• 1 Ogólnie
• 2 Wymagania sprzętowe serwera
• 3 Wymagania sprzętowe serwera — wirtualizacja
• 4 Tworzenie kopii zapasowych — zdalne przechowywanie danych
• 5 Infrastruktura sieciowa
  • 5.1 Udostępnienie portów (kierunek przychodzący
  • 5.2 Adresy IP centrów serwisowych
  • 5.3 Zezwolenie na komunikację wychodzącą (kierunek wychodzący
  • 5.4 Prawidłowe ustawienia proxy / zapory sieciowej / routera
  • 5.5 Bezpieczne umiejscowienie w infrastrukturze sieciowej
    • 5.5.1 Wykorzystane technologie, protokoły i oprogramowanie
  • 5.6 Veřejný přístup k webovému systému (HTTPS
  • 5.7 Provoz na lokální síti
  • 5.8 Odchozí SMTP server

Ogólnie

Tritius można uruchomić na własnym serwerze w formie wstępnie zainstalowanej maszyny wirtualnej.

O serwer, rozwiązanie wirtualizacyjne i jego zarządzanie dba się samodzielnie lub, po uzgodnieniu zdalnego dostępu, wspólnie z nami.

Tritius jest wtedy dostępny jako zwykła aplikacja internetowa, a do korzystania z niej wystarczy zwykła przeglądarka internetowa.

O kopie zapasowe danych i ich archiwizację dbasz sam – możesz skorzystać z naszych gotowych narzędzi, które wystarczy skonfigurować, aby uzyskać dostęp do zdalnego magazynu danych.

Wymagania sprzętowe serwera

Wymagania dotyczące działania systemu Tritius mają charakter orientacyjny, ponieważ rzeczywiste wymagania systemu mogą się różnić, zwłaszcza w zależności od całkowitej ilości skatalogowanych danych i liczby jednocześnie pracujących użytkowników.

Zalecane konfiguracje zakładają działanie całego systemu na jednym serwerze (baza danych + aplikacja serwerowa Tritius + katalog internetowy). Części te można jednak (ze względów bezpieczeństwa i wydajności) obsługiwać oddzielnie.

W przypadku ponad 200 000 woluminów nie zalecamy obsługi systemu na dyskach zewnętrznych (macierzach dyskowych), ale tylko na dedykowanych dyskach umieszczonych bezpośrednio w serwerach.

Wymagania sprzętowe serwera — wirtualizacja

System Tritius jest obecnie dystrybuowany wyłącznie jako wstępnie zainstalowana maszyna wirtualna w formacie OVF (https://en.wikipedia.org/wiki/Open_Virtualization_Format).

Wirtualną maszynę można uruchomić na niektórych rozwiązaniach wirtualizacyjnych obsługujących format OVF:

• VirtualBox - w wersji podstawowej jest całkowicie bezpłatny,
• VMware - wysokiej jakości płatne rozwiązanie,
• KVM,
• Hyper-V,
• Xen (tryb PV).

Zapewniamy pełne wsparcie i pomoc przy instalacji w VirtualBox na systemie operacyjnym Windows. W przypadku innych rozwiązań prosimy sprawdzić tabelę poniżej.

Podstawowe wsparcie przy imporcie i obsłudze VM oznacza przekazanie podstawowych informacji lub instrukcji, które zostały wykorzystane przez innych klientów, ewentualnie kontakt z innymi klientami korzystającymi z tego rozwiązania – oczywiście bez żadnej gwarancji.

Tworzenie kopii zapasowych — zdalne przechowywanie danych

Kopie zapasowe są automatycznie tworzone lokalnie bezpośrednio na maszynie wirtualnej, a następnie przenoszone do zdalnej pamięci masowej.

Opcjonalnie można również skorzystać z gotowego skryptu do rotacji kopii zapasowych (kopie dzienne, tygodniowe i miesięczne).

Obecnie obsługujemy automatyczne zapisywanie do zdalnych pamięci masowych dostępnych za pośrednictwem protokołów:

• FTP,
• NFS (Linux sieciowy filesystem), 
• CIFS (Windows udostępnianie folderów),
• SMB (Windows udostępnianie folderów).

Infrastruktura sieciowa

Do działania Tritia potrzebne jest połączenie internetowe, publiczny adres IP oraz następujące ustawienia infrastruktury sieciowej.

