Skoči na vsebino

Namestitev strežnikov Mediation Controller

Opomba

Opomnik: na računalnikih Debian je treba na root preklopiti z naslednjim ukazom:

1
su -

Navodila na tej strani je treba ponoviti na obeh strežnikih Mediation Controller, najprej na strežniku MASTER.
Kjer se strežnika MASTER in SLAVE razlikujeta, je to poudarjeno. Če to ni omenjeno, navodila veljajo za oba strežnika, MASTER in SLAVE.

Prenos zrcala in potrebnih orodij

Zrcalo CyberElements Cleanroom 4.6 in ključ za podpis skladišča Systancia lahko prenesete s te povezave (zahteva ustvarjanje računa stranke): Systancia Marketplace

Poleg zrcala in ključa boste za postopek nadgradnje potrebovali orodja drugih ponudnikov:

  • Odjemalec SSH (v sistemu Windows lahko uporabite PuTTY)
  • Odjemalec SCP (v sistemu Windows lahko uporabite orodji WinSCP ali FileZilla)

Z odjemalcem SSH se oddaljeno povežite s strežnikom.

Z odjemalcem SCP prenesite datoteke na oddaljeni računalnik.

Priprava na namestitev

Konfiguracija omrežja

Namestite paket resolvconf, da bo mogoče uporabiti konfiguracijo DNS, navedeno v konfiguracijski datoteki, ki jo bomo kmalu spremenili:

1
apt install -y resolvconf

Konfiguracija statičnega omrežnega naslova za strežnik Mediation Controller je nujna. Za to morate najprej pridobiti ime omrežnega vmesnika računalnika. Kot root zaženite naslednji ukaz:

1
ip -br a | grep -ve "^lo"

Ta ukaz prikaže ime omrežnega vmesnika, njegovo stanje in naslove IP, dodeljene vmesniku.

Primer

Ko se ukaz izvede, se prikaže naslednji izhod:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Ime omrežnega vmesnika je ens192.

Ko imate ime omrežnega vmesnika, lahko uredite omrežno konfiguracijo računalnika.
Uredite datoteko /etc/network/interfaces in jo spremenite po naslednji predlogi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Pri čemer:

  • INTERFACE_NAME je treba zamenjati z imenom prej pridobljenega omrežnega vmesnika.
  • RIP_MED_WEB_MASTER je treba zamenjati z glavnim dejanskim naslovom IP strežnika; to bo naslov IP, prek katerega bodo dostopne spletne konzole.
  • NETMASK je treba zamenjati z omrežno masko, povezano z naslovom IP.
  • NETWORK_GATEWAY je treba zamenjati s privzetim omrežnim prehodom.
  • IP_DNS je treba zamenjati z naslovom IP strežnika DNS. Če je treba konfigurirati več strežnikov (največ 3), jih ločite s presledkom.
  • DNS_SUFFIX je treba zamenjati s pripono DNS, ki jo želite uporabiti. Če pripone ni treba vnesti, izbrišite vrstico.
  • RIP_MED_SSL_MASTER je treba zamenjati s sekundarnim dejanskim naslovom IP strežnika. To bo naslov IP, prek katerega bo dostopen SSL Router.
Primer 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Nazadnje morate le še znova zagnati storitev networking, da se naloži nova omrežna konfiguracija: 

1
systemctl restart networking

Konfiguracija statičnega omrežnega naslova za strežnik Mediation Controller je nujna. Za to morate najprej pridobiti ime omrežnega vmesnika računalnika. Kot root zaženite naslednji ukaz:

1
ip -br a | grep -ve "^lo"

Ta ukaz prikaže ime omrežnega vmesnika, njegovo stanje in naslove IP, dodeljene vmesniku.

Primer

Ko se ukaz izvede, se prikaže naslednji izhod:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Ime omrežnega vmesnika je ens192.

Ko imate ime omrežnega vmesnika, lahko uredite omrežno konfiguracijo računalnika.
Uredite datoteko /etc/network/interfaces in jo spremenite po naslednji predlogi:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Pri čemer:

  • INTERFACE_NAME je treba zamenjati z imenom prej pridobljenega omrežnega vmesnika.
  • RIP_MED_WEB_SLAVE je treba zamenjati z glavnim dejanskim naslovom IP strežnika; to bo naslov IP, prek katerega bodo dostopne spletne konzole.
  • NETMASK je treba zamenjati z omrežno masko, povezano z naslovom IP.
  • NETWORK_GATEWAY je treba zamenjati s privzetim omrežnim prehodom.
  • IP_DNS je treba zamenjati z naslovom IP strežnika DNS. Če je treba konfigurirati več strežnikov (največ 3), jih ločite s presledkom.
  • DNS_SUFFIX je treba zamenjati s pripono DNS, ki jo želite uporabiti. Če pripone ni treba vnesti, izbrišite vrstico.
  • RIP_MED_SSL_SLAVE je treba zamenjati s sekundarnim dejanskim naslovom IP strežnika. To bo naslov IP, prek katerega bo dostopen SSL Router.
Primer 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Nazadnje morate le še znova zagnati storitev networking, da se naloži nova omrežna konfiguracija: 

1
systemctl restart networking

Preostane še zadnji korak: spremenite notranje razreševanje imen računalnika, tako da bo razreševalo njegov dejanski glavni naslov IP (ki ustreza RIP_MED_WEB_MASTER ali RIP_MED_WEB_SLAVE).
Za to uredite datoteko /etc/hosts in zamenjajte 127.0.1.1 z RIP_MED_WEB_MASTER ali RIP_MED_WEB_SLAVE, odvisno od strežnika Mediation Controller.

Primer

Za strežnik Mediation Controller z dejanskim spletnim naslovom IP 10.0.10.10 in imenom mediation-controller.domain.local bo imela datoteka /etc/hosts naslednjo vrednost:

1
2
127.0.0.1       localhost
10.0.10.10      mediation-controller.domain.local   mediation-controller

Pozor!

Napačna konfiguracija datoteke lahko povzroči napako pri nameščanju paketa collectd.

Konfiguracija upravitelja paketov APT

Datoteke, prenesene s Systancia Marketplace, z odjemalcem SCP naložite v imenik /tmp/ na strežniku:

  • systancia.gpg
  • cleanroom-4.6.1-build33.1096.D12-full.tgz

Prijavite se v strežnik kot root in nato zaženite naslednje ukaze, da razširite skladišče Systancia, konfigurirate njegovo uporabo v APT in preverite njegovo pristnost.

1
2
3
4
5
mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/
mkdir -p /opt/systancia/repository/
tar xvzf /tmp/cleanroom-4.6*.tgz -C /opt/systancia/repository/
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list
apt update

Toplo priporočamo, da pri izvajanju ukazov apt onemogočite nameščanje nepotrebnih paketov. To naredite tako, da zaženete naslednji ukaz:

1
echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Preverjanje prisotnosti področnih nastavitev en_US.utf8

Za namestitev strežnika Mediation Controller je treba ustvariti področne nastavitve en_US.utf8.
Če želite preveriti, ali so v strežniku že ustvarjene, kot root zaženite naslednji ukaz:

1
locale -a  | grep en_US.utf8

Če izpis ukaza prikaže en_US.utf8, nadaljujte z naslednjim korakom, konfiguracijo programa GRUB.
V nasprotnem primeru zaženite naslednje ukaze, da te področne nastavitve dodate v računalnik:

1
2
sed -i "s/# en_US.UTF-8 UTF-8/en_US.UTF-8 UTF-8/" /etc/locale.gen
locale-gen

Konfiguracija zagonskega programa GRUB

Ko so ti ukazi izvedeni, morate po uporabi nastavitve v zagonskem programu GRUB znova zagnati računalnik:

1
2
3
sed '9s/quiet/quiet vsyscall=emulate/' -i /etc/default/grub
update-grub
reboot

Namestitev strežnika Mediation Controller za CyberElements Bastion

Namestitev osnovnih komponent

Namestitev komponent začnite z naslednjim ukazom kot root:

1
apt install -y ipdiva-base

Ko so prenesene vse odvisnosti, se odpre okno, v katerem morate izbrati vrsto strežnika. Izberite mediation:

Nato izberite način namestitve lbMaster:

Nato izberite način namestitve lbSlave:

Nato boste morali vnesti vrata, na katerih bo poslušal SSL Router. Ta vrata za poslušanje so običajno nastavljena na 443, vendar je mogoče uporabiti tudi vrata 8443, če strežnik Mediation Controller uporablja le en naslov IP:

Nato nastavite način Cluster na loadbalancing, da se obremenitev uporabnikov porazdeli na oba strežnika Mediation Controller:

Navedite navidezni spletni naslov IP gruče, VIP_MED_WEB:

Vnesite navidezni naslov IP SSL gruče, VIP_MED_SSL:

Vnesite navidezni naslov IP konfiguracijske zbirke podatkov gruče, VIP_MED_ZEO:

Vnesite dejanski spletni naslov IP strežnika Mediation Controller MASTER, RIP_MED_WEB_MASTER:

Vnesite dejanski naslov IP SSL strežnika Mediation Controller MASTER, RIP_MED_SSL_MASTER:

Vnesite dejanski spletni naslov IP strežnika Mediation Controller SLAVE, RIP_MED_WEB_SLAVE:

Na koncu vnesite dejanski naslov IP SSL strežnika Mediation Controller SLAVE, RIP_MED_SSL_SLAVE:

Kaj storiti v primeru napake?

Če so v vnesenih podatkih napake, nadaljujte namestitev paketa ipdiva-base in nato z naslednjim ukazom znova konfigurirajte strežnik:

1
dpkg-reconfigure ipdiva-base

Namestitev komponent Cluster

Po namestitvi osnovnih komponent je treba na oba strežnika Mediation Controller namestiti komponente Cluster:

1
apt install -y ipdiva-mediation-cluster

Po namestitvi komponent je potreben ponovni zagon:

1
reboot

Konfiguracija gruče

Sprememba gesla konzole /mediation/system rešitve CyberElements Gate

Na tej stopnji namestitve je na voljo nov skrbniški vmesnik: Spremenite geslo

Uporaba licenc in potrdil

Še vedno v konzoli /mediation/system morate vnesti potrdila in licence za strežnik Mediation Controller.

Pozor!

Licenca in potrdilo za SSL Router sta vezana na strežnik Mediation Controller MASTER ali SLAVE.
Če konfigurirate napačno licenco ali napačno potrdilo, bo to pozneje povzročilo nepravilno delovanje.

Uporabite licenco in potrdilo za komponento SSL Router:

  1. Kliknite zavihek Settings.
  2. V meniju izberite SSL Connections.
  3. Poiščite potrdilo za SSL Router.
  4. Vnesite geslo za potrdilo SSL Router.
  5. Kliknite Apply, da uporabite potrdilo za SSL Router.
  6. Izberite datoteko z licenco strežnika.
  7. Kliknite Modify, da uporabite licenco strežnika.

Nato vnesite podatke o potrdilu za odjemalca CyberElements Bastion:

  1. Izberite zavihek Plugin.
  2. Poiščite potrdilo odjemalca CyberElements Bastion.
  3. Vnesite geslo potrdila.
  4. Kliknite Apply, da uporabite potrdilo.

Vnesti morate še podatke o potrdilu Watchdog:

  1. Izberite zavihek Watchdog
  2. Poiščite potrdilo Watchdog.
  3. Vnesite geslo potrdila.
  4. Kliknite Apply, da uporabite potrdilo.

Da bodo te spremembe začele veljati, morate znova zagnati SSL Router in Watchdog:

Pairing strežnikov Mediation Controller

Pozor!

Na tej točki morata biti oba strežnika Mediation Controller konfigurirana do koraka uporabe licenc in potrdil.
Če strežnik Mediation Controller SLAVE še ni konfiguriran, ga konfigurirajte tako, da začnete na začetku te dokumentacije.

Korak pairinga strežnikov Mediation Controller bo vzpostavil povezavo zaupanja med obema strežnikoma in inicializiral delovanje gruče.

Na strežniku Mediation Controller SLAVE

Kot root zaženite naslednji ukaz, da strežniku Mediation Controller MASTER pošljete zahtevo za pairing:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

RIP_MED_WEB_MASTER zamenjajte z ustreznim naslovom IP.

Primer

Če je RIP_MED_WEB_MASTER enak 10.0.10.10, je ukaz, ki ga morate vnesti, naslednji:

1
hostManagerCtl bootstrap 10.0.10.10

Na strežniku Mediation Controller MASTER

Kot root zaženite naslednji ukaz, da preverite čakajoče zahteve za pairing in pridobite identifikator zahteve: 

1
hostManagerCtl getPendingRequests

Nato zaženite naslednji ukaz, da sprejmete zahtevo za pairing, pri čemer ID zamenjajte z identifikatorjem, pridobljenim s prejšnjim ukazom:

1
hostManagerCtl acceptRequest ID
Primer

Če je vrnjena vrednost ukaza hostManagerCtl getPendingRequests naslednja:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Ukaz za sprejem zahteve za pairing je torej naslednji:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

Če želite preveriti povezavo, na strežniku Mediation Controller (MASTER ali SLAVE) uporabite naslednji ukaz:

1
hostManagerCtl listPeers

Rezultat se razlikuje glede na strežnik, na katerem se ukaz izvede:

Pričakovani rezultat na strežniku Mediation Controller MASTER je naslednji:

1
slave -> RIP_MED_WEB_SLAVE
Primer 
1
slave -> 10.0.10.12

Pričakovani rezultat na strežniku Mediation Controller SLAVE je naslednji:

1
master -> RIP_MED_WEB_MASTER
Primer 
1
master -> 10.0.10.10

Na strežniku Mediation Controller SLAVE

Stanje postopka bootstrap lahko preverite s strežnika SLAVE z naslednjim ukazom:

1
hostManagerCtl getBootstrapStatus

Gruča brez težav s sinhronizacijo vrne vrednost 0.

Potreben je še zadnji niz ukazov, prav tako na strežniku SLAVE, za sinhronizacijo skupne skrivnosti med obema strežnikoma Mediation Controller:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Čemu je namenjena medstrežniška povezava?

To je posebna povezava za delovanje gruče, ki strežniku Mediation Controller omogoča usmerjanje prometa na drug strežnik Mediation Controller, kadar ciljna komponenta Edge Gateway ni povezana s prvim strežnikom, temveč samo z drugim.

Če na primer strežnik Mediation Controller MASTER ni več povezan s komponento Edge Gateway, lahko z medstrežniško povezavo doseže komponento Edge Gateway prek strežnika Mediation Controller SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Izgubljena povezava| GW(Edge Gateway)
    MASTER --> |Medstrežniška povezava| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

Na strežniku Mediation Controller MASTER

Uredite datoteko /etc/ipdiva/server/remoteServers.xml in v njej navedite CN medstrežniškega potrdila:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

SLAVECN zamenjajte s CN potrdila, namenjenega medstrežniški povezavi.
Če CN medstrežniškega potrdila ne poznate, lahko vnesete znak * (priporočeno v primeru dvoma):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Primer

Ob upoštevanju naslednjih podatkov:

  • CN medstrežniškega potrdila: my-interserver-cert

Datoteka /etc/ipdiva/server/remoteServers.xml na strežniku Mediation Controller MASTER bi bila izpolnjena takole:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Celotna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Na strežniku Mediation Controller SLAVE

Medstrežniško potrdilo pošljite v imenik /tmp/ na strežniku Mediation Controller SLAVE.
Nato kot root zaženite naslednje ukaze, da ga premaknete v ciljni imenik z ustreznimi dovoljenji:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Nato uredite datoteko /etc/ipdiva/server/remoteServers.xml in oznaki <remoteConfig> dodajte naslednjo vsebino (staro oznako <localCluster> lahko v celoti izbrišete):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Zamenjajte:

  • MASTERCN: navedite CN potrdila SSL Router strežnika Mediation Controller MASTER, ki je običajno RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: ustreza sekundarnemu naslovu IP strežnika Mediation Controller MASTER.
  • PORT_RIP_MED_SSL_MASTER: to so vrata, na katerih posluša SSL Router strežnika Mediation Controller MASTER; običajno so to vrata 443.
  • INTERSERVER.P12: ime potrdila, namenjenega medstrežniški povezavi.
  • PASSWORD: geslo medstrežniškega potrdila.
Primer

Ob upoštevanju naslednjih podatkov:

  • Ime medstrežniškega potrdila: my-interserver-cert.p12
  • Geslo medstrežniškega potrdila: MySecurePassword
  • RIP SSL strežnika Mediation Controller MASTER: 10.0.10.11
  • Vrata na RIP SSL strežnika Mediation Controller MASTER: 443
  • CN potrdila strežnika Mediation Controller MASTER: 10.0.10.11

Datoteka /etc/ipdiva/server/remoteServers.xml na strežniku Mediation Controller SLAVE bi bila izpolnjena takole:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Celotna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Spremenite konfiguracijo komponente SSL Router SLAVE tako, da zaženete naslednji ukaz:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

Na strežnikih Mediation Controller MASTER in SLAVE

Znova zaženite SSL Router, da uporabite nastavitve medstrežniške povezave:

1
/usr/local/ipdiva/server/bin/restart

Če želite potrditi, da medstrežniška povezava deluje pravilno, mora naslednji ukaz vrniti rezultat:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Prejšnji ukaz mora ustvariti vnos v dnevniku z naslednjo vsebino: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Če tak vnos v dnevniku ni prikazan, preverite konfiguracijo, nastavljeno v tem poglavju.

V spletni konzoli /mediation/system strežnika Mediation Controller MASTER

Omogočite medstrežniško povezavo med obema strežnikoma Mediation Controller tako, da uredite navideznega gostitelja SSL default:

Izpolnite posamezna polja po spodnjih navodilih in omogočite funkcijo medstrežniškega povezovanja tako, da potrdite polje Is cross-server linking configured?:

  • Public address for plugin connections: ustreza VIP_MED_SSL, ki mu sledijo njegova vrata za poslušanje (običajno 443).
  • Actual public IP addresses for web connections: ustreza paru dejanskih spletnih naslovov IP (RIP_MED_WEB_MASTER in RIP_MED_WEB_SLAVE) z ustreznimi vrati, po ena vrstica za vsak par naslova IP in vrat.
  • Actual public IP addresses for SSL connections: ustreza paru dejanskih naslovov IP SSL (RIP_MED_SSL_MASTER in RIP_MED_SSL_SLAVE) z ustreznimi vrati, po ena vrstica za vsak par naslova IP in vrat.

Namestitev komponent, značilnih za CyberElements Bastion

Z naslednjim ukazom začnite nameščati komponente CyberElements Bastion na oba strežnika Mediation Controller:

1
apt install -y ipdiva-safe-server

Za dokončanje namestitve je treba strežnika znova zagnati:

1
reboot

Povezava z zbirko podatkov PostgreSQL

CyberElements Bastion za delovanje potrebuje zunanjo zbirko podatkov PostgreSQL, v kateri hrani svoje nastavitve in različne dnevnike konzole /system.
Če je zbirka podatkov neposredno dosegljiva s strežnikov Mediation Controller, preskočite neposredno na korak inicializacije zbirke podatkov.

Povezava z zbirko podatkov v omrežju LAN

Da bi omogočili povezavo z zbirko podatkov v omrežju LAN brez odpiranja toka iz DMZ v LAN, bo tok zbirke podatkov preusmerjen prek tunela TLS med komponentami Edge Gateway in strežniki Mediation Controller.
V ta namen je treba konfigurirati eno komponento Edge Gateway (ali dve komponenti Edge Gateway) z osnovno tehnologijo CyberElements Gate.

Deklaracija komponent Edge Gateway za CyberElements Gate

To storite tako, da se najprej prijavite v konzolo /mediation/system v CyberElements Gate.

Nato odprite meni „Organizations“ in kliknite „Add“:

Vnesite ime organizacije, ki se mora razlikovati od imena, dodeljenega CyberElements Bastion (na primer tunnel), in določite vsaj eno licenco za uporabniško sejo ter geslo za račun admin:

Prijavite se v skrbniški vmesnik prej ustvarjene organizacije z računom admin tako, da odprete /gate/admin:

Nato deklarirajte obe komponenti Edge Gateway, ki bosta uporabljeni za vzpostavitev tunela.
Na levi s kazalcem pokažite na Infrastructure, kliknite Gateways in nato gumb Add:

Vnesite ime prve komponente Edge Gateway in potrdite vnos:

Informacije

Kot opomnik: ime komponente Edge Gateway je povezano s potrdilom, s katerim bo komponenta preverjala svojo pristnost pri komponenti SSL Router strežnika Mediation Controller.
To ime ima obliko <GW_NAME>@<ORGANIZATION_NAME>, pri čemer <GW_NAME> ustreza imenu komponente Edge Gateway, <ORGANIZATION_NAME> pa imenu organizacije, ustvarjene v sistemski konzoli CyberElements Gate.

