• 1 Ogólnie
• 2 Wymagania sprzętowe serwera
• 3 Wymagania sprzętowe serwera — wirtualizacja
• 4 Zálohování - vzdálené úložiště
• 5 Síťová infrastruktura
  • 5.1 Zpřístupnění portů (příchozí směr
  • 5.2 IP adresy servisních středisek
  • 5.3 Povolení odchozí komunikace (odchozí směr
  • 5.4 Správné nastavení proxy / firewallu / routeru
  • 5.5 Bezpečné umístění v síťové infrastruktuře
    • 5.5.1 Použité technologie, protokoly a software
  • 5.6 Veřejný přístup k webovému systému (HTTPS
  • 5.7 Provoz na lokální síti
  • 5.8 Odchozí SMTP server

Ogólnie

Tritius można uruchomić na własnym serwerze w formie wstępnie zainstalowanej maszyny wirtualnej.

O serwer, rozwiązanie wirtualizacyjne i jego zarządzanie dba się samodzielnie lub, po uzgodnieniu zdalnego dostępu, wspólnie z nami.

Tritius jest wtedy dostępny jako zwykła aplikacja internetowa, a do korzystania z niej wystarczy zwykła przeglądarka internetowa.

O kopie zapasowe danych i ich archiwizację dbasz sam – możesz skorzystać z naszych gotowych narzędzi, które wystarczy skonfigurować, aby uzyskać dostęp do zdalnego magazynu danych.

Wymagania sprzętowe serwera

Wymagania dotyczące działania systemu Tritius mają charakter orientacyjny, ponieważ rzeczywiste wymagania systemu mogą się różnić, zwłaszcza w zależności od całkowitej ilości skatalogowanych danych i liczby jednocześnie pracujących użytkowników.

Zalecane konfiguracje zakładają działanie całego systemu na jednym serwerze (baza danych + aplikacja serwerowa Tritius + katalog internetowy). Części te można jednak (ze względów bezpieczeństwa i wydajności) obsługiwać oddzielnie.

W przypadku ponad 200 000 woluminów nie zalecamy obsługi systemu na dyskach zewnętrznych (macierzach dyskowych), ale tylko na dedykowanych dyskach umieszczonych bezpośrednio w serwerach.

Wymagania sprzętowe serwera — wirtualizacja

System Tritius jest obecnie dystrybuowany wyłącznie jako wstępnie zainstalowana maszyna wirtualna w formacie OVF (https://en.wikipedia.org/wiki/Open_Virtualization_Format).

Wirtualną maszynę można uruchomić na niektórych rozwiązaniach wirtualizacyjnych obsługujących format OVF:

• VirtualBox - w wersji podstawowej jest całkowicie bezpłatny,
• VMware - wysokiej jakości płatne rozwiązanie,
• KVM,
• Hyper-V,
• Xen (tryb PV).

Zapewniamy pełne wsparcie i pomoc przy instalacji w VirtualBox na systemie operacyjnym Windows. W przypadku innych rozwiązań prosimy sprawdzić tabelę poniżej.

Podstawowe wsparcie przy imporcie i obsłudze VM oznacza przekazanie podstawowych informacji lub instrukcji, które zostały wykorzystane przez innych klientów, ewentualnie kontakt z innymi klientami korzystającymi z tego rozwiązania – oczywiście bez żadnej gwarancji.

Zálohování - vzdálené úložiště

Zálohy jsou automaticky vytvářeny lokálně přímo na virtuálním stroji a následně jsou přesunuty na vzdálené úložiště.

Volitelně je možno využití i hotového skriptu pro rotování záloh (X denních, týdenních a měsíčních záloh).

Nyní podporujeme automatické ukládání na vzdálená uložiště dostupná přes protokoly:

• FTP,
• NFS (Linux síťový filesystem), 
• CIFS (Windows sdílení složek),
• SMB (Windows sdílení složek).

