Gå till innehållet

Installation av Mediation Controller-servrarna

Obs

Som påminnelse: byte till root på Debian-maskiner måste göras med följande kommando:

1
su -

Anvisningarna på den här sidan ska utföras på båda Mediation Controller-servrarna, med start på servern MASTER.
När det finns skillnader mellan servrarna MASTER och SLAVE framhålls de. Om inget nämns gäller anvisningarna både servern MASTER och servern SLAVE.

Systeminställningar

Anslutning till maskinen

Som standard finns det två konton på de virtuella appliancerna: ett användarkonto och ett superanvändarkonto.

  • Användarkonto
    • Inloggning: systancia
    • Lösenord: systnci
  • Superanvändarkonto
    • Inloggning: root
    • Lösenord: systnci

Anslut till maskinen i konsolläge.

Obs

Standardtangentbordslayouten är QWERTY.

Ändra tangentbordslayouten

Du kan ändra tangentbordslayouten med följande kommandorad:

1
dpkg-reconfigure keyboard-configuration

En meny visas där du kan välja en annan tangentbordslayout.

Använd därefter följande kommandorad för att tillämpa och spara inställningarna:

1
setupcon -k --save

Inställningarna får verkan omedelbart efter att detta kommando har körts.

Konfiguration av nätverket

Det är absolut nödvändigt att konfigurera en statisk nätverksadress för Mediation Controller. För att göra det måste du först hämta namnet på maskinens nätverksgränssnitt. Kör följande kommando som root:

1
ip -br a | grep -ve "^lo"

Kommandot visar namnet på nätverksgränssnittet, dess status och de IP-adresser som tilldelats gränssnittet.

Exempel

När kommandot har körts visas följande utdata:

1
ens192           UP             172.16.0.23/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.24/20

Nätverksgränssnittets namn är ens192.

När namnet på nätverksgränssnittet har hämtats är det nu möjligt att redigera maskinens nätverkskonfiguration.
Redigera filen /etc/network/interfaces för att ändra den enligt följande mall:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_MASTER
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_MASTER
    netmask NETMASK

Där:

  • INTERFACE_NAME ska ersättas med namnet på det nätverksgränssnitt som hämtades tidigare.
  • RIP_MED_WEB_MASTER ska ersättas med serverns verkliga huvudsakliga IP-adress, som blir den IP-adress via vilken webbkonsolerna kan nås.
  • NETMASK ska ersättas med den nätmask som hör till IP-adressen.
  • NETWORK_GATEWAY ska ersättas med nätverkets standardgateway.
  • IP_DNS ska ersättas med DNS-serverns IP-adress. Om flera servrar måste konfigureras (högst 3) separerar du dem med ett blanksteg.
  • DNS_SUFFIX ska ersättas med det DNS-suffix som ska användas. Om inget suffix behöver anges tar du bort raden.
  • RIP_MED_SSL_MASTER ska ersättas med serverns verkliga sekundära IP-adress. Det blir den IP-adress via vilken SSL Router kan nås.
Exempel 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.10
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.11
    netmask 255.255.255.0

Slutligen återstår bara att starta om tjänsten networking för att den nya nätverkskonfigurationen ska läsas in: 

1
systemctl restart networking

Det är absolut nödvändigt att konfigurera en statisk nätverksadress för Mediation Controller. För att göra det måste du först hämta namnet på maskinens nätverksgränssnitt. Kör följande kommando som root:

1
ip -br a | grep -ve "^lo"

Kommandot visar namnet på nätverksgränssnittet, dess status och de IP-adresser som tilldelats gränssnittet.

Exempel

När kommandot har körts visas följande utdata:

1
ens192           UP             172.16.0.25/20 172.16.0.27/32 172.16.0.28/32 172.16.0.29/32 172.16.0.26/20

Nätverksgränssnittets namn är ens192.

När namnet på nätverksgränssnittet har hämtats är det nu möjligt att redigera maskinens nätverkskonfiguration.
Redigera filen /etc/network/interfaces för att ändra den enligt följande mall:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto INTERFACE_NAME
iface INTERFACE_NAME inet static
    address RIP_MED_WEB_SLAVE
    netmask NETMASK
    gateway NETWORK_GATEWAY
    dns-nameservers IP_DNS_1 IP_DNS_2
    dns-search DNS_SUFFIX

# The secondary network interface
auto INTERFACE_NAME:1
iface INTERFACE_NAME:1 inet static
    address RIP_MED_SSL_SLAVE
    netmask NETMASK

Där:

  • INTERFACE_NAME ska ersättas med namnet på det nätverksgränssnitt som hämtades tidigare.
  • RIP_MED_WEB_SLAVE ska ersättas med serverns verkliga huvudsakliga IP-adress, som blir den IP-adress via vilken webbkonsolerna kan nås.
  • NETMASK ska ersättas med den nätmask som hör till IP-adressen.
  • NETWORK_GATEWAY ska ersättas med nätverkets standardgateway.
  • IP_DNS ska ersättas med DNS-serverns IP-adress. Om flera servrar måste konfigureras (högst 3) separerar du dem med ett blanksteg.
  • DNS_SUFFIX ska ersättas med det DNS-suffix som ska användas. Om inget suffix behöver anges tar du bort raden.
  • RIP_MED_SSL_SLAVE ska ersättas med serverns verkliga sekundära IP-adress. Det blir den IP-adress via vilken SSL Router kan nås.
Exempel 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
    address 10.0.10.12
    netmask 255.255.255.0
    gateway 10.0.10.254
    dns-nameservers 10.0.10.100 10.0.10.101
    dns-search domain.local

# The secondary network interface
auto eth0:1
iface eth0:1 inet static
    address 10.0.10.13
    netmask 255.255.255.0

Slutligen återstår bara att starta om tjänsten networking för att den nya nätverkskonfigurationen ska läsas in: 

1
systemctl restart networking

Tips

Nu när nätverksinställningarna har tillämpats kan servern nås via SSH.

Ändra lösenorden för de lokala kontona

Systancia rekommenderar starkt att lösenordet för dessa konton ändras när den virtuella appliancen har rullats ut.

Använd följande kommando och ange det nya lösenordet för standardkontot systancia:

1
passwd systancia

Upprepa därefter åtgärden för superanvändarkontot root:

1
passwd root

Konfigurera maskinnamnet

Du kan ändra namnet på servern genom att konfigurera filerna hostname och hosts på servern.

Redigera filen /etc/hostname för att ange namnet på maskinen.
Produkten behöver det nya namnet på en annan plats, så en kopia av den föregående filen måste göras med följande kommando:

1
cp /etc/hostname /var/ipdiva/zopeChroot/etc/hostname

Konfigurationen av filen /etc/hosts måste göras även i förhållande till maskinens verkliga huvudsakliga IP-adress (RIP_MED_WEB_MASTER).
Redigera då filen /etc/hosts och kontrollera att den andra raden har följande format:

2
RIP_MED_WEB_MASTER  FQDN    MACHINE_NAME
Example

Om maskinen heter MEDIATION-CONTROLLER-MASTER utan att tillhöra en domän och dess verkliga IP-adress RIP_MED_WEB_MASTER är 10.0.10.10, ska filen fyllas i på följande sätt:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER

Om maskinen tillhör domänen DOMAIN.LOCAL ska filen fyllas i på följande sätt:

2
10.0.10.10  MEDIATION-CONTROLLER-MASTER.DOMAIN.LOCAL   MEDIATION-CONTROLLER-MASTER

Konfigurationen av filen /etc/hosts måste göras även i förhållande till maskinens verkliga huvudsakliga IP-adress (RIP_MED_WEB_SLAVE).
Redigera då filen /etc/hosts och kontrollera att den andra raden har följande format:

2
RIP_MED_WEB_SLAVE  FQDN    MACHINE_NAME
Example

Om maskinen heter MEDIATION-CONTROLLER-SLAVE utan att tillhöra en domän och dess verkliga IP-adress RIP_MED_WEB_SLAVE är 10.0.10.12, ska filen fyllas i på följande sätt:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE

Om maskinen tillhör domänen DOMAIN.LOCAL ska filen fyllas i på följande sätt:

2
10.0.10.12  MEDIATION-CONTROLLER-SLAVE.DOMAIN.LOCAL   MEDIATION-CONTROLLER-SLAVE

För att tillämpa den nya konfigurationen startar du om servern:

1
reboot

Ändring av tidszonen

Som standard är den virtuella appliancen inställd på tidszonen Europe/Paris.

För att ändra denna tidszon, hämta först syntaxen för de tillgängliga tidszonerna med följande kommando:

1
timedatectl list-timezones

Använd därefter följande kommandorad:

1
timedatectl set-timezone your_time_zone
Exempel

För att ställa in tidszonen på London måste följande kommando köras:

1
timedatectl set-timezone Europe/London

Kontrollera serverns tidszon med följande kommandorad:

1
timedatectl

Initiering av Mediation Controller-servern

Initiering av Mediation Controller-servern

Mediation Controller-servern initieras med ett konfigurationsskript. Skriptet konfigurerar om IP-adresserna för clustret i produktens olika tjänster och förkonfigurerar de parametrar som krävs för att en HTML5 Gateway ska fungera.
Kör det med följande kommandorad som root:

1
/opt/systancia/initializeCluster

Skriptet ber dig ange följande information:

  • IP VIP HTTPS: virtuell webb-IP-adress för clustret, det vill säga VIP_MED_WEB.
  • IP VIP SSL: virtuell SSL-IP-adress för clustret, det vill säga VIP_MED_SSL.
  • IP VIP ZIO: virtuell IP-adress för anslutningen från Mediation Controller-servern SLAVE till den interna konfigurationsdatabasen på servern MASTER, det vill säga VIP_MED_ZEO.
  • IP Master HTTPS: verklig webb-IP-adress för Mediation Controller-servern MASTER, det vill säga RIP_MED_WEB_MASTER.
  • IP Master SSL: verklig IP-adress för SSL-routern på Mediation Controller-servern MASTER, det vill säga RIP_MED_SSL_MASTER.
  • IP Slave HTTPS: verklig webb-IP-adress för Mediation Controller-servern SLAVE, det vill säga RIP_MED_WEB_SLAVE.
  • IP Slave SSL: verklig IP-adress för SSL-routern på Mediation Controller-servern SLAVE, det vill säga RIP_MED_SSL_SLAVE.
  • HTML5 port: lokal lyssningsport för omdirigering av åtkomsten till HTML5 Gateway-tjänsten; vi rekommenderar att du anger porten 1234.
  • Gateway: namn på Edge Gateway; ange namnet på den första Edge Gateway.
  • Organization: namn på den organisation som Edge Gateways och HTML5 Gateways ansluter till.

Starta om servern när initieringen är klar:

1
reboot

Ändra lösenordet för konsolen /mediation/system i CyberElements Gate

I det här skedet av installationen finns ett nytt administrationsgränssnitt tillgängligt: Ändra lösenord

Tillämpa licenser och certifikat

Fortsatt i konsolen /mediation/system behöver du ange certifikaten och licenserna för Mediation Controller-servern.

Observera!

Licensen och certifikatet för SSL Router är specifika för Mediation Controller-servern MASTER eller SLAVE.
Att konfigurera fel licens eller fel certifikat orsakar funktionsfel senare.

Tillämpa licensen och certifikatet för komponenten SSL Router:

  1. Klicka på fliken Settings.
  2. Välj SSL Connections i menyn.
  3. Sök efter certifikatet för SSL Router.
  4. Ange lösenordet för SSL Router-certifikatet.
  5. Klicka på Apply för att tillämpa certifikatet på SSL-routern.
  6. Välj serverns licensfil.
  7. Klicka på Modify för att tillämpa serverns licens.

Ange därefter informationen om certifikatet för CyberElements Bastion-klienten:

  1. Välj fliken Plugin.
  2. Sök efter certifikatet för CyberElements Bastion-klienten.
  3. Ange lösenordet för certifikatet.
  4. Klicka på Apply för att tillämpa certifikatet.

Det återstår att ange informationen om Watchdog-certifikatet:

  1. Välj fliken Watchdog
  2. Sök efter Watchdog-certifikatet.
  3. Ange lösenordet för certifikatet.
  4. Klicka på Apply för att tillämpa certifikatet.

För att dessa ändringar ska börja gälla måste du starta om SSL Router och Watchdog:

Pairing av Mediation Controller-servrarna

Observera!

Vid det här laget måste båda Mediation Controller-servrarna ha konfigurerats fram till tillämpningen av licenser och certifikat.
Om Mediation Controller-servern SLAVE ännu inte har konfigurerats gör du det genom att börja från början av den här dokumentationen.

Steget för pairing av Mediation Controller-servrarna upprättar en förtroendelänk mellan de två servrarna och initierar cluster-driften.

På Mediation Controller-servern SLAVE

Kör följande kommando som root för att skicka en pairing-begäran till Mediation Controller-servern MASTER:

1
hostManagerCtl bootstrap RIP_MED_WEB_MASTER

Ersätt RIP_MED_WEB_MASTER med den aktuella IP-adressen.

Exempel

Om RIP_MED_WEB_MASTER är 10.0.10.10 blir kommandot som ska anges följande:

1
hostManagerCtl bootstrap 10.0.10.10

På Mediation Controller-servern MASTER

Kör följande kommando som root för att visa väntande pairing-begäranden och hämta begärans identifierare: 

1
hostManagerCtl getPendingRequests

Kör därefter följande kommando för att godkänna pairing-begäran och ersätt ID med den identifierare som hämtades med det föregående kommandot:

1
hostManagerCtl acceptRequest ID
Exempel

Om resultatet av kommandot hostManagerCtl getPendingRequests är följande:

1
2
3
                  id          name      url
===============================================================
900elffl744ph7vpn6kepiswdh1rncd73            slave      https://10.0.10.12:9060/

Då blir kommandot för att godkänna pairing-begäran följande:

1
hostManagerCtl acceptRequest 900elffl744ph7vpn6kepiswdh1rncd73

För att kontrollera kopplingen använder du följande kommando på Mediation Controller-servern (antingen MASTER eller SLAVE):

1
hostManagerCtl listPeers

Resultatet skiljer sig beroende på vilken server kommandot körs på:

Det förväntade resultatet på Mediation Controller-servern MASTER är följande:

1
slave -> RIP_MED_WEB_SLAVE
Exempel 
1
slave -> 10.0.10.12

Det förväntade resultatet på Mediation Controller-servern SLAVE är följande:

1
master -> RIP_MED_WEB_MASTER
Exempel 
1
master -> 10.0.10.10

På Mediation Controller-servern SLAVE

Du kan kontrollera bootstrap-statusen från servern SLAVE med följande kommando:

1
hostManagerCtl getBootstrapStatus

Ett cluster som inte har några synkroniseringsproblem returnerar värdet 0.

