Sun Java System Portal Server Secure Remote Access (SRA)

Součástí SRA je i systém omezení přístupu uživatele na portál. Přes Access Manager lze zadat pomocí jednoduchých pravidel - seznamu zdrojových ip rozsahů.

Komponenta SRA Gateway slouží jako malý program v demilitarizované zóně k bezpečnému přesměrování požadavků z externí sítě do intranetu. Mezi klienty a Gateway programem se využívá šifrovaného protokolu HTTPs a mezi Gateway a aplikacemi v intranetu lze i http pro odlehčení (round-dobin) zátěže aplikačním a databázovým serverům.

Gateway slouží ke komunikaci mezi klientem a webové servery a webově založené produkty pomocí protokolů jako jsou HTML, JavaScript a XML. http://seznam

Rewriter komponenta umožňuje uživatelům vytvářet a využívat URL odkazy na další stránky v intranetu se zapojením Gateway.

Rewriter přidává ve webovém prohlížeči na začátek URL Gateway: z URL http://portal na URL: https://gateway/cokoliv a tedy umožňuje přesměrování toku informací přes Gateway.

Netlet komponenta poskytuje vzdáleně intranetové služby například SMTP, IMAP, POP, FTP apod.

V portálu se spustí malá javovská aplikace, která šifrovaně protuneluje pomocí SSL porty z intranetu na klienta. Pomocí této aplikace lze například ukládat soubory do vnitřní sítě, kdekoliv vybírat a zasílat elektronickou poštu z MS-Outlooku apod.

Pro standalone instanci Gateway je nutné nainstalovat samotnou gateway + Access Manager SDK. Při instalaci je nutný přístup k instanci Access Manageru (AM) a do adresářového serveru (Sun Java System Directory Server). Pro samotný chod Gateway dostačuje přístup na portál s AM a nainstalovaným minimálně SRA Core.

Profil je ke každé instanci v samostatném souboru, konfiguruje se v souboru nebo v amconsoli.

gateway.cdm.cacheSleepTime=60000
gateway.protocol=https
gateway.jdk.dir=/usr/jdk/entsys-j2se
gateway.userProfile.cacheCleanupTime=300000
gateway.userProfile.cacheSize=1024
gateway.external.ip=192.168.1.100
gateway.logdelimiter=&&
gateway.httpurl=
portal.server.instance=default
gateway.port=443
gateway.debug=message
gateway.bindipaddress=192.168.1.100
gateway.certdir=/etc/opt/SUNWps/cert/default
gateway.host=sun.iforce.cz
gateway.logging.password=of7JMF5gSRD5wgsA/cFghg\=\= x0mfS5km2KkRIRdGkeZW3g\=\=
gateway.sockretries=3
gateway.enable.customurl=false
gateway.userProfile.cacheSleepTime=60000
gateway.enable.accelerator=false
gateway.cdm.cacheCleanupTime=300000
gateway.favicon=
gateway.notification.url=notification
gateway.httpsurl=
portal.server.port=80
gateway.virtualhost=sun.iforce.cz 192.168.1.100
gateway.allow.client.caching=true
gateway.retries=6
gateway.dsame.agent=http\://sun.iforce.cz\:80/portal/RemoteConfigServlet
portal.server.host=sun.iforce.cz
gateway.user=noaccess
gateway.trust_all_server_certs=true
gateway.debug.dir=/var/opt/SUNWps/debug
portal.server.protocol=http

Lze nastavit v Access Manageru, ale neuložilo se mi do souboru v /etc/opt/portal. Pro správnou funkci stačí zkopírovat nebo vytvořit soubor platform."profile", kdy "profile", je název profilu pro start Gateway.

cp platform.conf.default platform.conf.test

Další možností jak vytvořit instanci GW je pomocí skriptu:

gateway-install-root/SUNWps/bin/gwmultiinstance

U každé gateway brány musí být nainstalován minimálně SDK. Konfigurační soubor se nachází (v Linuxu): /etc/opt/sun/identity

Pro změnu nastavení stačí poeditovat soubor AMConfig-default.properties (default je profil GW) a restartnout GW:

/etc/init.d/gateway start

com.iplanet.am.defaultOrg=dc=iforce,dc=cz 
com.iplanet.am.directory.ssl.enabled=false 
com.iplanet.am.directory.host=DIRECTORY_SERVER
com.iplanet.am.directory.port=DIRECTORY_PORT
com.iplanet.am.server.protocol=http
com.iplanet.am.server.host=sun.iforce.cz
com.iplanet.am.server.port=80 
com.iplanet.am.console.protocol=http 
com.iplanet.am.console.host=sun.iforce.cz
com.iplanet.am.console.port=80
com.iplanet.am.profile.host=sun.iforce.cz
com.iplanet.am.profile.port=80
com.iplanet.am.naming.url=http://sun.iforce.cz:80/amserver/namingservice
com.iplanet.am.notification.url=http://sun.iforce.cz:80//amserver/notificationservice
com.iplanet.am.daemons=unix securid
com.iplanet.am.cookie.name=iPlanetDirectoryPro
com.iplanet.am.cookie.secure=false
com.iplanet.am.cookie.encode=COOKIE_ENCODE
com.iplanet.am.pcookie.name=DProPCookie
com.iplanet.am.locale=en_US
com.iplanet.am.jdk.path=/usr/jdk/entsys-j2se 
com.iplanet.am.logstatus=ACTIVE
com.iplanet.am.rootsuffix=ROOT_SUFFIX
com.iplanet.am.domaincomponent=dc=iforce,dc=cz
com.iplanet.am.version=6 2005Q1

Aby mohl uživatel využívat služby vzdáleného přístup, je nutné aby měl zaregistrované servisy SRA, které jsou v adresářovém serveru reprezentovány atributem objectclass:

objectClass: sunPortalGatewayAccessService
objectClass: sunPortalNetFileService
objectClass: sunPortalNetletService

Tyto atributy se vytvoří registraci servisu v amconsoli a to konkrétně Access list apod., dalším způsob je zápisem přímo pomocí ldapmodify do adresářového serveru.

dn: uid=amadmin,ou=people,dc=iforce,dc=cz
changetype: modify
add: objectClass
objectClass: sunPortalGatewayAccessService
objectClass: sunPortalNetFileService
objectClass: sunPortalNetletService

Soubory s certifikáty jsou uloženy:

/etc/opt/SUNWps/cert/default/gateway-profile-name

v tomto adresáři jsou uloženy 3 soubory:

Generování a práce s certifikáty:

portal-server-install-root/SUNWps/bin/certadmin -n gateway-profile-name

Po spuštění se zobrazí následující obrazovka:

1) Generate Self2-Signed Certificate
2) Generate Certificate Signing Request (CSR)
3) Add Root CA Certificate
4) Install Certificate From Certificate Authority (CA)
5) Delete Certificate
6) Modify Trust Attributes of Certificate (e.g., for PDC)
7) List Root CA Certificates
8) List All Certificates
9) Print Certificate Content
10) Quit
choice: [10] 1

Když se uživatel připojuje přes gateway komponentu SRA je automaticky přesměrován (při standardní nastavení) na adresu http://GW/http//portal.server.cz/amserver/UI/Login. Tato adresa lze změnit maličko nesystémově v daném Login.jsp souboru přidáním redirectu.

Do souboru v případě aplikačního serveru verze 7:

vi [APP-ROOT]/domains/domain1/server1/applications/j2ee-modules/amserver_1/config/auth/default/Login.jsp

přidat redirect:

<%
String redirectURL = "http://portal.server/porta/dt";
response.sendRedirect(redirectURL);
%>

CE - Unified Web Centrum je javovská webová aplikace centralizující webmail, web kalendář a adresář. Nebudu popisovat tuto aplikaci, jen se zaměřím na jednu chybku (která je možná již opravena nějakým patchem) a projevuje se pří použití SRA GW.

V této chybě dochází k špatnému interpretování záložky s mailem. Oprava této chyby je v javaskriptu:

vi /opt/SUNWmsgsr/data/config/html/main.js

function getUWCHost()
{
 var prot = msgHREF.substring(0,5);
 if(prot != "https")
   prot = "http://";
 else
   prot = "https://";

 var port = cfgFrame.uwcport;
 if(port != null)
   port = ":" + port + "/";

 index = msgHREF.lastIndexOf(':');
 if(msgHREF.length - index > 6)
   index = msgHREF.length - 1;

 var href = msgHREF.substring(0,index) + port;

 ctxuri = main.cfgFrame['uwccontexturi'];

 if(ctxuri == null)
    ctxuri = '';
 else
   ctxuri += '/'

 return  href + ctxuri;
}

Doporučuji: