Skoči na vsebino

Namestitev strežnikov Mediation Controller

Opomba

Opomnik: na računalnikih Debian je treba na root preklopiti z naslednjim ukazom:

1
su -

Navodila na tej strani je treba ponoviti na obeh strežnikih Mediation Controller, najprej na strežniku MASTER.
Kjer se strežnika MASTER in SLAVE razlikujeta, je to poudarjeno. Če to ni omenjeno, navodila veljajo za oba strežnika, MASTER in SLAVE.

Sistemske nastavitve

Povezava z računalnikom

Na navideznih napravah sta privzeto dva računa: uporabniški račun in račun superuporabnika.

  • Uporabniški račun
    • Uporabniško ime: systancia
    • Geslo: systnci
  • Račun superuporabnika
    • Uporabniško ime: root
    • Geslo: systnci

Povežite se z računalnikom v načinu konzole.

Opomba

Privzeta razporeditev tipkovnice je QWERTY.

Sprememba razporeditve tipkovnice

Razporeditev tipkovnice lahko spremenite z naslednjo ukazno vrstico:

1
dpkg-reconfigure keyboard-configuration

Prikaže se meni, v katerem lahko izberete drugo razporeditev tipkovnice.

Nato z naslednjo ukazno vrstico uporabite in shranite nastavitve:

1
setupcon -k --save

Nastavitve začnejo veljati takoj po izvedbi tega ukaza.

Konfiguracija omrežja

Konfiguracija statičnega omrežnega naslova za strežnik Mediation Controller je nujna. Za to morate najprej pridobiti ime omrežnega vmesnika računalnika. Kot root zaženite naslednji ukaz:

1
ip -br a | grep -ve "^lo"

Ta ukaz prikaže ime omrežnega vmesnika, njegovo stanje in naslove IP, dodeljene vmesniku.

Primer

Ko se ukaz izvede, se prikaže naslednji izhod:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Ime omrežnega vmesnika je ens192.

Ko imate ime omrežnega vmesnika, lahko uredite omrežno konfiguracijo računalnika.
Uredite datoteko /etc/network/interfaces in jo spremenite po naslednji predlogi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Pri čemer:

  • INTERFACE_NAME je treba zamenjati z imenom prej pridobljenega omrežnega vmesnika.
  • RIP_MED_WEB_MASTER je treba zamenjati z glavnim dejanskim naslovom IP strežnika; to bo naslov IP, prek katerega bodo dostopne spletne konzole.
  • NETMASK je treba zamenjati z omrežno masko, povezano z naslovom IP.
  • NETWORK_GATEWAY je treba zamenjati s privzetim omrežnim prehodom.
  • IP_DNS je treba zamenjati z naslovom IP strežnika DNS. Če je treba konfigurirati več strežnikov (največ 3), jih ločite s presledkom.
  • DNS_SUFFIX je treba zamenjati s pripono DNS, ki jo želite uporabiti. Če pripone ni treba vnesti, izbrišite vrstico.
  • RIP_MED_SSL_MASTER je treba zamenjati s sekundarnim dejanskim naslovom IP strežnika. To bo naslov IP, prek katerega bo dostopen SSL Router.
Primer 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Nazadnje morate le še znova zagnati storitev networking, da se naloži nova omrežna konfiguracija: 

1
systemctl restart networking

Konfiguracija statičnega omrežnega naslova za strežnik Mediation Controller je nujna. Za to morate najprej pridobiti ime omrežnega vmesnika računalnika. Kot root zaženite naslednji ukaz:

1
ip -br a | grep -ve "^lo"

Ta ukaz prikaže ime omrežnega vmesnika, njegovo stanje in naslove IP, dodeljene vmesniku.

Primer

Ko se ukaz izvede, se prikaže naslednji izhod:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Ime omrežnega vmesnika je ens192.

