Instruction de déploiement Stargate

🇩🇪 Hinweis zu Übersetzungen | 🇫🇷 Remarque concernant les traductions
🇮🇹 Avvertenza sulle traduzioni | 🇬🇧 Translation notice

🇩🇪🇫🇷🇮🇹🇬🇧

Für verlässliche Informationen nutzen Sie bitte die offiziellen Übersetzungen über den Sprachschalter . Automatische Browser-Übersetzungen können Inhalte verfälschen.

Pour obtenir des informations fiables, veuillez utiliser les traductions officielles accessibles via le sélecteur de langue . Les traductions automatiques du navigateur peuvent déformer le contenu.

Per informazioni affidabili, utilizzare le traduzioni ufficiali accessibili tramite il selettore della lingua . Le traduzioni automatiche del browser possono alterare i contenuti.

For reliable information, please use the official translations available via the language selector . Automatic browser translations may distort the content.

Qu'est-ce que Stargate ?

Prérequis

Veuillez vous assurer que toutes les étapes préparatoires nécessaires ont été effectuées avant le début des activités de migration ou de nouvelle installation du HIN Gateway.

Les éléments suivants doivent être disponibles ou confirmés avant l'installation :

• Les identifiants vous seront fournis par HIN

  • Identifiants VM
  • Identifiants Keycloak
  • Code d'activation

• Exportation de la ou des clé(s) privée(s)

Info

L'exportation des clés privées ne concerne que les clients qui passent d'un MGW existant à un nouveau HIN Gateway

• Si vous travaillez sur une machine Windows ayant accès à la VM Mail Gateway via le port 22, nous pouvons vous accompagner pendant l'appel pour activer l'exportation de la clé privée depuis le MGW.
• Si vous n'avez pas accès à une telle machine, veuillez contacter le support HIN par e-mail ou par téléphone (support@hin.ch / 0848 830 740) afin qu'il vous aide à établir une connexion de support via System Administration → Support Connection → Connect.

Pour les clients disposant de plusieurs domaines

Note : applicable à tous les scénarios de migration multi-domaine !

Afin de réduire le temps nécessaire à l'exécution de la migration, nous encourageons les clients à effectuer les étapes suivantes avant la date et la session de migration prévues :

• Exportez la clé privée pour chaque domaine.
• Identifiez et documentez le flux de courrier entrant et sortant pour chaque domaine.

Veuillez contacter le support HIN pour obtenir le code de déverrouillage nécessaire à l'exportation des clés privées.

• Téléchargez la dernière version de l'image VM
• Exigences pare-feu pour WireGuard. Configurez le port WireGuard 19818 (TCP/UDP) dans votre pare-feu :
  • Trafic entrant et sortant
  • Autoriser le trafic : any-to-HIN Gateway et HIN Gateway-to-any

• L'accès DHCP doit être disponible. Pour plus d'informations, voir "Installation Guidelines".

• Exigences de sauvegarde - voir "Annexe 1 - Sauvegarde et restauration des paramètres de l'appliance".

Info

Les exigences de sauvegarde ne concernent que les clients qui passent d'un MGW existant à un nouveau HIN Gateway

• Confirmation que le MGW existant ne sera pas supprimé avant que la réception ait été effectuée.

Info

Le maintien de la disponibilité du MGW existant jusqu'à ce que le rapport de réception soit terminé ne concerne que les clients qui passent d'un MGW existant à un nouveau HIN Gateway

• Accès au DNS, aux connecteurs du serveur de messagerie, aux règles de transport et aux paramètres de relais.

Démarrage rapide

Options d'installation

• Installation par image VM:
  • Installation par image VM Azure
  • Installation par image VM Windows 11 Pro (Hyper-V)
  • Installation par image VM VMware
  • Installation par image VM Proxmox
  • Installation par image VM Cloudscale.ch

Second disque requis : le Data Disk

L'appliance utilise deux disques : le disque système issu de l'image et un Data Disk distinct qui contient l'ensemble de la configuration, des secrets, des e-mails et des bases de données. Cette séparation permet à une mise à niveau de l'image de remplacer le système d'exploitation sans toucher à vos données.

L'OVA VMware inclut déjà ce disque. Sur toutes les autres plateformes (Proxmox, Hyper-V, Azure, Cloudscale), l'image ne comporte qu'un seul disque système : vous devez donc ajouter un second disque vierge d'au moins 30 Go avant le premier démarrage.