En sista serie kommandon krävs, även den på servern SLAVE, för att synkronisera en hemlighet som delas mellan de båda Mediation Controller-servrarna:

1
2
hostManagerCtl masterSynchro /etc/ipdiva/secure/secret /etc/ipdiva/secure/secret
systemctl restart apache2
Vad används anslutningen mellan servrarna till?

Det är en särskild anslutning i cluster-driften som gör det möjligt för en Mediation Controller-server att dirigera trafiken till en annan Mediation Controller-server när den Edge Gateway som är mål inte är ansluten till den första servern utan endast till den andra.

Om till exempel Mediation Controller-servern MASTER inte längre är ansluten till Edge Gateway kan den använda anslutningen mellan servrarna för att nå den via Mediation Controller-servern SLAVE.

flowchart LR
    MASTER(Mediation Controller<br/>MASTER) --x |Anslutning förlorad| GW(Edge Gateway)
    MASTER --> |Länk mellan servrar| SLAVE(Mediation Controller<br/>SLAVE) --> GW
Hold "Ctrl" to enable pan & zoom

På Mediation Controller-servern MASTER

Redigera filen /etc/ipdiva/server/remoteServers.xml för att ange CN för interserver-certifikatet:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='SLAVECN'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

Ersätt SLAVECN med CN för det certifikat som är avsett för anslutningen mellan servrarna.
Om du inte känner till CN för interserver-certifikatet kan tecknet * anges (rekommenderas vid tvekan):

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='*'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Exempel

Med hänsyn till följande information:

  • CN för interserver-certifikatet: my-interserver-cert

Filen /etc/ipdiva/server/remoteServers.xml på Mediation Controller-servern MASTER ska fyllas i på följande sätt:

1
2
3
4
5
6
7
8
9
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='my-interserver-cert'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->
Fullständig fil 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='interserver-documentation-cluster'>
                <!-- this example uses the listening certificate, so it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl"/>
                -->

                <!-- in this example we use a custom certificate, it MUST have the CLIENT role
                     to be usable
                        <remoteServer connect="192.168.0.123:443:ssl">
                                <cert>/etc/ipdiva/server/ssl/interserver.p12</cert>
                <password>s3cr3t</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                                <min-version>tls1.3</min-version>
                                <max-version></max-version>
                                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>MASTERCN</cert-peername>
                        </remoteServer>
                -->
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

På Mediation Controller-servern SLAVE

Skicka interserver-certifikatet till Mediation Controller SLAVE i katalogen /tmp/.
Kör därefter följande kommandon som root för att flytta det till målkatalogen med rätt behörigheter:

1
2
3
mv /tmp/*.p12 /etc/ipdiva/server/ssl/
chown root:ipdivasrv /etc/ipdiva/server/ssl/*.p12
chmod 640 /etc/ipdiva/server/ssl/*.p12

Redigera därefter filen /etc/ipdiva/server/remoteServers.xml för att lägga till följande innehåll i taggen <remoteConfig> (den gamla taggen <localCluster> kan tas bort helt):

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='MASTERCN'>
    <remoteServer connect="RIP_MED_SSL_MASTER:PORT_RIP_MED_SSL_MASTER:ssl">
        <cert>/etc/ipdiva/server/ssl/INTERSERVER.P12</cert>
        <password>PASSWORD</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>MASTERCN</cert-peername>
    </remoteServer>
</localCluster>

Ersätt:

  • MASTERCN: ange CN för SSL Router-certifikatet för Mediation Controller MASTER; det är vanligtvis RIP_MED_SSL_MASTER.
  • RIP_MED_SSL_MASTER: motsvarar den sekundära IP-adressen för Mediation Controller MASTER.
  • PORT_RIP_MED_SSL_MASTER: detta är den port som SSL-routern för Mediation Controller MASTER lyssnar på; vanligtvis är det 443.
  • INTERSERVER.P12: namn på det certifikat som är avsett för anslutningen mellan servrarna.
  • PASSWORD: lösenord för interserver-certifikatet.
Exempel

Med hänsyn till följande information:

  • Namn på interserver-certifikatet: my-interserver-cert.p12
  • Lösenord för interserver-certifikatet: MySecurePassword
  • RIP SSL för Mediation Controller MASTER: 10.0.10.11
  • Port på RIP SSL för Mediation Controller MASTER: 443
  • CN för certifikatet för Mediation Controller MASTER: 10.0.10.11

Filen /etc/ipdiva/server/remoteServers.xml på Mediation Controller-servern SLAVE ska fyllas i på följande sätt:

 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
<localCluster allowed-cns='10.0.10.11'>
    <remoteServer connect="10.0.10.11:443:ssl">
        <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
        <password>MySecurePassword</password>
        <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
        <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
        <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
        <use-cn>no</use-cn>
        <verify-cert>true</verify-cert>
        <verify-certhostnamematch>true</verify-certhostnamematch>
        <cert-peername>10.0.10.11</cert-peername>
    </remoteServer>
</localCluster>
Fullständig fil 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
<remoteConfig>
        <!-- allowed CNs can be specified as a semi-colon separed list, by default
                all CNs are allowed
         -->
        <localCluster allowed-cns='10.0.10.11'>
            <remoteServer connect="10.0.10.11:443:ssl">
                <cert>/etc/ipdiva/server/ssl/my-interserver-cert.p12</cert>
                <password>MySecurePassword</password>
                <ca-dir>/etc/ipdiva/server/ssl/ca</ca-dir>
                <crl-dir>/etc/ipdiva/server/ssl/crl</crl-dir>
                <cipherlist>!ADH:RSA+AES:kEDH+AES</cipherlist>
                <use-cn>no</use-cn>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
                <cert-peername>10.0.10.11</cert-peername>
            </remoteServer>
        </localCluster>

        <!--
                Intersites connections
        -->
        <intersites localSiteName='localSite1'>
                <!-- An accepted remote connection
                        name : the name of the accepted remote site
                        password : the associated password
                        pattern : a list of pattern of allowed peers for this remote site (separated by ;)
                -->
                <!-- <accept name='david-desktop' password='passwd' pattern='S:[^@]+@ipdiva'/> -->

                <!-- A connection to a remote site
                        name : is the name of the remoteSite
                        password : the password to use to connect
                        pattern : a list of pattern (regex) of the gateway that could be addressed via this link (separated by ;)
                        connect : a connection URL

                        the body can contain traditional TlsData parameters:
                            <cert>file.p12</cert>
                            <password>....</password>
                            <cadir>....</cadir>
                -->
                <!--
                        <remoteSite name='remoteSiteName'
                                        password='mypass'
                                        pattern='S:gw1@ipdiva;S:gw2@ipdiva'
                                        connect="192.168.0.168:9002" />
                -->
        </intersites>


</remoteConfig>

Ändra konfigurationen av SSL-routern SLAVE genom att köra följande kommando:

1
sed -i '8i\\t<network-id>1</network-id>' /etc/ipdiva/server/server.xml

På Mediation Controller-servrarna MASTER och SLAVE

Starta om SSL Router för att tillämpa inställningarna för anslutningen mellan servrarna:

1
/usr/local/ipdiva/server/bin/restart

För att bekräfta att anslutningen mellan servrarna fungerar korrekt ska följande kommando returnera ett resultat:

1
grep floodWithLocalInfos /var/log/IPdivaServer.log

Det föregående kommandot ska producera en logg som innehåller följande: TRACE Router.floodWithLocalInfos sent 0 peer(s), 0 foreignPeers, and 0 multicast group(s).
Om ingen sådan logg visas kontrollerar du den konfiguration som gjordes i det här kapitlet.

I webbkonsolen /mediation/system för Mediation Controller MASTER

Aktivera anslutningen mellan de två Mediation Controller-servrarna genom att redigera den virtuella SSL-värden default:

Fyll i de olika fälten enligt anvisningarna nedan och aktivera funktionen för anslutning mellan servrarna genom att markera kryssrutan Is cross-server linking configured?:

  • Public address for plugin connections: motsvarar VIP_MED_SSL följt av dess lyssningsport (vanligtvis 443).
  • Actual public IP addresses for web connections: motsvarar paret med verkliga webb-IP-adresser (RIP_MED_WEB_MASTER och RIP_MED_WEB_SLAVE) med sina respektive portar, en rad per par av IP-adress och port.
  • Actual public IP addresses for SSL connections: motsvarar paret med verkliga SSL-IP-adresser (RIP_MED_SSL_MASTER och RIP_MED_SSL_SLAVE) med sina respektive portar, en rad per par av IP-adress och port.

Initiering av CyberElements Bastion

Anslutning till PostgreSQL-databasen

För att fungera kräver CyberElements Bastion att en extern PostgreSQL-databas (DB) används för att lagra dess inställningar och de olika loggarna i konsolen /system.
Om DB:n är direkt åtkomlig från Mediation Controller-servrarna går du direkt till steget för initiering av DB:n.

Anslutning till en databas i LAN

För att möjliggöra anslutning till en databas i LAN utan att öppna ett flöde från DMZ till LAN, omdirigeras databasflödet genom en TLS-tunnel mellan Edge Gateways och Mediation Controller-servrarna.
För att åstadkomma det är det nödvändigt att konfigurera en Edge Gateway (eller två Edge Gateways) med den underliggande tekniken CyberElements Gate.

Deklaration av Edge Gateways i CyberElements Gate

Börja med att logga in på konsolen /mediation/system i CyberElements Gate.