Ko imate ime omrežnega vmesnika, lahko uredite omrežno konfiguracijo računalnika.
Uredite datoteko /etc/network/interfaces in jo spremenite po naslednji predlogi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Pri čemer:

  • INTERFACE_NAME je treba zamenjati z imenom prej pridobljenega omrežnega vmesnika.
  • RIP_MED_WEB_SLAVE je treba zamenjati z glavnim dejanskim naslovom IP strežnika; to bo naslov IP, prek katerega bodo dostopne spletne konzole.
  • NETMASK je treba zamenjati z omrežno masko, povezano z naslovom IP.
  • NETWORK_GATEWAY je treba zamenjati s privzetim omrežnim prehodom.
  • IP_DNS je treba zamenjati z naslovom IP strežnika DNS. Če je treba konfigurirati več strežnikov (največ 3), jih ločite s presledkom.
  • DNS_SUFFIX je treba zamenjati s pripono DNS, ki jo želite uporabiti. Če pripone ni treba vnesti, izbrišite vrstico.
  • RIP_MED_SSL_SLAVE je treba zamenjati s sekundarnim dejanskim naslovom IP strežnika. To bo naslov IP, prek katerega bo dostopen SSL Router.
Primer 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Nazadnje morate le še znova zagnati storitev networking, da se naloži nova omrežna konfiguracija: 

1
systemctl restart networking

Nasvet

Ko so omrežne nastavitve uporabljene, je strežnik dosegljiv prek SSH.

Sprememba gesel lokalnih računov

CyberElements močno priporoča, da po uvedbi navidezne naprave spremenite geslo teh računov.

Uporabite naslednji ukaz in vnesite novo geslo za standardni račun systancia:

1
passwd systancia

Nato postopek ponovite za račun superuporabnika root:

1
passwd root

Konfiguracija imena računalnika

Ime strežnika lahko spremenite tako, da konfigurirate datoteki hostname in hosts strežnika.

Uredite datoteko /etc/hostname in v njej navedite ime računalnika.
Izdelek potrebuje novo ime še na drugem mestu, zato je treba z naslednjim ukazom narediti kopijo prejšnje datoteke:

1
cp /etc/hostname /var/ipdiva/zopeChroot/etc/hostname

Konfiguracijo datoteke /etc/hosts je treba ponoviti glede na dejanski glavni naslov IP računalnika (RIP_MED_WEB_MASTER).
To naredite tako, da uredite datoteko /etc/hosts in preverite, ali je druga vrstica v naslednji obliki:

2
RIP_MED_WEB_MASTER  FQDN    MACHINE_NAME
Primer

Če je ime računalnika MEDIATION-CONTROLLER-MASTER, računalnik ne spada v nobeno domeno in je njegov dejanski naslov IP RIP_MED_WEB_MASTER enak 10.0.10.10, bi bila datoteka izpolnjena takole:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER

Če računalnik spada v domeno DOMAIN.LOCAL, bi bila datoteka izpolnjena takole:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER.DOMAIN.LOCAL   MEDIATION-CONTROLLER-MASTER

Konfiguracijo datoteke /etc/hosts je treba ponoviti glede na dejanski glavni naslov IP računalnika (RIP_MED_WEB_SLAVE).
To naredite tako, da uredite datoteko /etc/hosts in preverite, ali je druga vrstica v naslednji obliki:

2
RIP_MED_WEB_SLAVE  FQDN    MACHINE_NAME
Primer

Če je ime računalnika MEDIATION-CONTROLLER-SLAVE, računalnik ne spada v nobeno domeno in je njegov dejanski naslov IP RIP_MED_WEB_SLAVE enak 10.0.10.12, bi bila datoteka izpolnjena takole:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE

Če računalnik spada v domeno DOMAIN.LOCAL, bi bila datoteka izpolnjena takole:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE.DOMAIN.LOCAL   MEDIATION-CONTROLLER-SLAVE

Za uporabo nove konfiguracije znova zaženite strežnik:

1
reboot

Sprememba časovnega pasu

Navidezna naprava je privzeto nastavljena na časovni pas Europe/Paris.

Če želite spremeniti ta časovni pas, najprej z naslednjim ukazom pridobite zapis razpoložljivih časovnih pasov:

1
timedatectl list-timezones

Nato uporabite naslednjo ukazno vrstico:

1
timedatectl set-timezone your_time_zone
Primer

Če želite časovni pas nastaviti na London, izvedite naslednji ukaz:

1
timedatectl set-timezone Europe/London

Z naslednjo ukazno vrstico preverite časovni pas strežnika:

1
timedatectl

Inicializacija strežnika Mediation Controller

Inicializacija strežnika Mediation Controller

Strežnik Mediation Controller se inicializira s konfiguracijskim skriptom. Ta skript znova konfigurira naslove IP gruče v različnih storitvah izdelka in vnaprej konfigurira nastavitve, potrebne za delovanje komponente HTML5 Gateway.
Zaženite ga z naslednjo ukazno vrstico kot root:

1
/opt/systancia/initializeCluster

Skript vas bo pozval, da vnesete naslednje podatke:

  • IP VIP HTTPS: navidezni spletni naslov IP gruče, tj. VIP_MED_WEB.
  • IP VIP SSL: navidezni naslov IP SSL gruče, tj. VIP_MED_SSL.
  • IP VIP ZIO: navidezni naslov IP za povezavo strežnika Mediation Controller SLAVE z notranjo konfiguracijsko zbirko podatkov strežnika MASTER, tj. VIP_MED_ZEO.
  • IP Master HTTPS: dejanski spletni naslov IP strežnika Mediation Controller MASTER, tj. RIP_MED_WEB_MASTER.
  • IP Master SSL: dejanski naslov IP za SSL Router strežnika Mediation Controller MASTER, tj. RIP_MED_SSL_MASTER.
  • IP Slave HTTPS: dejanski spletni naslov IP strežnika Mediation Controller SLAVE, tj. RIP_MED_WEB_SLAVE.
  • IP Slave SSL: dejanski naslov IP za SSL Router strežnika Mediation Controller SLAVE, tj. RIP_MED_SSL_SLAVE.
  • HTML5 port: lokalna vrata za poslušanje za preusmerjanje dostopa do storitve HTML5 Gateway; priporočamo, da vnesete vrata 1234.
  • Gateway: ime komponente Edge Gateway; vnesite ime prve komponente Edge Gateway.
  • Organization: ime organizacije, s katero se bodo povezovale komponente Edge Gateway in HTML5 Gateway.

Ko je inicializacija končana, znova zaženite strežnik:

1
reboot

Sprememba gesla konzole /mediation/system rešitve CyberElements Gate

Na tej stopnji namestitve je na voljo nov skrbniški vmesnik: Spremenite geslo

Uporaba licenc in potrdil

Še vedno v konzoli /mediation/system morate vnesti potrdila in licence za strežnik Mediation Controller.

Pozor!

Licenca in potrdilo za SSL Router sta vezana na strežnik Mediation Controller MASTER ali SLAVE.
Če konfigurirate napačno licenco ali napačno potrdilo, bo to pozneje povzročilo nepravilno delovanje.

Uporabite licenco in potrdilo za komponento SSL Router:

  1. Kliknite zavihek Settings.
  2. V meniju izberite SSL Connections.
  3. Poiščite potrdilo za SSL Router.
  4. Vnesite geslo za potrdilo SSL Router.
  5. Kliknite Apply, da uporabite potrdilo za SSL Router.
  6. Izberite datoteko z licenco strežnika.
  7. Kliknite Modify, da uporabite licenco strežnika.

Nato vnesite podatke o potrdilu za odjemalca CyberElements Bastion:

  1. Izberite zavihek Plugin.
  2. Poiščite potrdilo odjemalca CyberElements Bastion.
  3. Vnesite geslo potrdila.
  4. Kliknite Apply, da uporabite potrdilo.

Vnesti morate še podatke o potrdilu Watchdog:

  1. Izberite zavihek Watchdog
  2. Poiščite potrdilo Watchdog.
  3. Vnesite geslo potrdila.
  4. Kliknite Apply, da uporabite potrdilo.

Da bodo te spremembe začele veljati, morate znova zagnati SSL Router in Watchdog:

Pairing strežnikov Mediation Controller

Pozor!

Na tej točki morata biti oba strežnika Mediation Controller konfigurirana do koraka uporabe licenc in potrdil.
Če strežnik Mediation Controller SLAVE še ni konfiguriran, ga konfigurirajte tako, da začnete na začetku te dokumentacije.

Korak pairinga strežnikov Mediation Controller bo vzpostavil povezavo zaupanja med obema strežnikoma in inicializiral delovanje gruče.

Na strežniku Mediation Controller SLAVE

Kot root zaženite naslednji ukaz, da strežniku Mediation Controller MASTER pošljete zahtevo za pairing:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

RIP_MED_WEB_MASTER zamenjajte z ustreznim naslovom IP.

Primer

Če je RIP_MED_WEB_MASTER enak 10.0.10.10, je ukaz, ki ga morate vnesti, naslednji:

1
hostManagerCtl bootstrap 10.0.10.10

Na strežniku Mediation Controller MASTER

Kot root zaženite naslednji ukaz, da preverite čakajoče zahteve za pairing in pridobite identifikator zahteve: 

1
hostManagerCtl getPendingRequests

Nato zaženite naslednji ukaz, da sprejmete zahtevo za pairing, pri čemer ID zamenjajte z identifikatorjem, pridobljenim s prejšnjim ukazom:

1
hostManagerCtl acceptRequest ID
Primer

Če je vrnjena vrednost ukaza hostManagerCtl getPendingRequests naslednja:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Ukaz za sprejem zahteve za pairing je torej naslednji:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Če želite preveriti povezavo, na strežniku Mediation Controller (MASTER ali SLAVE) uporabite naslednji ukaz:

1
hostManagerCtl listPeers

Rezultat se razlikuje glede na strežnik, na katerem se ukaz izvede:

Pričakovani rezultat na strežniku Mediation Controller MASTER je naslednji:

1
slave -> RIP_MED_WEB_SLAVE
Primer 
1
slave -> 10.0.10.12

Pričakovani rezultat na strežniku Mediation Controller SLAVE je naslednji:

1
master -> RIP_MED_WEB_MASTER
Primer 
1
master -> 10.0.10.10

Na strežniku Mediation Controller SLAVE

Stanje postopka bootstrap lahko preverite s strežnika SLAVE z naslednjim ukazom:

1
hostManagerCtl getBootstrapStatus

Gruča brez težav s sinhronizacijo vrne vrednost 0.

Potreben je še zadnji niz ukazov, prav tako na strežniku SLAVE, za sinhronizacijo skupne skrivnosti med obema strežnikoma Mediation Controller:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Čemu je namenjena medstrežniška povezava?

To je posebna povezava za delovanje gruče, ki strežniku Mediation Controller omogoča usmerjanje prometa na drug strežnik Mediation Controller, kadar ciljna komponenta Edge Gateway ni povezana s prvim strežnikom, temveč samo z drugim.

Če na primer strežnik Mediation Controller MASTER ni več povezan s komponento Edge Gateway, lahko z medstrežniško povezavo doseže komponento Edge Gateway prek strežnika Mediation Controller SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Izgubljena povezava| GW(Edge Gateway)
    MASTER --> |Medstrežniška povezava| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Na strežniku Mediation Controller MASTER

Uredite datoteko /etc/ipdiva/server/remoteServers.xml in v njej navedite CN medstrežniškega potrdila:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

SLAVECN zamenjajte s CN potrdila, namenjenega medstrežniški povezavi.
Če CN medstrežniškega potrdila ne poznate, lahko vnesete znak * (priporočeno v primeru dvoma):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Primer

Ob upoštevanju naslednjih podatkov:

  • CN medstrežniškega potrdila: my-interserver-cert

Datoteka /etc/ipdiva/server/remoteServers.xml na strežniku Mediation Controller MASTER bi bila izpolnjena takole:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Celotna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Na strežniku Mediation Controller SLAVE

Medstrežniško potrdilo pošljite v imenik /tmp/ na strežniku Mediation Controller SLAVE.
Nato kot root zaženite naslednje ukaze, da ga premaknete v ciljni imenik z ustreznimi dovoljenji:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Nato uredite datoteko /etc/ipdiva/server/remoteServers.xml in oznaki <remoteConfig> dodajte naslednjo vsebino (staro oznako <localCluster> lahko v celoti izbrišete):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Zamenjajte:

  • MASTERCN: navedite CN potrdila SSL Router strežnika Mediation Controller MASTER, ki je običajno RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: ustreza sekundarnemu naslovu IP strežnika Mediation Controller MASTER.
  • PORT_RIP_MED_SSL_MASTER: to so vrata, na katerih posluša SSL Router strežnika Mediation Controller MASTER; običajno so to vrata 443.
  • INTERSERVER.P12: ime potrdila, namenjenega medstrežniški povezavi.
  • PASSWORD: geslo medstrežniškega potrdila.
Primer

Ob upoštevanju naslednjih podatkov:

  • Ime medstrežniškega potrdila: my-interserver-cert.p12
  • Geslo medstrežniškega potrdila: MySecurePassword
  • RIP SSL strežnika Mediation Controller MASTER: 10.0.10.11
  • Vrata na RIP SSL strežnika Mediation Controller MASTER: 443
  • CN potrdila strežnika Mediation Controller MASTER: 10.0.10.11