Korak deklaracije komponente Edge Gateway ponovite za drugo komponento Edge Gateway.

Povezave in nastavitve tunela na komponentah Edge Gateway

Informacije

Naslednje korake lahko ponovite na obeh komponentah Edge Gateway, ki se uporabljata za tunel za dostop do zbirke podatkov.

Predpogoji

Za dokončanje tega dela boste morali uporabiti eno od naslednjih možnosti:

Najprej z orodjem, kot je WinSCP ali FileZilla, prek protokola SCP prenesite potrdilo, potrebno za povezavo, v imenik /tmp/ na komponenti Edge Gateway.

Nato se povežite prek SSH in preklopite na root.

Če želite komponento Edge Gateway povezati z obema strežnikoma Mediation Controller, morate ustvariti dva nova primerka Edge Gateway: eden se bo povezal s strežnikom Mediation Controller MASTER, drugi pa s strežnikom Mediation Controller SLAVE.
Če ju želite ustvariti, zaženite naslednje ukaze:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Datoteko potrdila kopirajte v imenika /etc/ipdiva/gateway-tunnel-master/ssl/ in /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

<CERT_NAME> zamenjajte z imenom potrdila, ki ga mora komponenta Edge Gateway uporabiti za povezavo s strežnikom Mediation Controller.

Konfigurirajte primerka Edge Gateway, da se bosta lahko povezala s strežnikoma Mediation Controller.
Konfiguraciji se razlikujeta glede na strežnik Mediation Controller, s katerim se je treba povezati. Opravite obe konfiguraciji:

Uredite datoteko /etc/ipdiva/gateway-tunnel-master/gateway.xml in jo dopolnite z naslednjimi podatki (več delov je izpuščenih in označenih z […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Zamenjajte naslednje elemente:

  • @SERVER@: treba ga je zamenjati z naslovom RIP_MED_SSL_MASTER
  • @SERVERPORT@: treba ga je zamenjati z vrati za poslušanje komponente SSL Router, ki so običajno nastavljena na 443
  • keyfile.pem: treba ga je zamenjati z imenom datoteke potrdila
  • PASSWORD: treba ga je zamenjati z geslom potrdila
  • @RPC_PORT@: treba ga je zamenjati z vrati, na katerih računalnik trenutno ne posluša; uporabite lahko vrata 9082
Primer

Ob upoštevanju naslednjih podatkov:

  • RIP_MED_SSL_MASTER ima vrednost: 10.0.10.11
  • Vrata za poslušanje komponente SSL Router: 443
  • Ime datoteke potrdila: gate-tunnel.p12
  • Geslo potrdila: Str0ngP@ssw0rd

Datoteka /etc/ipdiva/gateway-tunnel-master/gateway.xml bi bila konfigurirana takole:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Celotna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Uredite datoteko /etc/ipdiva/gateway-tunnel-slave/gateway.xml in jo dopolnite z naslednjimi podatki (več delov je izpuščenih in označenih z […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Zamenjajte naslednje elemente:

  • @SERVER@: treba ga je zamenjati z naslovom RIP_MED_SSL_SLAVE
  • @SERVERPORT@: treba ga je zamenjati z vrati za poslušanje komponente SSL Router, ki so običajno nastavljena na 443
  • keyfile.pem: treba ga je zamenjati z imenom datoteke potrdila
  • PASSWORD: treba ga je zamenjati z geslom potrdila
  • @RPC_PORT@: treba ga je zamenjati z vrati, ki trenutno niso v uporabi na računalniku; uporabite lahko vrata 9083
Primer

Ob upoštevanju naslednjih podatkov:

  • RIP_MED_SSL_SLAVE ima vrednost: 10.0.10.13
  • Vrata za poslušanje komponente SSL Router: 443
  • Ime datoteke potrdila: gate-tunnel.p12
  • Geslo potrdila: Str0ngP@ssw0rd

Datoteka /etc/ipdiva/gateway-tunnel-slave/gateway.xml bi bila konfigurirana takole:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Celotna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Ko sta primerka konfigurirana za povezavo s strežnikoma Mediation Controller, ju je treba konfigurirati še tako, da povezavo strežnikov Mediation Controller preusmerjata v zbirko podatkov.
To storite tako, da uredite datoteko /etc/ipdiva/gateway-tunnel-master/services.xml in jo spremenite takole: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