Ne le formatez pas et ne le partitionnez pas vous-même. Au premier démarrage, l'appliance formate le disque vierge (étiquette VEREIGN-DATA) et le monte sur /var/data. Sans ce disque, le contrôle de santé du premier démarrage échoue et un retour arrière (rollback) est effectué.

🖨️

Vous pouvez obtenir cette documentation imprimée ou sauvegardée en PDF, veuillez visiter notre Page d'impression.

Intégration Exchange

• Intégration Exchange - Configurez les connecteurs Microsoft Exchange (Online et On-Premises) et les règles de transport pour acheminer les courriels via Stargate

Exigences du serveur

	Minimum	Recommandé
CPU, Cœurs	4	6
RAM, GB	8	12
SSD, GB	60	60

Exigences communes

• Accès root: Doit être exécuté en tant que root ou avec sudo
• Distributions prises en charge:
  • Distributions compatibles RHEL 8, 9 et 10 telles que Alma Linux, Rocky Linux, CentOS Stream
  • Ubuntu 22 et 24
  • Debian 11, 12 et 13
• Adresse IPv4 réelle
• Enregistrements DNS valides. Votre domaine doit avoir:
  • Des enregistrements MX pointant vers vos serveurs de courrier
  • Un enregistrement SPF définissant les réseaux d'envoi autorisés
  • Le serveur doit être capable de résoudre le DNS (enregistrements MX, SPF, A)
  • Utilisé pour le routage du courrier et la liste d'autorisation réseau basée sur SPF

Accès réseau entrant (le pare-feu doit autoriser)

Port	Protocole	Objectif
25	TCP	SMTP - réception des courriels des serveurs externes ou d'un MTA installé en amont du HIN Gateway.
19818	UDP+TCP	WireGuard - tunnel crypté pour la communication agent-à-agent. Lisez notre Évaluation de sécurité WireGuard

Accès entrant à la VM (de votre poste d'administration vers la VM HIN Gateway)

Info

Ces règles de pare-feu doivent être appliquées uniquement entre votre poste d'administration et la VM HIN Gateway. Il n'est pas nécessaire d'exposer ces ports à Internet.

Port	Protocole	Objectif
80	TCP	Redirige le trafic HTTP vers HTTPS
443	TCP	Utilisé pour administrer HIN Gateway via le tableau de bord web
8180	TCP	Utilisé par Keycloak pour authentifier les utilisateurs du tableau de bord HIN Gateway
8190	TCP	Facultatif. Requis pour le dépannage et la consultation des journaux
22	TCP	Facultatif. Requis pour le dépannage et la modification de la configuration

Accès réseau sortant (le serveur doit atteindre)

Destination	Port	Protocole	Objectif
registry-1.docker.io, auth.docker.io, production.cloudflare.docker.com	443	TCP	Registre d'images Docker Hub
quay.io	443	TCP	Registre de conteneurs (Keycloak, oauth2-proxy)
github.com	443	TCP	Dépôt de politiques (policy-sync)
Votre propre point de terminaison Loki (p. ex. loki.example.com)	443	TCP	Optionnel. Nécessaire uniquement si vous fournissez votre propre instance Loki vers laquelle la stack doit envoyer les logs (Alloy → Loki)
Serveur de mise à jour d'Alpine, AlmaLinux, etc.	80	TCP	Divers serveurs de mise à jour - https://hub.docker.com/
Serveurs de courrier de destination	25	TCP	Livraison des courriels sortants via recherche MX, ou livraison au MTA suivant configuré comme serveur sortant.
Serveurs DNS	53	UDP+TCP	Sortant vers les serveurs DNS publics
ntp.metas.ch (serveur NTP par défaut)	123	UDP	NTP synchronise les horloges des ordinateurs, serveurs, équipements réseau et machines virtuelles avec des sources de temps précises
Pairs WireGuard (réseau HIN)	19818	UDP+TCP	WireGuard - tunnel crypté pour la communication agent-à-agent
witness-{1,2,3}.verify-mail.hin-infra.ch	443	TCP	Pool de témoins KERI de HIN - requis pour la vérification des identités des agents (idagent / watcher)
app.hin.ch	443	TCP	Liste des membres / domaines de messagerie HIN (mxengine)
apisix.verify-mail.hin-infra.ch	443	TCP	Enregistrement de la passerelle HIN lors de l'intégration (tableau de bord)

Utiliser votre propre serveur NTP

L'appliance est préconfigurée pour utiliser ntp.metas.ch (Institut fédéral de métrologie). Si votre réseau n'autorise pas le NTP sortant, configurez votre propre serveur de temps au lieu d'ouvrir le port 123 vers Internet - un serveur interne est entièrement pris en charge.

