Vaihe 2: Yhdyskäytävän asennus ja määritys

Kun yhdyskäytävä ja laitteet on määritetty SDA Consolessa, seuraava vaihe on SDA Glue -palvelun asentaminen valitsemallesi yhdyskäytävälaitteistolle. Asennusprosessi eroaa Linux- ja Windows-järjestelmien välillä, mutta molemmat lähestymistavat noudattavat samaa perusperiaatetta: ladataan ja määritetään palvelu, joka toimii jatkuvasti taustalla valmiina muodostamaan suojattuja tunneleita tarvittaessa.

Asennus

Asennusprosessi koostuu kahdesta päävaiheesta:

1. Asenna SDA Glue ja riippuvuudet kohdejärjestelmään.
2. Määritä palvelu SDA Consolen yksilöllisillä tunnistetiedoilla, jotka todentavat tietyn yhdyskäytävän.

Varmista ennen asennuksen aloittamista, että sinulla on järjestelmänvalvojan oikeudet kohdejärjestelmässä. Asennusprosessi edellyttää korotettuja oikeuksia järjestelmäpalvelun asentamiseksi. Linuxissa tarvitset sudo-oikeudet. Windowsissa sinun on suoritettava PowerShell järjestelmänvalvojana.

varoitus

Asennusprosessi tukee proxy-ympäristöjä, mutta se vaatii lisämäärityksiä, jotka kuvaamme kussakin alustakohtaisessa osiossa.

Linux

Asenna SDA Glue Linux-järjestelmään, jolla on suora internetyhteys, suorittamalla seuraava komento päätteessä:

curl -sSL 'https://api.eu1.sdaconsole.io/glue/v1/install.sh' | bash -

Tämä komento hakee curlin avulla asennusskriptin turvallisesti suoraan SDA:n API-päätepisteestä ja ohjaa sen bashille välitöntä suoritusta varten. -sSL-liput varmistavat, että siirto on hiljainen, näyttää mahdolliset virheet ja seuraa uudelleenohjauksia turvallisesti.

Tietoja Linux-asennusprosessista

Linux-asennus käyttää automatisoitua shell-skriptiä, joka hoitaa SDA Glue -palvelun monivaiheisen rakentamisen ja määrityksen. Skripti suorittaa useita kriittisiä tehtäviä: se asentaa tarvittavat ajonaikaiset riippuvuudet ja käännöstyökalut, lataa ja kääntää SoftEther VPN Clientin SDA:n suojatusta arkistosta sekä asentaa SDA Gluen systemd-palveluksi, joka käynnistyy automaattisesti järjestelmän mukana.

Käännösmenetelmä varmistaa yhteensopivuuden eri Linux-jakeluiden välillä ja säilyttää tietoturvan rakentamalla varmennetusta lähdekoodista. systemd-palveluintegraatio tarkoittaa, että yhdyskäytävä käynnistyy automaattisesti uudelleen ongelmatilanteissa ja alkaa toimia välittömästi järjestelmän käynnistyessä.

Jos haluat tarkastella asennusskriptiä ennen sen suorittamista, voit hakea sen erikseen joko poistamalla komennosta | bash - -osan tai avaamalla osoitteen https://api.eu1.sdaconsole.io/glue/v1/install.sh suoraan verkkoselaimessa. Tämä läpinäkyvyys antaa sinun ymmärtää täsmälleen, mitä asennusprosessi järjestelmässäsi tekee.

Linux proxyn kanssa

Kun Linux-järjestelmäsi tarvitsee internetyhteyden proxy-palvelimen kautta, sinun on määritettävä asianmukaiset ympäristömuuttujat ennen asennusskriptin suorittamista. Aseta http_proxy- ja https_proxy-ympäristömuuttujat nykyisessä bash-istunnossasi:

export http_proxy=http://username:password@proxy.company.com:8080
export https_proxy=http://username:password@proxy.company.com:8080
curl -sSL 'https://api.eu1.sdaconsole.io/glue/v1/install.sh' | bash -

Korvaa proxyn URL-osoite oman proxy-palvelimesi tiedoilla, mukaan lukien todennustiedot, jos verkkomäärityksesi sitä edellyttää.

Docker

Docker tarjoaa vaihtoehtoisen käyttöönottotavan, joka tuo yhdenmukaisuutta eri isäntäjärjestelmien välille ja yksinkertaistaa hallintaa konttien avulla. SDA Glue -Docker-kuva perustuu Debianiin ja sisältää kaikki tarvittavat riippuvuudet valmiiksi määritettyinä, jolloin manuaalista kääntämistä tai riippuvuuksien hallintaa ei tarvita.