DB_SERVER zamenjajte z imenom DNS ali naslovom IP, ki se uporablja za povezavo z zbirko podatkov, DB_PORT pa z vrati za poslušanje primerka zbirke podatkov.
Te nastavitve ponovite za primerek, ki se povezuje s strežnikom Mediation Controller SLAVE, tako da kopirate datoteko:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Nazadnje zaženite primerka Edge Gateway, da vzpostavita povezavo s strežnikoma Mediation Controller:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Konfiguracija tunela strežnikov Mediation Controller

Da bosta strežnika Mediation Controller lahko uporabljala tunel, ga morate še deklarirati.
To storite tako, da se kot root prijavite v strežnika Mediation Controller in uredite datoteko /etc/ipdiva/server/services.xml, da dodate naslednji del (več delov je izpuščenih in označenih z […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Zamenjajte naslednje elemente:

  • GW1_NAME z imenom prve komponente Edge Gateway
  • GW2_NAME z imenom druge komponente Edge Gateway
  • ORGANIZATION_NAME z imenom prej ustvarjene organizacije CyberElements Gate
Primer

Ob upoštevanju naslednjih podatkov:

  • Ime komponente Edge Gateway 1: gate-tunnel-1
  • Ime komponente Edge Gateway 2: gate-tunnel-2
  • Ime organizacije CyberElements Gate: tunnel

Datoteka /etc/ipdiva/server/services.xml bi bila izpolnjena takole:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Celotna datoteka 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Za uporabo nove konfiguracije znova zaženite SSL Router z naslednjim ukazom:

1
/usr/local/ipdiva/server/bin/restart

Inicializacija zbirke podatkov

Pozor!

Zbirko podatkov default morate ustvariti, preden jo CyberElements Bastion inicializira (ne ustvari se samodejno).

Če želite inicializirati zbirko podatkov PostgreSQL za sistemsko konfiguracijo, morate najprej konfigurirati nastavitve povezave na strežnikih Mediation Controller.
To storite tako, da na obeh strežnikih uredite datoteko /etc/ipdiva/care/databasesettings.ini in dodate naslednje vnose:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Zamenjajte naslednje elemente:

  • DB_USERNAME z uporabniškim imenom, ki se uporablja za povezavo z zbirko podatkov.
  • DB_PWD z geslom uporabnika, ki se prijavlja.
  • DB_HOST z naslovom IP ali imenom DNS, ki se uporablja za povezavo z zbirko podatkov; če se uporablja povezava prek komponent Edge Gateway, morate vnesti 127.0.0.1.
  • DB_PORT z vrati, ki se uporabljajo za povezavo s primerkom zbirke podatkov; če se uporablja povezava prek komponent Edge Gateway, morate vnesti 1432.

Inicializacijo zbirke podatkov lahko zaženete z naslednjimi ukazi, ki jih izvedete samo na enem strežniku Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Nato morate le še znova zagnati storitev apache2 na obeh strežnikih Mediation Controller, da uveljavite inicializacijo sistemske zbirke podatkov:

1
systemctl restart apache2

Namestitev gonilnikov za povezovanje z zbirkami podatkov Microsoft SQL

Če se želite povezati z zunanjo zbirko podatkov, ki je Microsoft SQL Server, morate namestiti dodatne gonilnike ODBC.

Na voljo sta dve različici: različica 17 in različica 18.

Za gonilnike različice 18 je potrebna povezava TLS

Uporaba gonilnikov ODBC 18 zahteva, da je povezava šifrirana s protokolom TLS. Za to morate konfigurirati MS SQL Server za šifriranje povezav.

Preden začnete nameščati gonilnike ODBC, morate namestiti pakete, potrebne za pripravo, nato pa pripraviti skladišče Microsoft za namestitev paketov:

1
2
3
4
apt install -y curl apt-transport-https gpg
curl -fsSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor -o /usr/share/keyrings/microsoft-prod.gpg
curl https://packages.microsoft.com/config/debian/12/prod.list > /etc/apt/sources.list.d/mssql-release.list
apt update

Nato namestite gonilnike glede na izbrano različico in konfigurirajte sistem za uporabo ukaza sqlcmd:

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql17 mssql-tools python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools/bin/sqlcmd /usr/bin/sqlcmd

1
2
3
ACCEPT_EULA=Y apt install -y msodbcsql18 mssql-tools18 python3-pip
pip install mssql-scripter --break-system-packages
ln -sfn /opt/mssql-tools18/bin/sqlcmd /usr/bin/sqlcmd

Gonilniki ODBC so zdaj pravilno nameščeni.
Če ima strežnik Mediation Controller dostop do strežnika MS SQL, bi moral naslednji ukaz omogočiti povezavo z oddaljenim strežnikom: 

1
sqlcmd -S SERVER\INSTANCE_NAME,PORT -U USER

Pri čemer:

  • SERVER je treba zamenjati z imenom DNS ali naslovom IP strežnika MS SQL.
  • INSTANCE_NAME je treba zamenjati z imenom primerka, s katerim se želite povezati; če to ni potrebno, odstranite tudi znak \.
  • PORT je treba zamenjati z vrati za povezavo s primerkom zbirke podatkov MS SQL.
  • USER je treba zamenjati z uporabniškim imenom za vzpostavitev povezave.
Primeri

Recimo, da ima strežnik Mediation Controller dostop do strežnika zbirke podatkov MS SQL prek naslova IP 10.0.10.100, da primerek, do katerega želite dostopati, posluša na vratih 1433 in da je račun za dostop sql-user. Ukaz za povezavo je v tem primeru naslednji:

1
sqlcmd -S 10.0.10.100,1433 -U sql-user

Če bi bilo treba navesti primerek povezave z imenom MSSQLINSTANCE, bi bil ukaz spremenjen takole:

1
sqlcmd -S 10.0.10.100\MSSQLINSTANCE,1433 -U sql-user

Konfiguracija časovnega strežnika NTP

Priporočljivo je nastaviti časovni strežnik, da bo sistemska ura vedno točna. Potrebni koraki so opisani na strani za konfiguracijo NTP.

Začetne konfiguracije v rešitvi CyberElements Bastion

Avtorizacija dostopa do spletnih vmesnikov z navideznim naslovom IP

Privzeto povezovanje s spletnimi vmesniki izdelka CyberElements Bastion prek navideznega naslova IP VIP_MED_WEB ni dovoljeno.
Če želite dodati avtorizacijo, kot root na strežnikih Mediation Controller zaženite naslednje ukaze:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

IP zamenjajte z naslovom IP, ki ustreza VIP_MED_WEB.

Začetne konfiguracije

Na tej stopnji sta strežnika Mediation Controller nameščena, vendar je treba izvesti še več dejanj:

  • Spremenite privzeta gesla

    Spremenite privzeta gesla sistemskih konzol.

    Spremenite

  • Namestite potrdila in licence

    Strežnik Mediation Controller za delovanje potrebuje različna potrdila in licenco.
    Le potrdilo za odjemalca CyberElements Bastion je treba znova deklarirati na obeh strežnikih Mediation Controller (uporabite RIP RIP_MED_WEB_MASTER in RIP_MED_WEB_SLAVE).

    Namestite potrdila in licenco

  • Konfigurirajte spletno potrdilo

    Konfigurirajte spletno potrdilo, ki se uporablja za povezovanje s spletnimi vmesniki

    Konfigurirajte

  • Deklarirajte ime DNS

    Dodajte ime DNS, ki je avtorizirano za povezovanje s spletnimi vmesniki.

    Dodajte

  • Konfigurirajte organizacijo

    Konfigurirajte organizacijo CyberElements Bastion.

    Konfigurirajte z neposrednim dostopom do zbirke podatkov

    Konfigurirajte z dostopom do zbirke podatkov prek tunela komponent Edge Gateway

  • Deklarirajte komponente Edge Gateway

    Deklarirajte komponente Edge Gateway ali HTML5 Gateway, ki jih želite namestiti.

    Ustvarite komponente Edge Gateway

  • Ustvarite logični site

    Ustvarite in konfigurirajte logični site, ki združuje komponente Edge Gateway in HTML5 Gateway z dostopom do lokalnih virov.

    Ustvarite site

  • Namestite komponento Edge Gateway

    Namestite in konfigurirajte novo komponento Edge Gateway z na novo nameščenima strežnikoma Mediation Controller.
    Konfiguriran bo tudi primerek HTML5 Gateway.

    Namestite