Jeśli chcesz skorzystać z naszej oferty bezpłatnego certyfikatu HTTPS, potrzebujesz publicznego adresu IP z wolnymi (niewykorzystanymi) portami 80 i 443.

Udostępnienie portów (kierunek przychodzący)

Na Państwa publicznym adresie IP należy udostępnić następujące porty, które należy tunelować (przekierować) na lokalne porty VM.

*Jeśli masz odwrotny serwer proxy i chcesz korzystać z systemu za tym serwerem, nie ma potrzeby tunelowania portów HTTP i HTTPS. Konfiguracja serwera proxy należy do Ciebie, w tym zapewnienie i instalacja certyfikatu SSL.

Adresy IP centrów serwisowych

Z poniższych adresów IP wykonywane są czynności serwisowe i regularna konserwacja. Zaleca się ograniczenie dostępu do niektórych otwartych portów do tych adresów IP (patrz tabele wymagań dotyczących infrastruktury sieciowej).

Zezwolenie na komunikację wychodzącą (kierunek wychodzący)

Ten rozdział nie dotyczy Państwa, jeśli nie ograniczają Państwo komunikacji wychodzącej w swojej sieci.

Jeśli w sieci ograniczasz komunikację wychodzącą (zapora sieciowa na routerze lub serwerze fizycznym), należy zezwolić na następującą komunikację z maszyny wirtualnej do portów docelowych i adresów IP.

*Jeśli posiadasz własny serwer SMTP, z którego chcesz korzystać, nie ma potrzeby zezwalania na komunikację z domyślnymi zewnętrznymi serwerami SMTP.

**Jeśli nie planujesz wysyłać statystyk DILIA, konfiguracja tego portu nie jest obowiązkowa.

***Jeśli podczas wdrażania konieczne będzie połączenie z naszą bazą danych. 

Prawidłowe ustawienia proxy / zapory sieciowej / routera

Prawie zawsze w bibliotece znajduje się jakiś element, który obsługuje publiczny adres IP, a następnie przekierowuje dane do maszyny wirtualnej z Tritiem. Dochodzi do klasycznego przekierowania, a tym samym do zmiany adresów IP zawartych w nagłówkach żądań HTTP. Niektóre funkcje Tritia są zależne od rozróżnienia między użytkownikami wewnętrznymi i zewnętrznymi (zwłaszcza statystyki dostępu do katalogu), dlatego konieczne jest zapewnienie, aby katalog otrzymał informację o pierwotnym adresie IP, z którego pochodzi żądanie. Służy do tego nagłówek HTTP X-FORWARDED-FOR, który musi być prawidłowo skonfigurowany przez element proxy.

Konkretne ustawienia różnią się w zależności od używanego elementu sieciowego lub serwera. Prosimy skonsultować się z administratorem.

Bezpieczne umiejscowienie w infrastrukturze sieciowej

Ten rozdział nie dotyczy Państwa, jeśli nie wymagają Państwo wysokiego poziomu bezpieczeństwa.

Jeśli wymagany jest bardzo wysoki poziom bezpieczeństwa, należy zapewnić bezpieczną lokalizację maszyny wirtualnej w ramach infrastruktury sieciowej. Dotyczy to wyłącznie szczególnych przypadków, w których klienci sami są świadomi tej potrzeby.

W takich przypadkach konieczne jest umieszczenie maszyny wirtualnej w infrastrukturze sieciowej w taki sposób, aby miała dostęp wyłącznie do niezbędnych zasobów i tylko w wymaganym kierunku. VM nie może mieć dostępu do zasobów ryzykownych – można to zapewnić np. za pomocą zapory sieciowej lub umieszczenia w strefie DMZ. W praktyce oznacza to zezwolenie na komunikację sieciową tylko na starannie wybranych portach, które są dodatkowo ograniczone adresami IP.

Wykorzystane technologie, protokoły i oprogramowanie

Jeśli korzystasz z zaawansowanej zapory sieciowej, która szczegółowo monitoruje ruch, musisz skonfigurować dla maszyny wirtualnej z Tritium oczekiwany ruch, używane protokoły i oprogramowanie. Poniżej znajduje się tabela przeglądowa.

Veřejný přístup k webovému systému (HTTPS)

Webový systém Tritius je možné vystavit na dohodnuté doménové adrese.

Systém z bezpečnostních důvodů podporuje výhradně komunikaci pod zabezpečeným protokolem HTTPS. SSL certifikát k dohodnuté doméně zajistíme zdarma (případně je možné použít již existujícící certifikát, pokud takový vlastníte).

Pro zajištění veřejného přístupu k webovému systému Tritius existují následující možnosti:

1. Umístění webového systému na novou doménu 3. řádu - nejsnadnější a námi doporučovanou varianta
   • Vyžaduje vlastnictví volné veřejné IP adresy s volným portem 80 a 443. (Port 80 je vyžadován jen pro automatické přesměrování uživatelů, kteří omylem přistoupí k nezabezpečenému HTTP)
   • Příklad pro knihovnu s názvem "Dobrá Knihovna", která vlastní doménu "dobraknihovna.cz" a veřejnou IP adresu 99.88.77.66:
     • Je třeba vytvořit DNS záznam typu A: "tritius.dobraknihovna.cz    A 99.88.77.66"
     • Katalog pro čtenáře: https://tritius.dobraknihovna.cz/Katalog
     • Přístup pro obsluhu: https://tritius.dobraknihovna.cz/Tritius
        
2. Umístění webového systému na existující doménu za reverzní proxy server - složitější varianta, ale nevyžaduje volnou veřejnou IP adresu
   • Vyžaduje přístup k existujícímu webovému serveru na dané doméně a možnost jeho nastavení jako reverzní proxy server.
   • Příklad pro knihovnu s názvem "Dobrá Knihovna", která vlastní doménu "dobraknihovna.cz", na které provozuje webové stránky na adrese http://www.dobraknihovna.cz:
     • Je třeba zajistit provoz existujícího webového serveru pod HTTPS - webové stránky nově poběží také na adrese https://www.dobraknihovna.cz (je třeba pořídit SSL certifikát)
     • Je třeba zajistit nastavení existujícího webového serveru jako reverzní proxy pro adresy https://www.dobraknihovna.cz/Katalog a https://www.dobraknihovna.cz/Tritius, které budou v lokální síti přesměrovány na virtuální stroj s běžícím Tritiem
     • Katalog pro čtenáře: https://www.dobraknihovna.cz/Katalog
     • Přístup pro obsluhu: https://www.dobraknihovna.cz/Tritius
   • Nastavení reverzní proxy
     • Apache
       • ProxyRequests Off
       • ProxyPreserveHost On
       • Timeout 300
       • ProxyTimeout 300
       • RequestHeader X-Forwarded-Proto "https"
     • IIS
       • Actions → add
       • HTTP_X_FORWARDED_HOST = tritius.knihovna.cz
       • HTTP_X_FORWARDED_PROTO = https

Provoz na lokální síti

Pokud je server s Tritiem umístěn přímo v lokální síti knihovny, musí být zajištěna možnost komunikace lokálních počitačů s Tritiem. Je třeba zvážit několik potenciálních problémů a uzpůsobit tomu síťovou infrastrukturu a/nebo nastavení:

• Překlad DNS jména např. tritius.knihovna.cz vede na veřejnou IP adresu serveru s Tritiem. Tato IP adresa musí být dostupný i z lokální sítě. Ne vždy je to možné.
• Lze použít lokální DNS server, který pro dotazy z lokální sítě bude vracet přímo lokální IP adresu.
• Lze použít proxy/firewall, který požadavky směřující na danou doménu přesměruje na lokální server.
• Lze použít lokální záznamy DNS v souboru hosts a donutit tak stanice komunikovat s lokální IP adresou.

Odchozí SMTP server

Tritius odesílá mnoho různých typů e-mailů (upomínky, novinky apod.) a proto potřebuje nějaký SMTP server pro odesílání pošty. Ve standardním nastavení Tritia jsou použity servery společnosti Tritius Solutions a.s. Při instalaci Tritia na vlastní server knihovny je běžné použít interní SMTP server knihovny.

Tritius na SMTP knihovny neklade žádné zvláštní požadavky. Pouze doporučujeme zvážit řádně zabezpečení SMTP serveru (jeho umístění v infrastruktuře, šifrování a použité verze protokolů), aby se knihovna nestala rozesílačem spamu.

Dále:

Technické požadavky na provoz systému Tritius jako služby