Síťová infrastruktura

Pro provoz Tritia je třeba internetové připojení, veřejná IP adresa a následující nastavení síťové infrastruktury.

Pokud chcete využít naší nabídky poskytování HTTPS certifikátu zdarma, je třeba veřejná IP adresa s volnými (nevyužitými) porty 80 a 443.

Zpřístupnění portů (příchozí směr)

Na vaší veřejné IP adrese je třeba zpřístupnit následující porty, které je třeba tunelovat (přesměrovat) na lokální porty VM.

*Máte-li reverzní proxy a přejete-li si provozovat systém za touto proxy, porty HTTP a HTTPS není třeba tunelovat. Konfigurace webové proxy je na vás včetně zajištění a instalace SSL certifikátu.

IP adresy servisních středisek

Z následujích IP adres jsou prováděny servisní úkony a pravidelná údržba. Je doporučeno omezit přístup k některým vystaveným portům na tyto IP adresy (viz tabulky požadavků na síťovou infrastrukturu).

Povolení odchozí komunikace (odchozí směr)

Tato kapitola se vás netýká, pokud na vaší síti neomezujete odchozí komunikaci.

Pokud ve vaší síti omezujete odchozí komunikaci (firewall na routeru či fyzickém serveru), je třeba povolit následující komunikaci z VM na cílové porty a IP adresy.

*Máte-li vlastní SMTP server, který chcete využívat, není třeba komunikaci na výchozí externí SMTP servery povolovat.

**Pokud neplánujete statistiky DILIA odesílat, není nastavení tohoto portu povinné.

***Pokud bude při implementaci potřeba připojení k naší databázi. 

Správné nastavení proxy / firewallu / routeru

Téměř vždy je v knihovně umístěn nějaký prvek, který obsluhuje veřejnou IP adresu a přesměrovává potom data na VM s Tritiem. Dochází ke klasickému přesměrování a tedy změny IP adres obsažených v hlavičkách HTTP požadavků. Některé funkce Tritia jsou závislé na rozlišení interních a externích uživatelů (zejména statistiky přístupů ke katalogu) a je proto nezbytné zajistit, aby se ke katalogu dostala informace o původní IP adrese, ze které požadavek přišel. K tomu slouží HTTP hlavička X-FORWARDED-FOR, kterou musí proxy prvek správně nastavit.

Konkrétní nastavení se liší podle použitého síťového prvku nebo serveru. Konzultujte prosím se svým správcem.

Bezpečné umístění v síťové infrastruktuře

Tato kapitola se vás netýká, pokud nevyžadujete vysokou úroveň zabezpečení.

Pokud je třeba velmi vysoká úroveň zabezpečení, je třeba zajistit bezpečné umístění VM v rámci síťové infrastruktury. Toto se týká pouze speciálních případů, ve kterých zákazníci o této potřebě sami vědí.

V takových případech je nutné umístit VM v síťové infrastruktuře tak, aby měla přístup výhradně jen k nutným zdrojům a to jen ve směru, který je vyžadován. VM nesmí mít přístup k rizikovým zdrojům - možno zajistit např. firewallem či umístěním v DMZ. Prakticky to znamená povolenou síťovou komunikaci jen na pečlivě vybraných portech, které jsou navíc omezeny IP adresami.

Použité technologie, protokoly a software

V případě, že používáte sofistikovaný firewall, který sleduje podrobně provoz, budete potřebovat nastavit pro VM s Tritiem jaký je očekávaný provoz, jaké jsou použité protokoly a software. Níže je uvedena přehledová tabulka.

Veřejný přístup k webovému systému (HTTPS)

Webový systém Tritius je možné vystavit na dohodnuté doménové adrese.

Systém z bezpečnostních důvodů podporuje výhradně komunikaci pod zabezpečeným protokolem HTTPS. SSL certifikát k dohodnuté doméně zajistíme zdarma (případně je možné použít již existujícící certifikát, pokud takový vlastníte).

