Preskočiť na obsah

Inštalácia serverov Mediation Controller

Poznámka

Pripomíname, že prepnutie na root na počítačoch s Debianom je potrebné vykonať nasledujúcim príkazom:

1
su -

Pokyny uvedené na tejto stránke zopakujte na oboch serveroch Mediation Controller, počnúc serverom MASTER.
Ak sa medzi servermi MASTER a SLAVE objavia rozdiely, budú zvýraznené. Ak o tom nie je zmienka, pokyny platia pre oba servery, MASTER aj SLAVE.

Stiahnutie zrkadla a potrebných nástrojov

Zrkadlo CyberElements Cleanroom 4.6 a podpisový kľúč úložiska Systancia si môžete stiahnuť z tohto odkazu (vyžaduje vytvorenie zákazníckeho účtu): Systancia Marketplace

Okrem zrkadla a kľúča budú na proces upgradu potrebné nástroje tretích strán:

  • Klient SSH (v systéme Windows môžete použiť PuTTY)
  • Klient SCP (v systéme Windows možno použiť nástroje WinSCP alebo FileZilla)

Pomocou klienta SSH sa vzdialene pripojte k serveru.

Pomocou klienta SCP preneste súbory do vzdialeného počítača.

Príprava na inštaláciu

Konfigurácia siete

Nainštalujte balík resolvconf, aby bolo možné použiť konfiguráciu DNS zadanú v konfiguračnom súbore, ktorý sa onedlho upraví:

1
apt install -y resolvconf

Pre server Mediation Controller je nevyhnutné nakonfigurovať statickú sieťovú adresu. Ak to chcete urobiť, najprv musíte zistiť názov sieťového rozhrania vášho počítača. Spustite nasledujúci príkaz ako root:

1
ip -br a | grep -ve "^lo"

Tento príkaz zobrazí názov sieťového rozhrania, jeho stav a IP adresy priradené k rozhraniu.

Príklad

Po vykonaní príkazu sa zobrazí nasledujúci výstup:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Názov sieťového rozhrania je ens192.

Po zistení názvu sieťového rozhrania je teraz možné upraviť sieťovú konfiguráciu počítača.
Upravte súbor /etc/network/interfaces podľa nasledujúcej šablóny:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Kde:

  • INTERFACE_NAME je potrebné nahradiť názvom predtým zisteného sieťového rozhrania.
  • RIP_MED_WEB_MASTER je potrebné nahradiť hlavnou skutočnou IP adresou servera, cez ktorú budú dostupné webové konzoly.
  • NETMASK je potrebné nahradiť sieťovou maskou priradenou k IP adrese.
  • NETWORK_GATEWAY je potrebné nahradiť predvolenou sieťovou bránou.
  • IP_DNS je potrebné nahradiť IP adresou servera DNS. Ak je potrebné nakonfigurovať viacero serverov (najviac 3), oddeľte ich medzerou.
  • DNS_SUFFIX je potrebné nahradiť príponou DNS, ktorá sa má použiť. Ak nie je potrebné zadať žiadnu príponu, riadok odstráňte.
  • RIP_MED_SSL_MASTER je potrebné nahradiť sekundárnou skutočnou IP adresou servera. Cez túto IP adresu bude dostupný komponent SSL Router.
Príklad 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Nakoniec zostáva už len reštartovať službu networking, aby sa načítala nová sieťová konfigurácia: 

1
systemctl restart networking

Pre server Mediation Controller je nevyhnutné nakonfigurovať statickú sieťovú adresu. Ak to chcete urobiť, najprv musíte zistiť názov sieťového rozhrania vášho počítača. Spustite nasledujúci príkaz ako root:

1
ip -br a | grep -ve "^lo"

Tento príkaz zobrazí názov sieťového rozhrania, jeho stav a IP adresy priradené k rozhraniu.

Príklad

Po vykonaní príkazu sa zobrazí nasledujúci výstup:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Názov sieťového rozhrania je ens192.

