite inštaláciu komponentov pomocou nasledujúceho príkazu ako root:

1
apt install -y ipdiva-base

Po stiahnutí všetkých závislostí sa otvorí okno s výzvou na výber typu servera. Vyberte gateway:

Čo robiť v prípade chyby?

Ak sú v zadaných informáciách chyby, pokračujte v inštalácii balíka ipdiva-base a potom server znova nakonfigurujte pomocou nasledujúceho príkazu:

1
dpkg-reconfigure ipdiva-base

Inštalácia komponentov Edge Gateway

Potom spustite inštaláciu komponentov špecifických pre Edge Gateway pomocou nasledujúceho príkazu:

1
apt install -y ipdiva-safe-gateway ipdiva-gateway-setup

Komponenty servera Edge Gateway sú teraz nainštalované. Zostáva už len reštartovať počítač, aby sa novo nainštalované komponenty mohli inicializovať:

1
reboot

Inštalácia komponentov HTML5 Gateway

Pomocou nasledujúceho príkazu spustite inštaláciu komponentov HTML5 Gateway na serveri Edge Gateway:

1
apt install -y ipdiva-html5gateway ipdiva-html5-webapp ipdiva-guacamole-server1

Pomocou nasledujúcich príkazových riadkov povoľte a nakonfigurujte funkcie prenosu súborov a virtuálnej tlačiarne:

1
2
3
apt install -y ghostscript
echo -e "printer=cyberelements HTML5 Printer\nprinterDriver=MS Publisher Imagesetter" > /etc/guacamole/printer-config
mkdir /home/systanciahtml5share

Nastavenia špecifické pre prevádzku CyberElements Bastion

Po použití sieťových nastavení je ešte potrebné pripojiť inštancie Edge Gateway a HTML5 Gateway k serverom Mediation Controller.
Na tento účel sa prvé inštancie Edge Gateway a HTML5 Gateway pripoja k serveru Mediation Controller MASTER, zatiaľ čo druhé inštancie sa pripoja k serveru Mediation Controller SLAVE.

Pozor!

Ak sa inštalácia Edge Gateway nenachádza v sieti LAN, a preto adresy RIP_MED_SSL_MASTER a RIP_MED_SSL_SLAVE nie sú dostupné (ani s NAT).
V takom prípade budete musieť nakonfigurovať iba prvú inštanciu Edge Gateway a HTML5 Gateway, ktorá bude nastavená na pripojenie k VIP_MED_SSL.

V tomto kontexte je možné použiť virtuálne zariadenie Standalone. Virtuálne zariadenie Cluster je vopred nakonfigurované s dvoma inštanciami, zatiaľ čo jeho náprotivok Standalone je vopred nakonfigurovaný s jedinou inštanciou.

Skôr ako budete pokračovať podľa nasledujúcich pokynov, uistite sa, že máte tieto položky:

  • Certifikát pre inštancie Edge Gateway a HTML5 Gateway, ktoré sa majú pripojiť
  • Certifikát pre službu nahrávania
  • Klient SSH (v systéme Windows môžete použiť PuTTY)
  • Klient SCP (v systéme Windows možno použiť nástroje WinSCP alebo FileZilla)

Preneste certifikáty do adresára /tmp/ počítača.

Vytvorenie inštancií na pripojenie k serveru Mediation Controller SLAVE

Spustite nasledujúce príkazy ako root, aby ste deklarovali novú inštanciu Edge Gateway a HTML5 Gateway, ktorá sa použije na pripojenie k serveru Mediation Controller SLAVE:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -slave
/usr/local/ipdiva/html5gateway/bin/gatewayCloner -slave

Pripojenie komponentov Edge Gateway

Skopírujte súbor certifikátu servera Edge Gateway do adresárov /etc/ipdiva/gateway/ssl/ a /etc/ipdiva/gateway-slave/ssl/. Môžete to urobiť spustením príkazov podobných nasledujúcim ako root (nahraďte <CERT_NAME> názvom certifikátu pre server Edge Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/gateway-slave/ssl/

Nakonfigurujte inštancie Edge Gateway tak, aby sa mohli pripojiť k serverom Mediation Controller.
Konfigurácie sa líšia v závislosti od servera Mediation Controller, ku ktorému sa treba pripojiť. Vykonajte obe nastavenia:

Upravte súbor /etc/ipdiva/gateway/gateway.xml a vyplňte ho pomocou nasledujúcich informácií (niekoľko častí bolo vynechaných a sú označené ako […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Nahraďte nasledujúce prvky:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: je potrebné nahradiť adresou RIP_MED_SSL_MASTER, znakom : a portom na počúvanie komponentu SSL Router, ktorý je zvyčajne nastavený na 443
  • keyfile.pem: je potrebné nahradiť názvom súboru certifikátu
  • PASSWORD: je potrebné nahradiť heslom certifikátu
Príklad

Vzhľadom na nasledujúce informácie:

  • RIP_MED_SSL_MASTER sa rovná: 10.0.10.11
  • Port na počúvanie komponentu SSL Router: 443
  • Názov súboru certifikátu: edge-gateway.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Súbor /etc/ipdiva/gateway/gateway.xml by sa nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9080</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Nakoniec spustite inštanciu Edge Gateway, aby sa načítali nové nastavenia a aby sa pripojila k serveru Mediation Controller MASTER: 

1
/usr/local/ipdiva/gateway/bin/start

Upravte súbor /etc/ipdiva/gateway-slave/gateway.xml a doplňte ho pomocou nasledujúcich informácií (niekoľko častí bolo vynechaných a sú označené ako […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte nasledujúce prvky:

  • @SERVER@: je potrebné nahradiť adresou RIP_MED_SSL_SLAVE
  • @SERVERPORT@: je potrebné nahradiť portom na počúvanie komponentu SSL Router, ktorý je zvyčajne nastavený na 443
  • keyfile.pem: je potrebné nahradiť názvom súboru certifikátu
  • PASSWORD: je potrebné nahradiť heslom certifikátu
  • @RPC_PORT@: je potrebné nahradiť dostupným portom TCP na počítači; bežne sa používa port 9081
Príklad

Vzhľadom na nasledujúce informácie:

  • RIP_MED_SSL_SLAVE sa rovná: 10.0.10.13
  • Port na počúvanie komponentu SSL Router: 443
  • Názov súboru certifikátu: edge-gateway.p12
  • Heslo certifikátu: Str0ngP@ssw0rd
  • Dostupný port RPC: 9081

Súbor /etc/ipdiva/gateway-slave/gateway.xml by sa nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9081</rpc-listen>
[…]
</gateway>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-slave/ssl/edge-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9081</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Nakoniec spustite inštanciu Edge Gateway, aby sa načítali nové nastavenia a aby sa pripojila k serveru Mediation Controller SLAVE: 

1
/usr/local/ipdiva/gateway-slave/bin/start

Konfigurácia služby nahrávania

Presuňte certifikát pre službu nahrávania do adresára /etc/ipdiva/careserver/ príkazom podobným tomuto (nahraďte <CERT_NAME> názvom príslušného certifikátu):

1
mv /tmp/<CERT_NAME> /etc/ipdiva/careserver/

Potom nakonfigurujte službu úpravou nasledujúceho súboru: /etc/ipdiva/careserver/careserver.xml. Konfigurácia súboru by mala vyzerať približne takto (v nasledujúcej časti je vynechaných mnoho riadkov súboru, ktoré sú označené ako […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/recording_service.p12</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>

Vykonajte nasledujúce zmeny:

  • Zmeňte IP adresu na počúvanie služby nahrávania na 0.0.0.0 (počúva na všetkých dostupných IP adresách)
  • Nahraďte recording_service.p12 názvom certifikátu pre službu nahrávania
  • Nahraďte PASSWORD heslom certifikátu služby nahrávania
  • Pridajte riadok <element>http://127.0.0.1:9081</element>
Príklad

Vzhľadom na nasledujúce informácie:

  • Názov súboru certifikátu: fqdn.edge-gateway.local.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Súbor /etc/ipdiva/careserver/careserver.xml by sa nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>
[…]
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
[…]
</careserver>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
<?xml version="1.0" ?><careserver>