Pro zajištění veřejného přístupu k webovému systému Tritius existují následující možnosti:

1. Umístění webového systému na novou doménu 3. řádu - nejsnadnější a námi doporučovanou varianta
   • Vyžaduje vlastnictví volné veřejné IP adresy s volným portem 80 a 443. (Port 80 je vyžadován jen pro automatické přesměrování uživatelů, kteří omylem přistoupí k nezabezpečenému HTTP)
   • Příklad pro knihovnu s názvem "Dobrá Knihovna", která vlastní doménu "dobraknihovna.cz" a veřejnou IP adresu 99.88.77.66:
     • Je třeba vytvořit DNS záznam typu A: "tritius.dobraknihovna.cz    A 99.88.77.66"
     • Katalog pro čtenáře: https://tritius.dobraknihovna.cz/Katalog
     • Přístup pro obsluhu: https://tritius.dobraknihovna.cz/Tritius
        
2. Umístění webového systému na existující doménu za reverzní proxy server - složitější varianta, ale nevyžaduje volnou veřejnou IP adresu
   • Vyžaduje přístup k existujícímu webovému serveru na dané doméně a možnost jeho nastavení jako reverzní proxy server.
   • Příklad pro knihovnu s názvem "Dobrá Knihovna", která vlastní doménu "dobraknihovna.cz", na které provozuje webové stránky na adrese http://www.dobraknihovna.cz:
     • Je třeba zajistit provoz existujícího webového serveru pod HTTPS - webové stránky nově poběží také na adrese https://www.dobraknihovna.cz (je třeba pořídit SSL certifikát)
     • Je třeba zajistit nastavení existujícího webového serveru jako reverzní proxy pro adresy https://www.dobraknihovna.cz/Katalog a https://www.dobraknihovna.cz/Tritius, které budou v lokální síti přesměrovány na virtuální stroj s běžícím Tritiem
     • Katalog pro čtenáře: https://www.dobraknihovna.cz/Katalog
     • Přístup pro obsluhu: https://www.dobraknihovna.cz/Tritius
   • Nastavení reverzní proxy
     • Apache
       • ProxyRequests Off
       • ProxyPreserveHost On
       • Timeout 300
       • ProxyTimeout 300
       • RequestHeader X-Forwarded-Proto "https"
     • IIS
       • Actions → add
       • HTTP_X_FORWARDED_HOST = tritius.knihovna.cz
       • HTTP_X_FORWARDED_PROTO = https

Provoz na lokální síti

Pokud je server s Tritiem umístěn přímo v lokální síti knihovny, musí být zajištěna možnost komunikace lokálních počitačů s Tritiem. Je třeba zvážit několik potenciálních problémů a uzpůsobit tomu síťovou infrastrukturu a/nebo nastavení:

• Překlad DNS jména např. tritius.knihovna.cz vede na veřejnou IP adresu serveru s Tritiem. Tato IP adresa musí být dostupný i z lokální sítě. Ne vždy je to možné.
• Lze použít lokální DNS server, který pro dotazy z lokální sítě bude vracet přímo lokální IP adresu.
• Lze použít proxy/firewall, který požadavky směřující na danou doménu přesměruje na lokální server.
• Lze použít lokální záznamy DNS v souboru hosts a donutit tak stanice komunikovat s lokální IP adresou.

Odchozí SMTP server

Tritius odesílá mnoho různých typů e-mailů (upomínky, novinky apod.) a proto potřebuje nějaký SMTP server pro odesílání pošty. Ve standardním nastavení Tritia jsou použity servery společnosti Tritius Solutions a.s. Při instalaci Tritia na vlastní server knihovny je běžné použít interní SMTP server knihovny.

Tritius na SMTP knihovny neklade žádné zvláštní požadavky. Pouze doporučujeme zvážit řádně zabezpečení SMTP serveru (jeho umístění v infrastruktuře, šifrování a použité verze protokolů), aby se knihovna nestala rozesílačem spamu.

Dále:

Technické požadavky na provoz systému Tritius jako služby