Po zistení názvu sieťového rozhrania je teraz možné upraviť sieťovú konfiguráciu počítača.
Upravte súbor /etc/network/interfaces podľa nasledujúcej šablóny:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Kde:

  • INTERFACE_NAME je potrebné nahradiť názvom predtým zisteného sieťového rozhrania.
  • RIP_MED_WEB_SLAVE je potrebné nahradiť hlavnou skutočnou IP adresou servera, cez ktorú budú dostupné webové konzoly.
  • NETMASK je potrebné nahradiť sieťovou maskou priradenou k IP adrese.
  • NETWORK_GATEWAY je potrebné nahradiť predvolenou sieťovou bránou.
  • IP_DNS je potrebné nahradiť IP adresou servera DNS. Ak je potrebné nakonfigurovať viacero serverov (najviac 3), oddeľte ich medzerou.
  • DNS_SUFFIX je potrebné nahradiť príponou DNS, ktorá sa má použiť. Ak nie je potrebné zadať žiadnu príponu, riadok odstráňte.
  • RIP_MED_SSL_SLAVE je potrebné nahradiť sekundárnou skutočnou IP adresou servera. Cez túto IP adresu bude dostupný komponent SSL Router.
Príklad 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Nakoniec zostáva už len reštartovať službu networking, aby sa načítala nová sieťová konfigurácia: 

1
systemctl restart networking

Zostáva posledný krok: upraviť interný preklad názvov počítača tak, aby sa jeho názov prekladal na jeho skutočnú primárnu adresu IP (zodpovedajúcu RIP_MED_WEB_MASTER alebo RIP_MED_WEB_SLAVE).
Na tento účel upravte súbor /etc/hosts a nahraďte 127.0.1.1 adresou RIP_MED_WEB_MASTER alebo RIP_MED_WEB_SLAVE v závislosti od servera Mediation Controller.

Príklad

Pre server Mediation Controller, ktorého skutočná webová adresa IP je 10.0.10.10 a ktorého názov je mediation-controller.domain.local, bude mať súbor /etc/hosts nasledujúcu hodnotu:

1
2
127.0.0.1       localhost
10.0.10.10      mediation-controller.domain.local   mediation-controller

Pozor!

Nesprávna konfigurácia súboru môže spôsobiť chybu pri inštalácii balíka collectd.

Konfigurácia správcu balíkov APT

Pomocou klienta SCP nahrajte súbory stiahnuté zo Systancia Marketplace do adresára /tmp/ na serveri:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Prihláste sa na server ako root a potom spustite nasledujúce príkazy na rozbalenie úložiska Systancia, konfiguráciu jeho používania v APT a jeho overenie.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Dôrazne odporúčame zakázať inštaláciu nepotrebných balíkov pri spúšťaní príkazov apt. Ak to chcete urobiť, spustite nasledujúci príkaz:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Kontrola prítomnosti miestneho nastavenia en_US.utf8

Inštalácia servera Mediation Controller vyžaduje vygenerovanie miestnych nastavení en_US.utf8.
Ak chcete skontrolovať, či už boli na serveri vygenerované, spustite ako root nasledujúci príkaz:

1
locale -a  | grep en_US.utf8

Ak výstup príkazu zobrazí en_US.utf8, prejdite na ďalší krok, konfiguráciu GRUB.
V opačnom prípade spustite nasledujúce príkazy, ktorými toto miestne nastavenie pridáte do počítača:

1
2
sed -i "s/# en_US.UTF-8 UTF-8/en_US.UTF-8 UTF-8/" /etc/locale.gen
locale-gen

Konfigurácia zavádzacieho programu GRUB

Po vykonaní týchto príkazov musíte po použití nastavenia v zavádzacom programe GRUB reštartovať počítač:

1
2
3
sed '9s/quiet/quiet vsyscall=emulate/' -i /etc/default/grub
update-grub
reboot

Inštalácia servera Mediation Controller produktu CyberElements Bastion

Inštalácia základných komponentov

Spustite inštaláciu komponentov pomocou nasledujúceho príkazu ako root:

1
apt install -y ipdiva-base

Po stiahnutí všetkých závislostí sa otvorí okno s výzvou na výber typu servera. Vyberte mediation:

Potom vyberte režim inštalácie lbMaster:

Potom vyberte režim inštalácie lbSlave:

Potom budete musieť zadať port, na ktorom bude načúvať SSL Router. Tento port načúvania je zvyčajne nastavený na 443, ale ak server Mediation Controller používa len jednu adresu IP, možno použiť aj port 8443:

Potom nastavte režim Cluster na loadbalancing, aby sa zaťaženie používateľmi rozdelilo medzi oba servery Mediation Controller:

Zadajte virtuálnu webovú adresu IP clustera, VIP_MED_WEB:

Zadajte virtuálnu adresu IP SSL clustera, VIP_MED_SSL:

Zadajte virtuálnu adresu IP konfiguračnej databázy clustera, VIP_MED_ZEO:

Zadajte skutočnú webovú adresu IP servera Mediation Controller MASTER, RIP_MED_WEB_MASTER:

Zadajte skutočnú adresu IP SSL servera Mediation Controller MASTER, RIP_MED_SSL_MASTER:

Zadajte skutočnú webovú adresu IP servera Mediation Controller SLAVE, RIP_MED_WEB_SLAVE:

Nakoniec zadajte skutočnú adresu IP SSL servera Mediation Controller SLAVE, RIP_MED_SSL_SLAVE:

Čo robiť v prípade chyby?

Ak sú v zadaných informáciách chyby, pokračujte v inštalácii balíka ipdiva-base a potom server znova nakonfigurujte pomocou nasledujúceho príkazu:

1
dpkg-reconfigure ipdiva-base

Inštalácia komponentov Cluster

Po inštalácii základných komponentov je potrebné nainštalovať na servery Mediation Controller komponenty Cluster:

1
apt install -y ipdiva-mediation-cluster

Po inštalácii komponentov je potrebný reštart:

1
reboot

Konfigurácia clustera

Zmena hesla konzoly /mediation/system produktu CyberElements Gate

V tejto fáze inštalácie je k dispozícii nové rozhranie na správu: Zmeniť heslo

Použitie licencií a certifikátov

Stále v konzole /mediation/system budete musieť zadať certifikáty a licencie pre server Mediation Controller.

Pozor!

Licencia a certifikát komponentu SSL Router sú špecifické pre server Mediation Controller MASTER alebo SLAVE.
Konfigurácia nesprávnej licencie alebo nesprávneho certifikátu neskôr spôsobí poruchy.

Použite licenciu a certifikát pre komponent SSL Router:

  1. Kliknite na kartu Settings.
  2. V ponuke vyberte SSL Connections.
  3. Vyhľadajte certifikát pre komponent SSL Router.
  4. Zadajte heslo certifikátu komponentu SSL Router.
  5. Kliknite na Apply, aby sa certifikát použil pre komponent SSL Router.
  6. Vyberte súbor licencie servera.
  7. Kliknite na Modify, aby sa použila licencia servera.

Potom zadajte informácie o certifikáte pre klienta CyberElements Bastion:

  1. Vyberte kartu Plugin.
  2. Vyhľadajte certifikát klienta CyberElements Bastion.
  3. Zadajte heslo certifikátu.
  4. Kliknite na Apply, aby sa certifikát použil.

Ešte musíte zadať informácie o certifikáte komponentu Watchdog:

  1. Vyberte kartu Watchdog
  2. Vyhľadajte certifikát komponentu Watchdog.
  3. Zadajte heslo certifikátu.
  4. Kliknite na Apply, aby sa certifikát použil.

Aby sa tieto zmeny prejavili, musíte reštartovať komponenty SSL Router a Watchdog:

Pairing serverov Mediation Controller

Pozor!

V tomto bode už musia byť oba servery Mediation Controller nakonfigurované až po použitie licencií a certifikátov.
Ak server Mediation Controller SLAVE ešte nie je nakonfigurovaný, nakonfigurujte ho a začnite od začiatku tejto dokumentácie.

Krok pairingu serverov Mediation Controller vytvorí dôveryhodné prepojenie medzi oboma servermi a inicializuje činnosť clustera.

Na serveri Mediation Controller SLAVE

Spustite nasledujúci príkaz ako root, aby ste iniciovali požiadavku na pairing so serverom Mediation Controller MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Nahraďte RIP_MED_WEB_MASTER príslušnou IP adresou.

Príklad

Ak sa RIP_MED_WEB_MASTER rovná 10.0.10.10, príkaz, ktorý treba zadať, je nasledujúci:

1
hostManagerCtl bootstrap 10.0.10.10

Na serveri Mediation Controller MASTER

Spustite nasledujúci príkaz ako root, aby ste skontrolovali čakajúce požiadavky na pairing a získali ID požiadavky: 

1
hostManagerCtl getPendingRequests

Potom spustite nasledujúci príkaz na prijatie požiadavky na pairing, pričom ID nahraďte ID získaným z predchádzajúceho príkazu:

1
hostManagerCtl acceptRequest ID
Príklad

Ak je návratová hodnota príkazu hostManagerCtl getPendingRequests nasledujúca:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Príkaz na prijatie požiadavky na pairing je teda nasledujúci:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Na overenie priradenia použite nasledujúci príkaz na serveri Mediation Controller (MASTER alebo SLAVE):

1
hostManagerCtl listPeers

Výsledok sa líši v závislosti od servera, na ktorom sa príkaz spustí:

Očakávaný výsledok na serveri Mediation Controller MASTER je nasledujúci:

1
slave -> RIP_MED_WEB_SLAVE
Príklad 
1
slave -> 10.0.10.12

Očakávaný výsledok na serveri Mediation Controller SLAVE je nasledujúci:

1
master -> RIP_MED_WEB_MASTER
Príklad 
1
master -> 10.0.10.10

Na serveri Mediation Controller SLAVE

Stav bootstrapu môžete skontrolovať zo servera SLAVE pomocou nasledujúceho príkazu:

1
hostManagerCtl getBootstrapStatus

Cluster, ktorý nemá žiadne problémy so synchronizáciou, vráti hodnotu 0.

Na serveri SLAVE je potrebná ešte posledná séria príkazov na synchronizáciu tajného kľúča zdieľaného medzi oboma servermi Mediation Controller:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Na čo slúži medziserverové pripojenie?

Ide o špeciálne pripojenie na prevádzku clustera, ktoré umožňuje serveru Mediation Controller smerovať prevádzku na iný server Mediation Controller v prípadoch, keď cieľový komponent Edge Gateway nie je pripojený k prvému serveru, ale iba k druhému.

Ak napríklad server Mediation Controller MASTER už nie je pripojený ku komponentu Edge Gateway, môže použiť medziserverové prepojenie na dosiahnutie komponentu Edge Gateway cez server Mediation Controller SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Strata pripojenia| GW(Edge Gateway)
    MASTER --> |Medziserverové prepojenie| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Na serveri Mediation Controller MASTER

Upravte súbor /etc/ipdiva/server/remoteServers.xml a uveďte v ňom CN medziserverového certifikátu:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Nahraďte SLAVECN hodnotou CN certifikátu určeného na medziserverové pripojenie.
Ak CN medziserverového certifikátu nepoznáte, môžete zadať znak * (odporúča sa v prípade pochybností):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Príklad

Vzhľadom na nasledujúce informácie:

  • CN medziserverového certifikátu: my-interserver-cert

Súbor /etc/ipdiva/server/remoteServers.xml na serveri Mediation Controller MASTER by sa vyplnil takto:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Na serveri Mediation Controller SLAVE

Odošlite medziserverový certifikát na server Mediation Controller SLAVE do adresára /tmp/.
Potom spustite nasledujúce príkazy ako root, aby ste ho presunuli do cieľového adresára s príslušnými povoleniami:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Potom upravte súbor /etc/ipdiva/server/remoteServers.xml a do značky <remoteConfig> pridajte nasledujúci obsah (starú značku <localCluster> je možné úplne odstrániť):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Nahraďte:

  • MASTERCN: zadajte CN certifikátu komponentu SSL Router servera Mediation Controller MASTER, ktorý je zvyčajne RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: zodpovedá sekundárnej IP adrese servera Mediation Controller MASTER.
  • PORT_RIP_MED_SSL_MASTER: ide o port, na ktorom počúva komponent SSL Router servera Mediation Controller MASTER; zvyčajne je to 443.
  • INTERSERVER.P12: názov certifikátu určeného na medziserverové pripojenie.
  • PASSWORD: heslo medziserverového certifikátu.
Príklad

Vzhľadom na nasledujúce informácie:

  • Názov medziserverového certifikátu: my-interserver-cert.p12
  • Heslo medziserverového certifikátu: MySecurePassword
  • RIP SSL servera Mediation Controller MASTER: 10.0.10.11
  • Port na RIP SSL servera Mediation Controller MASTER: 443
  • CN certifikátu servera Mediation Controller MASTER: 10.0.10.11

Súbor /etc/ipdiva/server/remoteServers.xml na serveri Mediation Controller SLAVE by sa vyplnil takto:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Upravte konfiguráciu komponentu SSL Router servera SLAVE spustením nasledujúceho príkazu:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Na serveroch Mediation Controller MASTER a SLAVE

Reštartujte komponent SSL Router, aby sa použili nastavenia medziserverového prepojenia:

1
/usr/local/ipdiva/server/bin/restart

Ak chcete potvrdiť, že medziserverové prepojenie funguje správne, nasledujúci príkaz by mal vrátiť výsledok:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Predchádzajúci príkaz by mal vytvoriť log s nasledujúcim obsahom: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Ak sa takýto log nezobrazí, skontrolujte konfiguráciu nastavenú v tejto kapitole.

Vo webovej konzole /mediation/system servera Mediation Controller MASTER

Povoľte medziserverové pripojenie medzi oboma servermi Mediation Controller úpravou virtuálneho hostiteľa SSL default:

Vyplňte jednotlivé polia podľa nasledujúcich pokynov a povoľte funkciu prepojenia medzi servermi začiarknutím políčka Is cross-server linking configured?:

  • Public address for plugin connections: zodpovedá adrese VIP_MED_SSL nasledovanej jej portom na počúvanie (zvyčajne 443).
  • Actual public IP addresses for web connections: zodpovedá dvojici skutočných webových IP adries (RIP_MED_WEB_MASTER a RIP_MED_WEB_SLAVE) s príslušnými portami, jeden riadok na každú dvojicu IP adresy a portu.
  • Actual public IP addresses for SSL connections: zodpovedá dvojici skutočných IP adries SSL (RIP_MED_SSL_MASTER a RIP_MED_SSL_SLAVE) s príslušnými portami, jeden riadok na každú dvojicu IP adresy a portu.

Inštalácia komponentov špecifických pre CyberElements Bastion

Spustite inštaláciu komponentov CyberElements Bastion na serveroch Mediation Controller pomocou nasledujúceho príkazu:

1
apt install -y ipdiva-safe-server

Na dokončenie inštalácie je potrebné servery reštartovať:

1
reboot

Pripojenie k databáze PostgreSQL

Na svoje fungovanie vyžaduje CyberElements Bastion externú databázu PostgreSQL (DB), v ktorej ukladá svoje nastavenia a rôzne logy konzoly /system.
Ak je DB priamo dostupná zo serverov Mediation Controller, prejdite priamo na krok inicializácie DB.

Pripojenie k databáze v sieti LAN

Aby bolo možné pripojiť sa k databáze umiestnenej v sieti LAN bez otvorenia toku z DMZ do LAN, tok databázy sa presmeruje cez tunel TLS medzi komponentmi Edge Gateway a servermi Mediation Controller.
Na tento účel je potrebné nakonfigurovať jeden komponent Edge Gateway (alebo dva komponenty Edge Gateway) pomocou základnej technológie CyberElements Gate.

Deklarácia komponentov Edge Gateway v CyberElements Gate

Ak to chcete urobiť, najprv sa prihláste do konzoly /mediation/system v CyberElements Gate.

Potom otvorte ponuku „Organizations“ a kliknite na „Add“:

Zadajte názov organizácie, ktorý sa musí líšiť od názvu priradeného k CyberElements Bastion (napríklad tunnel), a zadajte aspoň jednu licenciu relácie používateľa spolu s heslom pre účet admin:

Prihláste sa do rozhrania na správu predtým vytvorenej organizácie pomocou účtu admin tak, že prejdete na /gate/admin:

Potom deklarujte oba komponenty Edge Gateway, ktoré sa použijú na vytvorenie tunela.
Vľavo ukážte myšou na Infrastructure, kliknite na Gateways a potom kliknite na tlačidlo Add:

Zadajte názov prvého komponentu Edge Gateway a potvrďte zadanie:

Informácie

Pripomíname, že názov komponentu Edge Gateway je prepojený s certifikátom, ktorý použije na overenie voči komponentu SSL Router servera Mediation Controller.
Tento názov má nasledujúci tvar <GW_NAME>@<ORGANIZATION_NAME>, kde <GW_NAME> zodpovedá názvu komponentu Edge Gateway a <ORGANIZATION_NAME> zodpovedá názvu organizácie vytvorenej v systémovej konzole CyberElements Gate.

Zopakujte krok deklarácie komponentu Edge Gateway pre druhý komponent Edge Gateway.

Pripojenia tunela a nastavenia na komponentoch Edge Gateway

Informácie

Nasledujúce kroky je možné zopakovať na oboch komponentoch Edge Gateway používaných pre tunel na prístup k databáze.

Predpoklady

Na dokončenie tejto časti budete potrebovať jednu z týchto možností:

Najprv pomocou nástroja, ako je WinSCP alebo FileZilla, preneste cez SCP certifikát potrebný na pripojenie do adresára /tmp/ na serveri Edge Gateway.

Potom sa pripojte cez SSH a prepnite sa na root.

Ak chcete pripojiť server Edge Gateway k obom serverom Mediation Controller, musíte vytvoriť dve nové inštancie Edge Gateway: jedna sa pripojí k serveru Mediation Controller MASTER, druhá k serveru Mediation Controller SLAVE.
Na ich vytvorenie spustite nasledujúce príkazy:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Skopírujte súbor certifikátu do adresárov /etc/ipdiva/gateway-tunnel-master/ssl/ a /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Nahraďte <CERT_NAME> názvom certifikátu, ktorý musí server Edge Gateway použiť na pripojenie k serveru Mediation Controller.

Nakonfigurujte inštancie Edge Gateway tak, aby sa mohli pripojiť k serverom Mediation Controller.
Konfigurácie sa líšia v závislosti od servera Mediation Controller, ku ktorému sa treba pripojiť. Vykonajte obe nastavenia:

Upravte súbor /etc/ipdiva/gateway-tunnel-master/gateway.xml a doplňte ho pomocou nasledujúcich informácií (niekoľko častí bolo vynechaných a sú označené ako […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte nasledujúce prvky:

  • @SERVER@: je potrebné nahradiť adresou RIP_MED_SSL_MASTER
  • @SERVERPORT@: je potrebné nahradiť portom na počúvanie komponentu SSL Router, ktorý je zvyčajne nastavený na 443
  • keyfile.pem: je potrebné nahradiť názvom súboru certifikátu
  • PASSWORD: je potrebné nahradiť heslom certifikátu
  • @RPC_PORT@: je potrebné nahradiť portom, na ktorom počítač momentálne nepočúva; je možné použiť port 9082
Príklad

Vzhľadom na nasledujúce informácie:

  • RIP_MED_SSL_MASTER sa rovná: 10.0.10.11
  • Port na počúvanie komponentu SSL Router: 443
  • Názov súboru certifikátu: gate-tunnel.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Súbor /etc/ipdiva/gateway-tunnel-master/gateway.xml by sa nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Upravte súbor /etc/ipdiva/gateway-tunnel-slave/gateway.xml a doplňte ho pomocou nasledujúcich informácií (niekoľko častí bolo vynechaných a sú označené ako […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Nahraďte nasledujúce prvky:

  • @SERVER@: je potrebné nahradiť adresou RIP_MED_SSL_SLAVE
  • @SERVERPORT@: je potrebné nahradiť portom na počúvanie komponentu SSL Router, ktorý je zvyčajne nastavený na 443
  • keyfile.pem: je potrebné nahradiť názvom súboru certifikátu
  • PASSWORD: je potrebné nahradiť heslom certifikátu
  • @RPC_PORT@: je potrebné nahradiť portom, ktorý sa na počítači momentálne nepoužíva; je možné použiť port 9083
Príklad

Vzhľadom na nasledujúce informácie:

  • RIP_MED_SSL_SLAVE sa rovná: 10.0.10.13
  • Port na počúvanie komponentu SSL Router: 443
  • Názov súboru certifikátu: gate-tunnel.p12
  • Heslo certifikátu: Str0ngP@ssw0rd

Súbor /etc/ipdiva/gateway-tunnel-slave/gateway.xml by sa nakonfiguroval takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Teraz, keď sú inštancie nakonfigurované na pripojenie k serverom Mediation Controller, je ešte potrebné nakonfigurovať ich tak, aby presmerovali pripojenie servera Mediation Controller na databázu.
Ak to chcete urobiť, upravte súbor /etc/ipdiva/gateway-tunnel-master/services.xml takto: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Nahraďte DB_SERVER názvom DNS alebo IP adresou použitou na pripojenie k databáze a DB_PORT portom na počúvanie inštancie databázy.
Zopakujte tieto nastavenia pre inštanciu, ktorá sa pripája k serveru Mediation Controller SLAVE, skopírovaním súboru:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Nakoniec spustite inštancie Edge Gateway, aby nadviazali pripojenie k serverom Mediation Controller:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Konfigurácia tunela serverov Mediation Controller

Aby mohli servery Mediation Controller tunel používať, je ešte potrebné deklarovať jeho existenciu.
Ak to chcete urobiť, prihláste sa ako root na servery Mediation Controller a upravte súbor /etc/ipdiva/server/services.xml, aby ste pridali nasledujúcu časť (niekoľko častí bolo vynechaných a sú označené ako […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Nahraďte nasledujúce prvky:

  • GW1_NAME názvom prvého komponentu Edge Gateway
  • GW2_NAME názvom druhého komponentu Edge Gateway
  • ORGANIZATION_NAME názvom predtým vytvorenej organizácie CyberElements Gate
Príklad

Vzhľadom na nasledujúce informácie:

  • Názov komponentu Edge Gateway 1: gate-tunnel-1
  • Názov komponentu Edge Gateway 2: gate-tunnel-2
  • Názov organizácie CyberElements Gate: tunnel

Súbor /etc/ipdiva/server/services.xml by sa vyplnil takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Kompletný súbor 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Ak chcete použiť novú konfiguráciu, reštartujte komponent SSL Router nasledujúcim príkazom:

1
/usr/local/ipdiva/server/bin/restart

Inicializácia databázy

Pozor!

Databázu default musíte vytvoriť skôr, ako ju CyberElements Bastion inicializuje (nevytvára sa automaticky).

Ak chcete inicializovať databázu PostgreSQL so systémovou konfiguráciou, musíte najprv nakonfigurovať nastavenia pripojenia na serveroch Mediation Controller.
Ak to chcete urobiť, upravte súbor /etc/ipdiva/care/databasesettings.ini na oboch serveroch a pridajte nasledujúce položky:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Nahraďte nasledujúce prvky:

  • DB_USERNAME menom používateľa použitým na pripojenie k databáze.
  • DB_PWD heslom používateľa, ktorý sa prihlasuje.
  • DB_HOST IP adresou alebo názvom DNS použitým na pripojenie k databáze; ak sa používa pripojenie cez servery Edge Gateway, budete musieť zadať 127.0.0.1.
  • DB_PORT portom použitým na pripojenie k inštancii databázy; ak sa používa pripojenie cez servery Edge Gateway, budete musieť zadať 1432.

Inicializáciu databázy je možné spustiť nasledujúcimi príkazmi, ktoré sa vykonávajú iba na jednom serveri Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Potom zostáva už len reštartovať službu apache2 na oboch serveroch Mediation Controller, aby sa použila inicializácia systémovej databázy:

1
systemctl restart apache2

Inštalácia ovládačov na pripojenie k databázam Microsoft SQL

Ak sa chcete pripojiť k externej databáze a ide o Microsoft SQL Server, je potrebné nainštalovať ďalšie ovládače ODBC.

K dispozícii sú dve verzie: verzia 17 a verzia 18.

Pre ovládače vo verzii 18 sa vyžaduje pripojenie TLS

Používanie ovládačov ODBC 18 vyžaduje, aby bolo pripojenie šifrované pomocou TLS. Ak to chcete urobiť, musíte nakonfigurovať MS SQL Server na šifrovanie pripojenia.

