Configurar联合国cliente de泰勒斯Luna en el ADC

Después de configurar el HSM de Thales Luna y crear las particiones necesarias, debe crear clientes y asignarlos a particiones. Comience por configurar los clientes de Thales Luna en NetScaler y configurar los enlaces de confianza de red (NTLs) entre los clientes de Thales Luna y el HSM de Thales Luna. En elapéndicese proporciona una configuración de ejemplo.

Nota:

Si actualiza a la versión 13.1 del software, debe instalar la versión 10.3.0 del cliente Thales Luna y realizar los siguientes pasos.

1. Cambie el directorio a /var/safenet e instale el cliente Thales Luna. En el símbolo del shell, escriba:

   cd /var/safenet 

   Para instalar el cliente Thales Luna, versión 6.0.0, escriba:

   install_client.sh -v 600 

   Para instalar el cliente Thales Luna, versión 6.2.2, escriba:

   install_client.sh -v 622 

   Para instalar el cliente Thales Luna, versión 7.2.2, escriba:

   install_client.sh -v 722 

   Para instalar el cliente Thales Luna, versión 10.3.0, escriba:

   install_client.sh -v 1030 

2. Configure los NTLs entre el cliente Thales Luna (ADC) y HSM.

   Después de crear el directorio ‘/var/safenet/’, realice las siguientes tareas en el ADC.

   a) Cambie el directorio a ‘/var/safenet/config/’ y ejecute el script ‘safenet_config ‘. En el símbolo del shell, escriba:

   cd /var/safenet/config sh safenet_config 

   Este script copia el archivo “Chrystoki.conf” en el directorio /etc/. También genera un enlace simbólico ‘libCryptoki2_64.so’ en el directorio ‘/usr/lib/’.

   b) Cree y transfiera un certificado y una clave entre el ADC y el HSM de Thales Luna.

   Para comunicarse de forma segura, el ADC y el HSM deben intercambiar certificados. Cree un certificado y una clave en el ADC y, a continuación, transfiéralos al HSM. Copie el certificado de HSM en el ADC.

   i) Cambie el directorio a /var/safenet/safenet/lunaclient/bin.

   ii) Crear un certificado en el ADC. En el símbolo del shell, escriba:

   ./vtl createCert -n  

   Este comando también agrega la ruta del certificado y la clave al archivo “/etc/Chrystoki.conf”.

   iii) Copie este certificado en el HSM. En el símbolo del shell, escriba:

   scp /var/safenet/safenet/lunaclient/cert/client/.pem @ 

   iv) Copie el certificado de HSM en NetScaler. En el símbolo del shell, escriba:

   scp @:server.pem /var/safenet/safenet/lunaclient/server_.pem 

3. Registre NetScaler como cliente y asígnele una partición en el HSM de Thales Luna.

   Inicie sesión en el HSM y cree un cliente. Introduzca el NSIP como IP del cliente. Esta dirección debe ser la dirección IP del ADC desde el que transfirió el certificado al HSM. Cuando el cliente se haya registrado correctamente, asígnele una partición. Ejecute los siguientes comandos en el HSM.

   a) Utilice SSH para conectarse al HSM de Thales Luna e introduzca la contraseña.

   b) Registre NetScaler en el HSM de Thales Luna. El cliente se crea en el HSM. La dirección IP es la dirección IP del cliente. Es decir, la dirección NSIP.

   En el símbolo del sistema, escriba:

   client register –client  -ip  

   c) Asigne al cliente una particion de la里斯塔德particiones. Para ver las particiones disponibles, escriba:

    partition list 

   Asigne una partición de esta lista. Tipo:

    client assignPartition -client  -par  

4. Registre el HSM con su certificado en el NetScaler.

   En el ADC, cambie el directorio a “/var/safenet/safenet/lunaclient/bin” y, en el indicador del shell, escriba:

   ./vtl addserver -n  -c /var/safenet/safenet/lunaclient/server_.pem 

   Para eliminar el HSM que está inscrito en el ADC, escriba:

   ./vtl deleteServer -n  -c  

   Para enumerar los servidores HSM configurados en el ADC, escriba:

   ./vtl listServer 

   Nota:

   Antes de quitar el HSM mediante el usovtl, asegúrese de que todas las claves de ese HSM se hayan eliminado manualmente del dispositivo. Las claves de HSM no se pueden eliminar después de quitar el servidor de HSM.

5. Verifique la conectividad de los enlaces de confianza de red (NTL) entre el ADC y el HSM. En el símbolo del shell, escriba:

   ./vtl verify 

   Si la verificación falla, revise todos los pasos. Los errores se deben a una dirección IP incorrecta en los certificados de cliente.

6. Guarde la configuración.

   Los pasos anteriores actualizan el archivo de configuración “/etc/Chrystoki.conf”. Este archivo se elimina cuando se inicia el ADC. Copie la configuración en el archivo de configuración predeterminado, que se utiliza cuando se reinicia un ADC.

   En el símbolo del shell, escriba:

   root@ns# cp /etc/Chrystoki.conf /var/safenet/config/ 

   La práctica recomendada es ejecutar este comando cada vez que se produce un cambio en la configuración relacionada con Thales Luna.

7. Inicie el proceso de puerta de enlace de Thales Luna.

   En el símbolo del shell, escriba:

   sh /var/safenet/gateway/start_safenet_gw 

8. Configure el inicio automático del daemon de Gateway en el momento del arranque.

   Cree el archivo “safenet_is_enrolled”, que indica que Thales Luna HSM está configurado en este ADC. Cada vez que el ADC se reinicia y se encuentra este archivo, la Gateway se inicia automáticamente.

   En el símbolo del shell, escriba:

   touch /var/safenet/safenet_is_enrolled 

9. Reinicie el dispositivo NetScaler. En la línea de comandos, escriba:

   reboot