    <listen>0.0.0.0:8443</listen>


    <archivesdirectory>/var/lib/ipdiva/carerecord/archives</archivesdirectory>
    <recordingdirectory>/var/lib/ipdiva/carerecord/recording</recordingdirectory>
    <ssl>
        <cert>/etc/ipdiva/careserver/fqdn.edge-gateway.local.p12</cert>
        <password>Str0ngP@ssw0rd</password>
        <ca-dir>/etc/ipdiva/gateway/ssl/ca</ca-dir>
        <min-version>tls1.2</min-version>
        <max-version/>
        <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
        <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
        <verify-cert>true</verify-cert>
        <no-fail-if-no-peer-cert>true</no-fail-if-no-peer-cert>
    </ssl>
    <gopsize>10</gopsize>
        <webgopsize>5</webgopsize>
    <webfakeframespersec>2</webfakeframespersec>
        <webhlslistsize>20</webhlslistsize>
    <webcaptureinterval>10000</webcaptureinterval>
    <webcapturetimeout>30000</webcapturetimeout>
    <captureinterval>250</captureinterval>
    <hlslistsize>20</hlslistsize>
    <xmlrpc-connect>
        <element>http://127.0.0.1:9080</element>
        <element>http://127.0.0.1:9081</element>
    </xmlrpc-connect>
</careserver>

Nové nastavenia potvrďte reštartovaním služby nahrávania: 

1
systemctl restart ipdivacarerecord

Pripojenie inštancií HTML5 Gateway

Ak je potrebné nakonfigurovať inštanciu HTML5 Gateway, spustite na serveri Edge Gateway ako root nasledujúci príkaz, ktorým povolíte automatické spúšťanie inštancie:

1
chmod +x /etc/ipdiva/services/50html5gateway

Skopírujte súbor certifikátu komponentu HTML5 Gateway do adresárov /etc/ipdiva/html5gateway/ssl/ a /etc/ipdiva/html5gateway-slave/ssl/. Môžete to urobiť spustením príkazov podobných nasledujúcim ako root (nahraďte <CERT_NAME> názvom certifikátu pre komponent HTML5 Gateway):

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/html5gateway/ssl/
mv /tmp/<CERT_NAME> /etc/ipdiva/html5gateway-slave/ssl/

Nakonfigurujte inštancie HTML5 Gateway tak, aby sa mohli pripojiť k serverom Mediation Controller.
Konfigurácie sa líšia v závislosti od servera Mediation Controller, ku ktorému sa treba pripojiť. Vykonajte obe nastavenia:

Upravte súbor /etc/ipdiva/html5gateway/html5gateway.xml a doplňte ho pomocou nasledujúcich informácií (niekoľko častí bolo vynechaných a sú označené ako […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>_FILL_ME_WITH_SERVER_ADDRESS_::ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
</gateway>

Nahraďte nasledujúce prvky:

  • _FILL_ME_WITH_SERVER_ADDRESS_:: je potrebné nahradiť adresou RIP_MED_SSL_MASTER, znakom : a portom na počúvanie komponentu SSL Router, ktorý je zvyčajne nastavený na 443
  • keyfile.pem: je potrebné nahradiť názvom súboru certifikátu
  • PASSWORD: je potrebné nahradiť heslom certifikátu
Príklad

Vzhľadom na nasledujúce informácie:

  • RIP_MED_SSL_MASTER sa rovná: 10.0.10.11
  • Port na počúvanie komponentu SSL Router: 443
  • Názov súboru certifikátu: html5-gateway.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Súbor /etc/ipdiva/html5gateway/html5gateway.xml by sa nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
</gateway>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9088</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Nakoniec reštartujte inštanciu HTML5 Gateway, aby sa načítali nové nastavenia a aby sa pripojila k serveru Mediation Controller MASTER: 

1
/usr/local/ipdiva/html5gateway/bin/start

Upravte súbor /etc/ipdiva/html5gateway-slave/html5gateway.xml a doplňte ho pomocou nasledujúcich informácií (niekoľko častí bolo vynechaných a sú označené ako […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte nasledujúce prvky:

  • @SERVER@: je potrebné nahradiť adresou RIP_MED_SSL_SLAVE
  • @SERVERPORT@: je potrebné nahradiť portom na počúvanie komponentu SSL Router, ktorý je zvyčajne nastavený na 443
  • keyfile.pem: je potrebné nahradiť názvom súboru certifikátu
  • PASSWORD: je potrebné nahradiť heslom certifikátu
  • @RPC_PORT@: je potrebné nahradiť dostupným portom TCP na počítači; bežne sa používa port 9089
Príklad

Vzhľadom na nasledujúce informácie:

  • RIP_MED_SSL_SLAVE sa rovná: 10.0.10.13
  • Port na počúvanie komponentu SSL Router: 443
  • Názov súboru certifikátu: html5-gateway.p12
  • Heslo certifikátu: Str0ngP@ssw0rd
  • Dostupný port RPC: 9089

Súbor /etc/ipdiva/html5gateway-slave/html5gateway.xml by sa nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9089</rpc-listen>
[…]
</gateway>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>

        <ssl>
                <cert>/etc/ipdiva/html5gateway-slave/ssl/html5-gateway.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/html5gateway-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>

        <rpc-listen>127.0.0.1:9089</rpc-listen>
        <network-id></network-id>
        <compression>zlib</compression>

 </gateway>

Nakoniec reštartujte inštanciu HTML5 Gateway, aby sa načítali nové nastavenia a aby sa pripojila k serveru Mediation Controller SLAVE: 

1
/usr/local/ipdiva/html5gateway-slave/bin/start

Konfigurácie pred pripojením komponentov HTML5 Gateway

Aby aplikácie HTML5 fungovali, je potrebné nakonfigurovať ďalšie nastavenia na serveroch Mediation Controller. Prihláste sa ako root na servery Mediation Controller MASTER a SLAVE.

Vytvorte alebo upravte súbor /etc/ipdiva/httpd/commonParameters.extra.conf a pridajte doň pre komponent HTML5 Gateway časť ekvivalentnú nasledujúcej:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
<Location /URL_HTML5/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /URL_HTML5/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway GW_NAME|
        RequestHeader set X-IPdiva-Orgname ORGANIZATION_NAME
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Kde:

  • URL_HTML5 je potrebné nahradiť obsahom poľa URL pre komponent HTML5 Gateway nakonfigurovaný v konzole na správu počas deklarácie komponentu HTML5 Gateway (v prípade clustera ide zvyčajne o HTML5-1 a HTML5-2).
  • GW_NAME je potrebné nahradiť názvom komponentu Edge Gateway, ktorý sa nachádza na rovnakom serveri ako komponent HTML5 Gateway. Znak | na konci riadka musí zostať zachovaný.
  • ORGANIZATION_NAME je potrebné nahradiť názvom organizácie, ku ktorej sa predchádzajúci komponent Edge Gateway pripája.
Príklad

Pre platformu s nasledujúcimi nastaveniami:

  • Názov organizácie: my-organization-name
  • Deklarácia prvého komponentu HTML5 Gateway v konzole na správu:
    • Name: html5-gateway-1
    • URL: HTML5-1
    • Protocol: WebSocket
  • Deklarácia druhého komponentu HTML5 Gateway v konzole na správu:
    • Name: html5-gateway-2
    • URL: HTML5-2
    • Protocol: WebSocket
  • Server Edge Gateway prvého komponentu HTML5 Gateway má:
    • Službu Edge Gateway s názvom edge-gateway-1
    • Službu HTML5 Gateway s názvom html5-gateway-1
  • Server Edge Gateway druhého komponentu HTML5 Gateway má:
    • Službu Edge Gateway s názvom edge-gateway-2
    • Službu HTML5 Gateway s názvom html5-gateway-2

Vytvorený konfiguračný súbor /etc/ipdiva/httpd/commonParameters.extra.conf sa nastaví takto: 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
<Location /HTML5-1/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-1/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-1|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

<Location /HTML5-2/>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass http://127.0.0.1:9016/systanciaHTML5-6.0/ flushpackets=on
</Location>

<Location /HTML5-2/websocket-tunnel>
        Order allow,deny
        Allow from all
        RequestHeader set X-Forwarded-Proto "https"
        RequestHeader set X-IPdiva-Gateway edge-gateway-2|
        RequestHeader set X-IPdiva-Orgname my-organization-name
        RequestHeader set X-IPdiva-Service 127.0.0.1:8080

        ProxyPass ws://127.0.0.1:9016/systanciaHTML5-6.0/websocket-tunnel
</Location>

Pred použitím nových nastavení musíte skontrolovať, či nová konfigurácia nespôsobuje žiadne blokujúce chyby webového servera Apache2.
Ak to chcete urobiť, spustite nasledujúci príkaz:

1
apache2ctl configtest

Ak je odpoveď Syntax OK, zmeny je možné použiť príkazom nižšie. V opačnom prípade skontrolujte svoju konfiguráciu v súbore /etc/ipdiva/httpd/commonParameters.extra.conf.

1
systemctl reload apache2

Konfigurácia časového servera NTP

Odporúča sa nastaviť časový server, aby boli systémové hodiny aktuálne. Potrebné kroky sú opísané na stránke konfigurácie NTP.