Öppna sedan menyn ”Organizations” och klicka på ”Add”:

Ange namnet på organisationen, som måste skilja sig från det som tilldelats CyberElements Bastion (till exempel tunnel), och ange minst en licens för användarsessioner tillsammans med lösenordet för kontot admin:

Logga in på administrationsgränssnittet för den organisation du skapade tidigare med kontot admin genom att gå till /gate/admin:

Deklarera därefter de båda Edge Gateway som ska användas för att upprätta tunneln.
Håll pekaren över Infrastructure till vänster, klicka på Gateways och klicka sedan på knappen Add:

Ange namnet på den första Edge Gateway och bekräfta inmatningen:

Information

Som påminnelse: namnet på en Edge Gateway är kopplat till det certifikat som den använder för att autentisera sig mot SSL Router för Mediation Controller.
Namnet har följande form <GW_NAME>@<ORGANIZATION_NAME>, där <GW_NAME> motsvarar namnet på Edge Gateway och där <ORGANIZATION_NAME> motsvarar namnet på den organisation som skapats i systemkonsolen för CyberElements Gate.

Upprepa steget för deklaration av Edge Gateway för den andra Edge Gateway.

Anslutningar och inställningar för tunneln på Edge Gateways

Information

Följande steg kan utföras på båda de Edge Gateway som används för tunneln till databasen.

Förutsättningar

För att slutföra den här delen behöver du använda något av följande:

Använd först ett verktyg som WinSCP eller FileZilla för att överföra det certifikat som krävs för anslutningen till katalogen /tmp/ på Edge Gateway via SCP.

Anslut därefter via SSH och byt till root.

För att ansluta Edge Gateway till båda Mediation Controller-servrarna måste du skapa två nya Edge Gateway-instanser: den ena ansluter till Mediation Controller MASTER och den andra till Mediation Controller SLAVE.
Kör följande kommandon för att skapa dem:

1
2
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-master
/usr/local/ipdiva/gateway/bin/gatewayCloner -tunnel-slave

Kopiera certifikatfilen till katalogerna /etc/ipdiva/gateway-tunnel-master/ssl/ och /etc/ipdiva/gateway-tunnel-slave/ssl/:

1
2
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-master/ssl/
cp /tmp/<CERT_NAME> /etc/ipdiva/gateway-tunnel-slave/ssl/

Ersätt <CERT_NAME> med namnet på det certifikat som Edge Gateway måste använda för att ansluta till Mediation Controller.

Konfigurera Edge Gateway-instanserna så att de kan ansluta till Mediation Controller-servrarna.
Konfigurationerna skiljer sig beroende på vilken Mediation Controller som ska kontaktas. Gör båda inställningarna:

Redigera filen /etc/ipdiva/gateway-tunnel-master/gateway.xml och fyll i den med följande information (flera avsnitt har utelämnats och markeras med […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Ersätt följande element:

  • @SERVER@: ska ersättas med adressen RIP_MED_SSL_MASTER
  • @SERVERPORT@: ska ersättas med lyssningsporten för SSL Router, normalt satt till 443
  • keyfile.pem: ska ersättas med namnet på certifikatfilen
  • PASSWORD: ska ersättas med lösenordet för certifikatet
  • @RPC_PORT@: ska ersättas med en port som maskinen inte lyssnar på för närvarande; porten 9082 kan användas
Exempel

Med hänsyn till följande information:

  • RIP_MED_SSL_MASTER är lika med: 10.0.10.11
  • Lyssningsport för SSL Router: 443
  • Namn på certifikatfilen: gate-tunnel.p12
  • Lösenord för certifikatet: Str0ngP@ssw0rd

Filen /etc/ipdiva/gateway-tunnel-master/gateway.xml ska konfigureras på följande sätt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.11:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9082</rpc-listen>
[…]
</gateway>
Fullständig fil 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.11:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-master/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-master/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9082</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-master/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Redigera filen /etc/ipdiva/gateway-tunnel-slave/gateway.xml och fyll i den med följande information (flera avsnitt har utelämnats och markeras med […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>@SERVER@:@SERVERPORT@:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/keyfile.pem</cert>
        <password>PASSWORD</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:@RPC_PORT@</rpc-listen>
[…]
</gateway>

Ersätt följande element:

  • @SERVER@: ska ersättas med adressen RIP_MED_SSL_SLAVE
  • @SERVERPORT@: ska ersättas med lyssningsporten för SSL Router, normalt satt till 443
  • keyfile.pem: ska ersättas med namnet på certifikatfilen
  • PASSWORD: ska ersättas med lösenordet för certifikatet
  • @RPC_PORT@: ska ersättas med en port som inte används på maskinen för närvarande; porten 9083 kan användas
Exempel

Med hänsyn till följande information:

  • RIP_MED_SSL_SLAVE är lika med: 10.0.10.13
  • Lyssningsport för SSL Router: 443
  • Namn på certifikatfilen: gate-tunnel.p12
  • Lösenord för certifikatet: Str0ngP@ssw0rd

Filen /etc/ipdiva/gateway-tunnel-slave/gateway.xml ska konfigureras på följande sätt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
<gateway>
    <server>10.0.10.13:443:ssl</server>
[…]
    <ssl>
        <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
        <password>Str0ngP@ssw0rd</password>
[…]
    </ssl>
[…]
    <rpc-listen>127.0.0.1:9083</rpc-listen>
[…]
</gateway>
Fullständig fil 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<gateway>
        <server>10.0.10.13:443:ssl</server>
        <pipe>
                <ping-timeout>60000</ping-timeout>
                <rout-max-lock>20000</rout-max-lock>
        </pipe>
        <timeout>
                <reconnect>15000</reconnect>
        </timeout>
        <ticket><hmac></hmac></ticket>
        <proxy>
                <type>no</type>
                <address></address>
                <login></login>
                <password></password>
                <domain></domain>
        </proxy>
        <periodic-licence-check>false</periodic-licence-check>
        <session>
           <sslconf name="default">
              <ca-dir>/etc/ssl/certs</ca-dir>
              <verify-cert>true</verify-cert>
           </sslconf>
        </session>
        <ssl>
                <cert>/etc/ipdiva/gateway-tunnel-slave/ssl/gate-tunnel.p12</cert>
                <password>Str0ngP@ssw0rd</password>
                <ca-dir>/etc/ipdiva/gateway-tunnel-slave/ssl/ca</ca-dir>
                <min-version>tls1.3</min-version>
                <max-version></max-version>
                <cipherlist>!ADH:!AECDH:!MD5:kEECDH+AES:kEDH+AES:AES256+RSA:3DES+RSA</cipherlist>
                <cipherlist-tls1.3>TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256</cipherlist-tls1.3>
                <verify-cert>true</verify-cert>
                <verify-certhostnamematch>true</verify-certhostnamematch>
        </ssl>
        <webaccess>
                <proxy></proxy>
                <useragent>true</useragent>
                <autoauth>true</autoauth>
                <forceauth>false</forceauth>
                <forcebasic>false</forcebasic>
                <persistentbasicauth>true</persistentbasicauth>
                <cache-date>Thu, 14 Dec 2006 09:28:00 GMT</cache-date>
                <reverse-proxy>
                        <headers>
                                <x-forwarded-for enabled='false'/>
                                <x-forwarded-host enabled='false'/>
                        </headers>
                </reverse-proxy>
                <davenport compatibilityMode="false">127.0.0.1:8070</davenport>
        </webaccess>
        <rpc-listen>127.0.0.1:9083</rpc-listen>
        <network-id></network-id>
        <services>/etc/ipdiva/gateway-tunnel-slave/services.xml</services>
        <compression>zlib</compression>
        <vlan>
                <prefixe></prefixe>
        </vlan>

        <openvpn>
                <ssl>
                        <cert>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/allInOne.pem</cert>
                        <ca-file>/usr/local/ipdiva/share/gw-controller-openvpnng/keys/tmp-ca.crt</ca-file>
                        <version>tls1</version>
                </ssl>
                <client-ov>
                        <ip-type>V4</ip-type>
                        <dev-type>tun</dev-type>
                        <link-mtu>1507</link-mtu>
                        <tun-mtu>1500</tun-mtu>
                        <proto>TCPv4_CLIENT</proto>
                        <cipher>[null-cipher]</cipher>
                        <auth>[null-digest]</auth>
                        <keysize>0</keysize>
                        <key-method>2</key-method>
                        <tls-type>tls-client</tls-type>
                </client-ov>
        </openvpn>
    <useoldprotocol>false</useoldprotocol>
    <rate>0</rate>
</gateway>

Nu när instanserna är konfigurerade för att ansluta till Mediation Controller-servrarna behöver de fortfarande konfigureras för att omdirigera anslutningen från Mediation Controller till databasen.
För att göra det redigerar du filen /etc/ipdiva/gateway-tunnel-master/services.xml och ändrar den på följande sätt: 

1
2
3
4
5
6
7
8
9
<services>
    <out>
        <service>
            <name>DB</name>
            <protocol>tcp</protocol>
            <connect>DB_SERVER:DB_PORT</connect>
        </service>
    </out>
</services>

Ersätt DB_SERVER med det DNS-namn eller den IP-adress som används för att ansluta till databasen, och DB_PORT med lyssningsporten för databasinstansen.
Upprepa den här konfigurationen för den instans som ansluter till Mediation Controller-servern SLAVE genom att kopiera filen:

1
cp /etc/ipdiva/gateway-tunnel-master/services.xml /etc/ipdiva/gateway-tunnel-slave/

Starta slutligen Edge Gateway-instanserna så att de upprättar anslutningen till Mediation Controller-servrarna:

1
2
/usr/local/ipdiva/gateway-tunnel-master/bin/start
/usr/local/ipdiva/gateway-tunnel-slave/bin/start
Konfigurera tunneln på Mediation Controller-servrarna

För att tunneln ska kunna användas av Mediation Controller-servrarna måste dess existens fortfarande deklareras.
För att göra det loggar du in som root på Mediation Controller-servrarna och redigerar filen /etc/ipdiva/server/services.xml för att lägga till följande avsnitt (flera avsnitt har utelämnats och markeras med […]):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>GW1_NAME@ORGANIZATION_NAME</gateway>
            <gateway>GW2_NAME@ORGANIZATION_NAME</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