Pred spustením inštalácie ovládačov ODBC musíte nainštalovať balíky potrebné na prípravu a potom pripraviť úložisko Microsoft na inštaláciu balíkov:

1
2
3
4
apt install -y curl apt-transport-https gpg
curl -fsSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor -o /usr/share/keyrings/microsoft-prod.gpg
curl https://packages.microsoft.com/config/debian/12/prod.list > /etc/apt/sources.list.d/mssql-release.list
apt update

Potom nainštalujte ovládače podľa zvolenej verzie a nakonfigurujte systém na používanie príkazu sqlcmd:

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql17 mssql-tools python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools/bin/sqlcmd /usr/bin/sqlcmd

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql18 mssql-tools18 python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools18/bin/sqlcmd /usr/bin/sqlcmd

Ovládače ODBC sú teraz správne nainštalované.
Ak má server Mediation Controller prístup k serveru MS SQL, nasledujúci príkaz by mal umožniť pripojenie k vzdialenému serveru: 

1
sqlcmd -S SERVER\INSTANCE_NAME,PORT -U USER

Kde:

  • SERVER je potrebné nahradiť názvom DNS alebo IP adresou servera MS SQL.
  • INSTANCE_NAME je potrebné nahradiť názvom inštancie, ku ktorej sa treba pripojiť; ak to nie je potrebné, odstráňte aj znak \.
  • PORT je potrebné nahradiť portom pripojenia k inštancii databázy MS SQL.
  • USER je potrebné nahradiť menom používateľa na nadviazanie pripojenia.
Príklady

Ak má server Mediation Controller prístup k databázovému serveru MS SQL cez IP adresu 10.0.10.100, inštancia, ku ktorej sa má pristupovať, počúva na porte 1433 a prístupový účet je sql-user. Potom je príkaz na pripojenie nasledujúci:

1
sqlcmd -S 10.0.10.100,1433 -U sql-user

Ak by bolo potrebné zadať inštanciu pripojenia s názvom MSSQLINSTANCE, príkaz by sa upravil takto:

1
sqlcmd -S 10.0.10.100\MSSQLINSTANCE,1433 -U sql-user

Konfigurácia časového servera NTP

Odporúča sa nastaviť časový server, aby boli systémové hodiny aktuálne. Potrebné kroky sú opísané na stránke konfigurácie NTP.

Počiatočné konfigurácie v CyberElements Bastion

Autorizácia prístupu k webovým rozhraniam s virtuálnou adresou IP

Predvolene nie je povolené pripájať sa k webovým rozhraniam produktu CyberElements Bastion pomocou virtuálnej IP adresy VIP_MED_WEB.
Ak chcete pridať autorizáciu, spustite ako root nasledujúce príkazy na serveroch Mediation Controller:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Nahraďte IP IP adresou zodpovedajúcou VIP_MED_WEB.

Počiatočné konfigurácie

V tejto fáze sú servery Mediation Controller nainštalované, ale ešte je potrebné vykonať niekoľko akcií:

  • Zmeňte predvolené heslá

    Zmeňte predvolené heslá systémových konzol.

    Zmeniť

  • Nainštalujte certifikáty a licencie

    Server Mediation Controller vyžaduje na prevádzku rôzne certifikáty a licenciu.
    Na oboch serveroch Mediation Controller je potrebné znova deklarovať len certifikát pre klienta CyberElements Bastion (použite RIP RIP_MED_WEB_MASTER a RIP_MED_WEB_SLAVE).

    Nainštalovať certifikáty a licenciu

  • Nakonfigurujte webový certifikát

    Nakonfigurujte webový certifikát používaný na pripojenie k webovým rozhraniam

    Nakonfigurovať

  • Deklarujte názov DNS

    Pridajte názov DNS autorizovaný na pripojenie k webovým rozhraniam.

    Pridať

  • Nakonfigurujte organizáciu

    Nakonfigurujte organizáciu CyberElements Bastion.

    Nakonfigurovať s priamym prístupom k databáze

    Nakonfigurovať s prístupom k databáze cez tunel komponentov Edge Gateway

  • Deklarujte komponenty Edge Gateway

    Deklarujte komponenty Edge Gateway alebo HTML5 Gateway, ktoré sa majú nainštalovať.

    Vytvoriť komponenty Edge Gateway

  • Vytvorte logický site

    Vytvorte a nakonfigurujte logický site, ktorý zoskupuje komponenty Edge Gateway a HTML5 Gateway s prístupom k lokálnym prostriedkom.

    Vytvoriť site

  • Nainštalujte komponent Edge Gateway

    Nainštalujte a nakonfigurujte nový komponent Edge Gateway s novo nainštalovanými servermi Mediation Controller.
    Nakonfiguruje sa aj inštancia HTML5 Gateway.

    Nainštalujte