Необходимо добавить в исключения используемые порты и протоколы.

Пример с использованием UFW

• Открыть порт https на сервере c nginx:

sudo ufw allow https

• Открыть порт 5432 для подключения к базе Postgres:

sudo ufw allow 5432/tcp

• Открыть порт 4616 для подключения к vitro-workflow:

sudo ufw allow 4616/tcp

• Открыть порт 4615 для подключения к vitro-server:

sudo ufw allow 4615/tcp

1. Использование входящих https-соединений для nginx:

в файл /etc/nginx/sites-available/default отредактировать или добавить следующие блоки:

server {
        listen 80 default_server;
        listen [::]:80 default_server;
         
        #permanent redirekt from http to https
        return 301 https://$host$request_uri;
}
server {
        # SSL configuration
        #
        listen 443 ssl default_server;
        listen [::]:443 ssl default_server;
  
        server_name vitro.example.ru;
        }  
}

Более подробно настройка сертификатов и nginx описана в статье по установке.

  2. Настройка защищенного соединения для подключения к базе данных:

• Указать алгоритмы шифрования, которые будут использоваться сервером баз данных, изменив параметр ssl_ciphers в postgresql.conf.
• Поместить сертификаты корневых центров сертификации (CA), которым вы доверяете, в файл в каталоге данных
• Установить параметр ssl_ca_file в postgresql.conf для нового имени файла и добавить опцию аутентификации clientcert=verify-ca или clientcert=verify-full в соответствующие hostssl строки в файле pg_hba.conf.

Более подробно настройка шифрованного соединения для подключения к базе данных описана в официальной документации.

На примере настройки для ОС Ubuntu:

1. Установить необходимые пакеты

   apt install heimdal-clients chrony

2. Задать имя серверу

   hostnamectl set-hostname vitroweb.domain.local

3. Настроить синхронизацию времени

   timedatectl set-timezone Europe/Moscow

4. Добавить в файл chrony.conf строку: 

   nano /etc/chrony.conf server dc1.domain.local iburst

5. Создание учетной записи в AD

   1. На контроллере домена в оснастке "Пользователи и компьютеры" добавить нового пользователя со стандартными правами. От этой учетной записи будут выполняться запросы к AD DS. В текущем примере создаем пользователя с именем входа vitro_krb5.

6. Создание keytab-файла 

   ktpass /princ HTTP/vitroweb.public.com@DOMAIN.LOCAL /mapuser vitro_krb5@DOMAIN.LOCAL /crypto ALL /ptype KRB5_NT_PRINCIPAL /out C:\temp\krb5.keytab /pass <пароль пользователя>

7. Настройка kerberos на Linux сервере:

   1. Открыть на редактирование файл krb5.conf 

      nano /etc/krb5.conf

   2. Привести файл к виду: 

      [libdefaults] default_realm = DOMAIN.LOCAL # The following krb5.conf variables are only for MIT Kerberos. kdc_timesync = 1 ccache_type = 4 forwardable = true proxiable = true # The following libdefaults parameters are only for Heimdal Kerberos. fcc-mit-ticketflags = true [realms] DOMAIN.LOCAL = { kdc = 10.0.0.1 kdc = 10.0.0.5 admin_server = domain.local default_domain = domain.local } [domain_realm] .domain.local = DOMAIN.LOCAL domain.local = DOMAIN.LOCAL

   3. Перейти в каталог с файлом keytab и выполнить команду: 

      kinit -S HTTP/vitroweb.domain.local@DOMAIN.LOCAL vitro_krb5

   4. Выполнить: 

      klist

8. Настройка Веб-приложения Vitro для авторизации в каталоге LDAP/AD при помощи сервис принципала

   1. Отредактировать (а при отсутствии предварительно создать) файл /usr/local/Vitro.Server.Core.Web/Vitro/Server/Conf/auth.json: 

      { "DomainName": "dc1.domain.local", "Container": "DC=vitro,DC=intra", "UserName": "vitro_krb5", "Password": "@pwd4krb!", "AuthType": "Basic" }

Подробности указаны в статьях по настройке для Linux и Windows.