Datoteka /etc/ipdiva/server/remoteServers.xml na strežniku Mediation Controller SLAVE bi bila izpolnjena takole:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Celotna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Spremenite konfiguracijo komponente SSL Router SLAVE tako, da zaženete naslednji ukaz:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Na strežnikih Mediation Controller MASTER in SLAVE

Znova zaženite SSL Router, da uporabite nastavitve medstrežniške povezave:

1
/usr/local/ipdiva/server/bin/restart

Če želite potrditi, da medstrežniška povezava deluje pravilno, mora naslednji ukaz vrniti rezultat:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Prejšnji ukaz mora ustvariti vnos v dnevniku z naslednjo vsebino: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Če tak vnos v dnevniku ni prikazan, preverite konfiguracijo, nastavljeno v tem poglavju.

V spletni konzoli /mediation/system strežnika Mediation Controller MASTER

Omogočite medstrežniško povezavo med obema strežnikoma Mediation Controller tako, da uredite navideznega gostitelja SSL default:

Izpolnite posamezna polja po spodnjih navodilih in omogočite funkcijo medstrežniškega povezovanja tako, da potrdite polje Is cross-server linking configured?:

  • Public address for plugin connections: ustreza VIP_MED_SSL, ki mu sledijo njegova vrata za poslušanje (običajno 443).
  • Actual public IP addresses for web connections: ustreza paru dejanskih spletnih naslovov IP (RIP_MED_WEB_MASTER in RIP_MED_WEB_SLAVE) z ustreznimi vrati, po ena vrstica za vsak par naslova IP in vrat.
  • Actual public IP addresses for SSL connections: ustreza paru dejanskih naslovov IP SSL (RIP_MED_SSL_MASTER in RIP_MED_SSL_SLAVE) z ustreznimi vrati, po ena vrstica za vsak par naslova IP in vrat.

Inicializacija rešitve CyberElements Bastion

Povezava z zbirko podatkov PostgreSQL

CyberElements Bastion za delovanje potrebuje zunanjo zbirko podatkov PostgreSQL, v kateri hrani svoje nastavitve in različne dnevnike konzole /system.
Če je zbirka podatkov neposredno dosegljiva s strežnikov Mediation Controller, preskočite neposredno na korak inicializacije zbirke podatkov.

Povezava z zbirko podatkov v omrežju LAN

Da bi omogočili povezavo z zbirko podatkov v omrežju LAN brez odpiranja toka iz DMZ v LAN, bo tok zbirke podatkov preusmerjen prek tunela TLS med komponentami Edge Gateway in strežniki Mediation Controller.
V ta namen je treba konfigurirati eno komponento Edge Gateway (ali dve komponenti Edge Gateway) z osnovno tehnologijo CyberElements Gate.

Deklaracija komponent Edge Gateway za CyberElements Gate

To storite tako, da se najprej prijavite v konzolo /mediation/system v CyberElements Gate.

Nato odprite meni „Organizations“ in kliknite „Add“:

Vnesite ime organizacije, ki se mora razlikovati od imena, dodeljenega CyberElements Bastion (na primer tunnel), in določite vsaj eno licenco za uporabniško sejo ter geslo za račun admin:

Prijavite se v skrbniški vmesnik prej ustvarjene organizacije z računom admin tako, da odprete /gate/admin:

Nato deklarirajte obe komponenti Edge Gateway, ki bosta uporabljeni za vzpostavitev tunela.
Na levi s kazalcem pokažite na Infrastructure, kliknite Gateways in nato gumb Add:

Vnesite ime prve komponente Edge Gateway in potrdite vnos:

Informacije

Kot opomnik: ime komponente Edge Gateway je povezano s potrdilom, s katerim bo komponenta preverjala svojo pristnost pri komponenti SSL Router strežnika Mediation Controller.
To ime ima obliko <GW_NAME>@<ORGANIZATION_NAME>, pri čemer <GW_NAME> ustreza imenu komponente Edge Gateway, <ORGANIZATION_NAME> pa imenu organizacije, ustvarjene v sistemski konzoli CyberElements Gate.

Korak deklaracije komponente Edge Gateway ponovite za drugo komponento Edge Gateway.

Povezave in nastavitve tunela na komponentah Edge Gateway

Informacije

Naslednje korake lahko ponovite na obeh komponentah Edge Gateway, ki se uporabljata za tunel za dostop do zbirke podatkov.