Pour définir les vôtres, créez le fichier suivant sur l'appliance puis rechargez. Vous pouvez indiquer autant de serveurs que nécessaire, un par ligne :

sudo tee /var/data/vereign/chrony/ntp.sources <<'EOF'
pool ntp1.example.local iburst
pool ntp2.example.local iburst
EOF
sudo chronyc reload sources
chronyc sources -v

Le fichier doit être nommé exactement ntp.sources. Sous ce nom, votre liste remplace la valeur par défaut ; sous tout autre nom, elle s'y ajoute. Supprimez le fichier et rechargez pour revenir à ntp.metas.ch.

L'exactitude de l'heure n'est pas optionnelle. Si l'horloge dérive, la validation des certificats, la signature des messages et les sessions de connexion échouent de manière difficile à diagnostiquer.

Remarque importante concernant l'exploitation sur Microsoft Azure

Exploitation sur Microsoft Azure Pour la connexion SMTP Relay du HIN Gateway à Exchange Online, le trafic sortant via le port TCP 25 doit être autorisé.

Microsoft Azure bloque les connexions sortantes via le port 25 pour la plupart des modèles d'abonnement. HIN n'a aucune influence sur la disponibilité ou l'activation de ce port par Microsoft. L'exploitation du HIN Gateway sur Azure ne constitue donc pas un scénario de déploiement pris en charge par défaut. Des exceptions existent notamment pour certains abonnements Entreprise de Microsoft. Vérifiez donc avant toute installation sur Azure si votre abonnement autorise le trafic SMTP sortant via le port TCP 25.

Si vous avez des questions concernant la variante d'exploitation appropriée, veuillez contacter suffisament tôt votre personne de contact chez HIN.

Remarque concernant le pare-feu

Selon la configuration de votre pare-feu ou de votre NAT, il peut être nécessaire d'autoriser explicitement le trafic sur les ports requis. Consultez la documentation de votre pare-feu ou de votre configuration NAT pour plus d'informations.

La VM doit pouvoir accepter les connexions entrantes sur les ports de service requis et renvoyer les réponses au demandeur. Avec un pare-feu à états (par exemple iptables utilisant conntrack), le trafic de retour est automatiquement autorisé par les règles ESTABLISHED,RELATED.

Exemple de configuration iptables :

# Autoriser le trafic de retour des connexions établies
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# Autoriser les connexions TCP entrantes vers les ports ouverts
iptables -A INPUT -p tcp -m multiport --dports 25,19818 -j ACCEPT

# Autoriser les connexions TCP sortantes vers les ports ouverts
iptables -A OUTPUT -p tcp -m multiport --dports 25,19818 -j ACCEPT

# Autoriser le port UDP 19818 entrant pour WireGuard
iptables -A INPUT -p udp --dport 19818 -j ACCEPT

# Autoriser le port UDP 19818 sortant pour WireGuard
iptables -A OUTPUT -p udp --dport 19818 -j ACCEPT

# Services supplémentaires auxquels la VM doit pouvoir accéder
# DNS
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT

# NTP
iptables -A OUTPUT -p udp --dport 123 -j ACCEPT

# HTTP
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT

# HTTPS
iptables -A OUTPUT -p tcp --dport 443 -j ACCEPT

Approche de migration recommandée selon le nombre de domaines

Clients avec 3 domaines ou moins

• HIN recommande de migrer tous les domaines en une seule fois.
• HIN accompagnera le client dans la migration réussie du premier domaine.
• Une fois le premier domaine migré avec succès, le client peut migrer les domaines restants de manière autonome.
• Cette approche permet de garder la migration simple et évite la nécessité d’un environnement parallèle.

Clients avec plus de 3 domaines

• HIN recommande de mettre en place un environnement parallèle à côté du MGW existant.
• Les domaines peuvent ensuite être migrés progressivement vers le nouvel environnement.
• HIN accompagnera le client dans la migration réussie du premier domaine.
• Après la première migration réussie, le client peut décider comment et quand transférer les domaines restants vers le nouvel environnement.

Contactez-nous

Support

Pour toute question ou problème lié au déploiement et au fonctionnement de l'appliance HIN Mail (Stargate), veuillez contacter le support HIN.

Veuillez inclure des informations pertinentes telles que le nom du client, la version de l'appliance, et des captures d'écran/logs le cas échéant, pour nous aider à traiter votre demande efficacement.

---