Ersätt följande element:

  • GW1_NAME med namnet på den första Edge Gateway
  • GW2_NAME med namnet på den andra Edge Gateway
  • ORGANIZATION_NAME med namnet på den CyberElements Gate-organisation som skapades tidigare
Exempel

Med hänsyn till följande information:

  • Namn på Edge Gateway 1: gate-tunnel-1
  • Namn på Edge Gateway 2: gate-tunnel-2
  • Namn på organisationen CyberElements Gate: tunnel

Filen /etc/ipdiva/server/services.xml ska fyllas i på följande sätt:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
<services>
[…]
    <in>
[…]
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>
Fullständig fil 
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<services>
    <out>
        <service>
            <name>ntp</name>
            <protocol>udp</protocol>
            <connect>127.0.0.1:123</connect>
        </service>
        <service>
            <name>logging</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:1514</connect>
        </service>
        <service>
            <name>clreanroom_acm</name>
            <protocol>tcp</protocol>
            <connect>127.0.0.1:8001</connect>
        </service>
    </out>
    <in>
        <service>
            <gateway>edge-gateway-1@my-organization-name</gateway>
            <protocol>tcp</protocol>
            <name>HTML5</name>
            <listen>127.0.0.1:1234</listen>
            <must-exist>true</must-exist>
        </service>
        <service>
            <name>DB</name>
            <gateway>gate-tunnel-1@tunnel</gateway>
            <gateway>gate-tunnel-2@tunnel</gateway>
            <protocol>tcp</protocol>
            <listen>127.0.0.1:1432</listen>
            <must-exist>true</must-exist>
        </service>
    </in>
</services>

För att tillämpa den nya konfigurationen startar du om SSL Router med följande kommando:

1
/usr/local/ipdiva/server/bin/restart

Initiering av databasen

Observera!

Du måste skapa databasen default innan CyberElements Bastion initierar den (den skapas inte automatiskt).

För att initiera PostgreSQL-databasen för systemkonfigurationen måste du först konfigurera anslutningsinställningarna på Mediation Controller-servrarna.
För att göra det redigerar du filen /etc/ipdiva/care/databasesettings.ini på båda servrarna och lägger till följande poster:

2
3
4
5
6
7
8
9
[database]

ENGINE:django.db.backends.postgresql
NAME:default
USER:DB_USERNAME
PASSWORD:DB_PWD
HOST:DB_HOST
PORT:DB_PORT

Ersätt följande element:

  • DB_USERNAME med det användarnamn som används för att ansluta till databasen.
  • DB_PWD med lösenordet för den användare som ansluter.
  • DB_HOST med den IP-adress eller det DNS-namn som används för att ansluta till databasen; om en anslutning via Edge Gateway används ska du ange 127.0.0.1.
  • DB_PORT med den port som används för att ansluta till databasinstansen; om en anslutning via Edge Gateway används ska du ange 1432.

Initieringen av databasen kan startas med följande kommandon, som endast ska köras på en Mediation Controller:

1
2
cd /var/lib/ipdiva/care/
python3 manage.py migrate

Därefter återstår bara att starta om tjänsten apache2 på båda Mediation Controller-servrarna för att tillämpa initieringen av systemdatabasen:

1
systemctl restart apache2

Konfiguration av en NTP-tidsserver

Det rekommenderas att du sätter upp en tidsserver för att hålla systemklockan uppdaterad. De steg som krävs beskrivs på sidan om NTP-konfiguration.

Inledande konfigurationer av CyberElements Bastion

Auktorisering av åtkomst till webbgränssnitten med den virtuella IP-adressen

Som standard är det inte tillåtet att ansluta till webbgränssnitten för produkten CyberElements Bastion med den virtuella IP-adressen VIP_MED_WEB.
För att lägga till auktoriseringen kör du följande kommandon som root på Mediation Controller-servrarna:

1
2
sed -i '2s/$/, IP/' /etc/ipdiva/care/djangosettings.ini
systemctl restart apache2

Ersätt IP med den IP-adress som motsvarar VIP_MED_WEB.

Inledande konfigurationer

I det här skedet är Mediation Controller-servrarna installerade, men flera åtgärder återstår:

  • Ändra standardlösenorden

    Ändra standardlösenorden för systemkonsolerna.

    Ändra

  • Installera certifikaten och licenserna

    Mediation Controller kräver olika certifikat och en licens för att vara driftklar.
    Endast certifikatet för klienten CyberElements Bastion behöver deklareras om på båda Mediation Controller-servrarna (använd RIP RIP_MED_WEB_MASTER och RIP_MED_WEB_SLAVE).

    Installera certifikaten och licensen

  • Konfigurera webbcertifikatet

    Konfigurera det webbcertifikat som används för att ansluta till webbgränssnitten

    Konfigurera

  • Deklarera ett DNS-namn

    Lägg till ett DNS-namn som har behörighet att ansluta till webbgränssnitten.

    Lägg till