Predpogoji

Za dokončanje tega dela boste morali uporabiti eno od naslednjih možnosti:

Najprej z orodjem, kot je WinSCP ali FileZilla, prek protokola SCP prenesite potrdilo, potrebno za povezavo, v imenik /tmp/ na komponenti Edge Gateway.

Nato se povežite prek SSH in preklopite na root.

Če želite komponento Edge Gateway povezati z obema strežnikoma Mediation Controller, morate ustvariti dva nova primerka Edge Gateway: eden se bo povezal s strežnikom Mediation Controller MASTER, drugi pa s strežnikom Mediation Controller SLAVE.
Če ju želite ustvariti, zaženite naslednje ukaze:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Datoteko potrdila kopirajte v imenika /etc/ipdiva/gateway-tunnel-master/ssl/ in /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

<CERT_NAME> zamenjajte z imenom potrdila, ki ga mora komponenta Edge Gateway uporabiti za povezavo s strežnikom Mediation Controller.

Konfigurirajte primerka Edge Gateway, da se bosta lahko povezala s strežnikoma Mediation Controller.
Konfiguraciji se razlikujeta glede na strežnik Mediation Controller, s katerim se je treba povezati. Opravite obe konfiguraciji:

Uredite datoteko /etc/ipdiva/gateway-tunnel-master/gateway.xml in jo dopolnite z naslednjimi podatki (več delov je izpuščenih in označenih z […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Zamenjajte naslednje elemente:

  • @SERVER@: treba ga je zamenjati z naslovom RIP_MED_SSL_MASTER
  • @SERVERPORT@: treba ga je zamenjati z vrati za poslušanje komponente SSL Router, ki so običajno nastavljena na 443
  • keyfile.pem: treba ga je zamenjati z imenom datoteke potrdila
  • PASSWORD: treba ga je zamenjati z geslom potrdila
  • @RPC_PORT@: treba ga je zamenjati z vrati, na katerih računalnik trenutno ne posluša; uporabite lahko vrata 9082
Primer

Ob upoštevanju naslednjih podatkov:

  • RIP_MED_SSL_MASTER ima vrednost: 10.0.10.11
  • Vrata za poslušanje komponente SSL Router: 443
  • Ime datoteke potrdila: gate-tunnel.p12
  • Geslo potrdila: Str0ngP@ssw0rd

Datoteka /etc/ipdiva/gateway-tunnel-master/gateway.xml bi bila konfigurirana takole:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Celotna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Uredite datoteko /etc/ipdiva/gateway-tunnel-slave/gateway.xml in jo dopolnite z naslednjimi podatki (več delov je izpuščenih in označenih z […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Zamenjajte naslednje elemente:

  • @SERVER@: treba ga je zamenjati z naslovom RIP_MED_SSL_SLAVE
  • @SERVERPORT@: treba ga je zamenjati z vrati za poslušanje komponente SSL Router, ki so običajno nastavljena na 443
  • keyfile.pem: treba ga je zamenjati z imenom datoteke potrdila
  • PASSWORD: treba ga je zamenjati z geslom potrdila
  • @RPC_PORT@: treba ga je zamenjati z vrati, ki trenutno niso v uporabi na računalniku; uporabite lahko vrata 9083
Primer

Ob upoštevanju naslednjih podatkov:

  • RIP_MED_SSL_SLAVE ima vrednost: 10.0.10.13
  • Vrata za poslušanje komponente SSL Router: 443
  • Ime datoteke potrdila: gate-tunnel.p12
  • Geslo potrdila: Str0ngP@ssw0rd

Datoteka /etc/ipdiva/gateway-tunnel-slave/gateway.xml bi bila konfigurirana takole:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Celotna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Ko sta primerka konfigurirana za povezavo s strežnikoma Mediation Controller, ju je treba konfigurirati še tako, da povezavo strežnikov Mediation Controller preusmerjata v zbirko podatkov.
To storite tako, da uredite datoteko /etc/ipdiva/gateway-tunnel-master/services.xml in jo spremenite takole: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

DB_SERVER zamenjajte z imenom DNS ali naslovom IP, ki se uporablja za povezavo z zbirko podatkov, DB_PORT pa z vrati za poslušanje primerka zbirke podatkov.
Te nastavitve ponovite za primerek, ki se povezuje s strežnikom Mediation Controller SLAVE, tako da kopirate datoteko:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Nazadnje zaženite primerka Edge Gateway, da vzpostavita povezavo s strežnikoma Mediation Controller:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Konfiguracija tunela strežnikov Mediation Controller

Da bosta strežnika Mediation Controller lahko uporabljala tunel, ga morate še deklarirati.
To storite tako, da se kot root prijavite v strežnika Mediation Controller in uredite datoteko /etc/ipdiva/server/services.xml, da dodate naslednji del (več delov je izpuščenih in označenih z […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Zamenjajte naslednje elemente:

  • GW1_NAME z imenom prve komponente Edge Gateway
  • GW2_NAME z imenom druge komponente Edge Gateway
  • ORGANIZATION_NAME z imenom prej ustvarjene organizacije CyberElements Gate
Primer

Ob upoštevanju naslednjih podatkov:

  • Ime komponente Edge Gateway 1: gate-tunnel-1
  • Ime komponente Edge Gateway 2: gate-tunnel-2
  • Ime organizacije CyberElements Gate: tunnel

Datoteka /etc/ipdiva/server/services.xml bi bila izpolnjena takole:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Celotna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Za uporabo nove konfiguracije znova zaženite SSL Router z naslednjim ukazom:

1
/usr/local/ipdiva/server/bin/restart

Inicializacija zbirke podatkov

Pozor!

Zbirko podatkov default morate ustvariti, preden jo CyberElements Bastion inicializira (ne ustvari se samodejno).

Če želite inicializirati zbirko podatkov PostgreSQL za sistemsko konfiguracijo, morate najprej konfigurirati nastavitve povezave na strežnikih Mediation Controller.
To storite tako, da na obeh strežnikih uredite datoteko /etc/ipdiva/care/databasesettings.ini in dodate naslednje vnose:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Zamenjajte naslednje elemente:

  • DB_USERNAME z uporabniškim imenom, ki se uporablja za povezavo z zbirko podatkov.
  • DB_PWD z geslom uporabnika, ki se prijavlja.
  • DB_HOST z naslovom IP ali imenom DNS, ki se uporablja za povezavo z zbirko podatkov; če se uporablja povezava prek komponent Edge Gateway, morate vnesti 127.0.0.1.
  • DB_PORT z vrati, ki se uporabljajo za povezavo s primerkom zbirke podatkov; če se uporablja povezava prek komponent Edge Gateway, morate vnesti 1432.

Inicializacijo zbirke podatkov lahko zaženete z naslednjimi ukazi, ki jih izvedete samo na enem strežniku Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Nato morate le še znova zagnati storitev apache2 na obeh strežnikih Mediation Controller, da uveljavite inicializacijo sistemske zbirke podatkov:

1
systemctl restart apache2

Konfiguracija časovnega strežnika NTP

Priporočljivo je nastaviti časovni strežnik, da bo sistemska ura vedno točna. Potrebni koraki so opisani na strani za konfiguracijo NTP.

Začetne konfiguracije rešitve CyberElements Bastion

Avtorizacija dostopa do spletnih vmesnikov z navideznim naslovom IP

Privzeto povezovanje s spletnimi vmesniki izdelka CyberElements Bastion prek navideznega naslova IP VIP_MED_WEB ni dovoljeno.
Če želite dodati avtorizacijo, kot root na strežnikih Mediation Controller zaženite naslednje ukaze:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

IP zamenjajte z naslovom IP, ki ustreza VIP_MED_WEB.

Začetne konfiguracije

Na tej stopnji sta strežnika Mediation Controller nameščena, vendar je treba izvesti še več dejanj:

  • Spremenite privzeta gesla

    Spremenite privzeta gesla sistemskih konzol.

    Spremenite

  • Namestite potrdila in licence

    Strežnik Mediation Controller za delovanje potrebuje različna potrdila in licenco.
    Le potrdilo za odjemalca CyberElements Bastion je treba znova deklarirati na obeh strežnikih Mediation Controller (uporabite RIP RIP_MED_WEB_MASTER in RIP_MED_WEB_SLAVE).

    Namestite potrdila in licenco

  • Konfigurirajte spletno potrdilo

    Konfigurirajte spletno potrdilo, ki se uporablja za povezovanje s spletnimi vmesniki

    Konfigurirajte

  • Deklarirajte ime DNS

    Dodajte ime DNS, ki je avtorizirano za povezovanje s spletnimi vmesniki.

    Dodajte