Ota SDA Glue käyttöön Dockerin avulla suorittamalla seuraava komento vaadituilla verkko-oikeuksilla:

docker run -d \
  --name glue \
  --device=/dev/net/tun \
  --cap-add=NET_ADMIN \
  -v glue-data:/var/lib/sdaglue \
  --restart always \
  -p 8081:8080 \
  public.ecr.aws/t9c5s2d1/sdaglue:latest

Tämä komento luo pysyvän kontin nimeltä "glue", joka käynnistyy automaattisesti uudelleen, jos se pysähtyy odottamattomasti. Levyn liitos säilyttää yhdyskäytävän määritykset ja todennustiedot kontin uudelleenkäynnistysten tai päivitysten välillä.

Se myös välittää kontin portin 8080 isännän porttiin 8081, jossa toimii Gluen web-palvelin sovelluksen määrittämistä varten. Voit sitten käyttää sitä osoitteessa http://localhost:8081/.

info

Kun samassa isännässä ajetaan useita SDA Glue -kontteja, varmista, että kukin kontti käyttää yksilöllisiä nimiä ja levyliitoksia ristiriitojen välttämiseksi:

docker run -d --name glue-factory -v factory-data:/var/lib/sdaglue [...]

Kattavat ohjeet Docker-käyttöönotosta, mukaan lukien edistyneet verkkomääritykset, vianmääritysvaiheet ja tuotantokäyttöönoton parhaat käytännöt, löydät täydellisestä dokumentaatiosta:

Täydelliset käyttöönoton tiedot, määritysesimerkit ja vianmääritysohjeet.

Windows

Avaa PowerShell järjestelmänvalvojana hakemalla "PowerShell" Windowsin hakupalkista, napsauttamalla tulosta hiiren kakkospainikkeella ja valitsemalla "Suorita järjestelmänvalvojana". Kun sinulla on korotettu PowerShell-istunto, suorita seuraava komento:

iwr -Uri 'https://api.eu1.sdaconsole.io/glue/v1/install.ps1' -UseBasicParsing | iex

Tämä PowerShell-komento hakee asennusskriptin Invoke-WebRequest-komennolla (lyhennettynä iwr) ja ohjaa sen Invoke-Expression-komennolle (lyhennettynä iex) välitöntä suoritusta varten. -UseBasicParsing-parametri varmistaa yhteensopivuuden eri Windows-versioiden ja -määritysten kanssa.

SDA Gluen onnistunut asennus PowerShellillä

Tietoja Windows-asennusprosessista

Windows-asennusprosessi käyttää PowerShelliä asennusskriptin lataamiseen ja suorittamiseen, mikä määrittää järjestelmäsi SDA-yhteyksiä varten. Toisin kuin Linux-lähestymistavassa, jossa ohjelmisto käännetään lähdekoodista, Windows-asennusohjelma lataa valmiiksi käännetyt binäärit OpenVPN Community Clientistä ja SDA Glue -palvelusta ja rekisteröi sen jälkeen SDA Gluen Windows-palveluksi.

Windows-palveluintegraatio varmistaa, että SDA Glue käynnistyy automaattisesti järjestelmän mukana ja käynnistyy automaattisesti uudelleen ongelmatilanteissa. Tämä tarjoaa samat luotettavuusedut kuin Linuxin systemd-menetelmä, mutta hyödyntää Windowsin natiivia palvelunhallintaa.

Kuten Linuxissakin, voit tarkastella asennusskriptiä ennen sen suorittamista poistamalla | iex -osan tai avaamalla osoitteen https://api.eu1.sdaconsole.io/glue/v1/install.ps1 suoraan verkkoselaimessa.

Windows proxyn kanssa

Kun Windows-järjestelmäsi toimii proxy-palvelimen takana, asennusprosessi edellyttää kaksivaiheista lähestymistapaa. Ensin määrität proxy-asetukset ja lataat asennusskriptin. Sitten suoritat skriptin asianmukaisilla proxy-määrityksillä.

Aloita asettamalla PowerShell-muuttujat proxy-määritystäsi varten:

# Configure your specific proxy details
$ProxyHost="proxy.company.com:8080"
$ProxyUser="your-username"

# Download the installation script through the proxy
iwr -Uri 'https://api.eu1.sdaconsole.io/glue/v1/install.ps1' -UseBasicParsing -OutFile .\glue-install.ps1 -Proxy http://$ProxyHost -ProxyCredential $ProxyUser

# Execute the script with proxy configuration
.\glue-install.ps1 -Proxy $ProxyHost -ProxyCredential $ProxyUser

Huomaa tärkeä ero proxyn URL-muotoilussa: Invoke-WebRequest-komento vaatii täyden URL-skeeman (http://proxy.company.com:8080), kun taas asennusskripti odottaa vain isäntänimeä ja porttia (proxy.company.com:8080).

Kuten alareunan lokit osoittavat, proxy-palvelin on määritettävä SDA Gluessa CLI:n avulla

Todennus ja kirjautuminen

Kun SDA Glue -ohjelmisto on asennettu onnistuneesti, sinun on todennettava fyysinen yhdyskäytäväsi SDA Cloud -palveluihin. Tämä todennusprosessi käyttää SDA Consolen yhdyskäytävällesi luomia yksilöllisiä tunnistetietoja. Nämä tunnistetiedot koostuvat lyhyestä yhdyskäytävätunnisteesta ja kertakäyttösalasanasta, joka vaihtuu määräajoin tietoturvan parantamiseksi.

Yhdyskäytävän määrityskomennot SDA Consolessa

Palaa SDA Consoleen ja etsi toinen komento yhdyskäytäväsi määritysikkunasta. Komento näyttää suunnilleen seuraavilta esimerkeiltä:

Linux

sudo sdaglue login -e eu1 G1ABCD 123456

Docker

docker exec glue sdaglue login -e eu1 G1ABCD 123456

Windows

sdaglue.exe login -e eu1 G1ABCD 123456

Komennon rakenteeseen kuuluu -e eu1 -lippu, joka määrittää Euroopan alueen päätepisteen, sekä yhdyskäytäväsi yksilöllinen tunniste (kuten G1ABCD) ja kertakäyttösalasana (kuten 123456). Nämä arvot ovat yhdyskäytäväkohtaisia ja eroavat näytetyistä esimerkeistä.

info

Kertakäyttösalasana päivittyy määräajoin tietoturvasyistä. Jos todennus epäonnistuu, palaa SDA Consoleen ja hae voimassa oleva salasana yhdyskäytävän määritysikkunasta.

Palvelun tila

Kun asennus ja todennus on suoritettu, varmista, että SDA Glue -palvelu toimii järjestelmässäsi oikein.

Linux

Tarkista palvelun tila systemd-komennoilla:

sudo systemctl status sdaglue

Reaaliaikaisen lokitulosteen seuraamiseen ja ongelmien selvittämiseen:

sudo journalctl -efu sdaglue -n 100

Docker

Palvelun lokit voidaan hakea Docker-konteista komennolla:

docker logs -n 100 --follow glue  # tracks the latest 100 logs from the service

Windows

Voit tarkistaa palvelun Windowsin Palvelut-sovelluksesta. Hae "Palvelut" Windowsin hakupalkista ja etsi palveluluettelosta "SDA Glue". Palvelun tilan tulisi olla "Käynnissä" ja käynnistystyypin "Automaattinen".

Aktiivisten palveluiden tarkastelu Windowsissa

Windows-palvelut tuottavat tapahtumalokeja, joita voi tarkastella Tapahtumienvalvonnassa kohdassa Windows-lokit → Sovellus. Avaa Tapahtumienvalvonta hakupalkin avulla.

SDA Glue -lokien tarkastelu Tapahtumienvalvonnassa

Määritys

SDA Gluen toimintaa voi muokata niin, että se toimii optimaalisesti juuri sinun verkkoympäristössäsi. Nämä määritysmuutokset varmistavat luotettavan yhteyden riippumatta teollisuusverkkosi erityispiirteistä, olipa kyse proxy-palvelimista, palomuurirajoituksista tai eri tiedonsiirtoprotokollista.

Palvelua ohjataan ympäristömuuttujilla. Määritysmuutokset edellyttävät palvelun uudelleenkäynnistystä tullakseen voimaan. Ympäristömuuttujat noudattavat samaa määritysparametrien nimeämiskäytäntöä, mutta niissä käytetään GLUE-etuliitettä ja erottimena alaviivaa:

log.level -> GLUE_LOG_LEVEL
webui.enabled -> GLUE_WEBUI_ENABLED

Nykyisten määritysparametrien tarkastelu:

# Linux & Windows
sdaglue config describe

# Docker
docker exec glue sdaglue config describe

Parametrien asettaminen:

# Linux & Windows
sdaglue config set --log.level debug --webui.enabled true --webui.port 8080

# Docker
docker exec sdaglue config set --log.level debug --webui.enabled true --webui.port 8080

Parametrien hakeminen:

# Linux & Windows
sdaglue config list

# Docker
docker exec sdaglue config list

Palvelun uudelleenkäynnistys muutosten jälkeen:

# Linux & Windows
sdaglue service restart

# Docker
docker exec glue sdaglue service restart # or
docker restart glue

MQTT-siirtoprotokolla

Yksi tärkeimmistä määrityspäätöksistä koskee sitä, miten yhdyskäytäväsi kommunikoi SDA Cloud -palveluiden kanssa. SDA Glue tukee kahta siirtoprotokollaa, jotka on suunniteltu erilaisiin verkkoympäristöihin:

Siirtotapa	Protokolla	Portti	Käyttötapaus
MQTT	SSL / TCP	443	Vakioverkot, joissa on suora internetyhteys
MQTT WebSocketin yli	WebSocket Secure (TCP)	443	Verkot, joissa on läpinäkyviä proxyja tai SSL-tarkastus

WebSocket-siirtotapa:

# Linux & Windows
sdaglue config set --iot.transport websocket

# Docker
docker exec glue sdaglue config set --iot.transport websocket

Vakiomuotoinen MQTT-siirtotapa:

# Linux & Windows
sdaglue config set --iot.transport mqtt

# Docker
docker exec glue sdaglue config set --iot.transport mqtt

info

Jos palvelu on jo kirjautunut sisään ja yhdistetty, uusi siirtoprotokolla tulee voimaan vasta seuraavan palvelun uudelleenkäynnistyksen jälkeen.

Milloin WebSocket-siirtotapaa kannattaa käyttää

Läpinäkyvät proxyt: Jotkin yritysverkot käyttävät läpinäkyviä proxyja, jotka sieppaavat ja analysoivat verkkoliikennettä. Nämä proxyt voivat häiritä vakiomuotoisia MQTT SSL -yhteyksiä, mutta yleensä ne päästävät WebSocket-yhteydet läpi ongelmitta.

Rajoittavat palomuurit: Verkot, joissa käytetään syvää pakettitarkastusta tai tiukkaa protokollasuodatusta, voivat estää MQTT-liikenteen mutta sallia WebSocket-yhteydet, jotka muistuttavat tavallista verkkoliikennettä.

Yritysverkkojen käytännöt: Joissakin organisaatioissa on käytäntöjä, jotka rajoittavat muita kuin HTTP-protokollia, jolloin WebSocket-siirtotapa on suositeltavin vaihtoehto vaatimustenmukaisuuden kannalta.

Proxy-palvelin

Kun verkkosi edellyttää, että kaikki internetliikenne kulkee tietyn proxy-palvelimen kautta, SDA Glue on määritettävä proxyn tiedoilla yhteyksien muodostamiseksi SDA Cloud -palveluihin. Tämä on erityisen yleistä yritysympäristöissä, joissa suoraa internetyhteyttä on rajoitettu tietoturvasyistä.

Proxy-osoitteet noudattavat vakiomuotoa: scheme://username:password@hostname:port

• Skeema: Yleensä http:// tai https://
• Käyttäjätunnus/salasana: Todennustiedot (jos proxysi sitä edellyttää)
• Isäntänimi: Proxy-palvelimen osoite
• Portti: Proxy-palvelimen porttinumero

Sinun on määritettävä sekä HTTP- että HTTPS-proxyasetukset, jotta SDA Gluen tiedonsiirtotarpeet katetaan kokonaan.

info

Jos proxy-palvelimesi ei vaadi todennusta, jätä käyttäjätunnus ja salasana yksinkertaisesti pois:

proxy_server="http://proxy.company.com:8080"

Linux

proxy_server="http://username:password@proxy.company.com:8080"
sdaglue config set --proxy.http=$proxy_server --proxy.https=$proxy_server

# Restart the service to apply changes
sdaglue service restart

Docker

proxy_server="http://username:password@proxy.company.com:8080"
docker exec glue sdaglue config set --proxy.http=$proxy_server --proxy.https=$proxy_server

# Restart the container to apply changes
docker restart glue

Windows

$ProxyServer="http://username:password@proxy.company.com:8080"
sdaglue.exe config set --proxy.http=$ProxyServer --proxy.https=$ProxyServer

# Restart the service to apply changes
sdaglue.exe service restart

Yleisiä ongelmia

Yritysverkko, jossa on läpinäkyvä proxy

Ongelma: Yhdyskäytävä yhdistää aluksi, mutta katkaisee yhteyden usein tai yhteys on epävakaa.

Ratkaisu: Vaihda WebSocket-siirtoprotokollaan.

Rajoittava palomuuriympäristö

Ongelma: Yhdyskäytävä ei pysty muodostamaan ensimmäistä yhteyttä SDA Cloud -palveluihin.

Ratkaisu: Määritä WebSocket-siirtotapa ja varmista, että lähtevät HTTPS-yhteydet ovat sallittuja portissa 443.

Todennusta vaativa proxy-palvelin

Ongelma: Yhdyskäytävä ei pysty muodostamaan yhteyttä todennusta vaativan yritysproxyn kautta.

Ratkaisu: Määritä molemmat proxy-asetukset oikeilla todennustiedoilla ja käynnistä palvelu uudelleen.

Kun nämä määritysvaihtoehdot on asetettu oikein, SDA Glue -palvelu mukautuu verkkoympäristöösi ja ylläpitää luotettavaa yhteyttä SDA Cloud -palveluihin mahdollistaen suojatun pääsyn teollisuuslaitteisiisi.