Jitsi Meet oferuje dwie oddzielne funkcje zabezpieczeń: uwierzytelnianie serwera decyduje, kto może utworzyć spotkanie, a hasło do pokoju blokuje do niego dostęp osobom nieznającym hasła. Rozwiązują one różne problemy. Na serwerze hostowanym samodzielnie, starsza konfiguracja „bezpiecznej domeny” Prosody może wymagać nazwy użytkownika i hasła do tworzenia pokoi, jednocześnie umożliwiając gościom dołączanie. Aktualny podręcznik Jitsi oznacza tę metodę jako przestarzałą w przypadku nowych instalacji i zaleca zamiast niej uwierzytelnianie oparte na tokenie. Obecni administratorzy mogą skorzystać z poniższej procedury jako przewodnika po zgodności, ale powinni planować nowe wdrożenia z uwzględnieniem obsługiwanej konfiguracji tokena lub dostawcy tożsamości.
Hasła do sal to osobna funkcja dostępna podczas spotkania, która pozostaje użyteczna obok uwierzytelniania na serwerze. Ustaw hasło po uruchomieniu sali, udostępnij je za pośrednictwem kanału prywatnego i przetestuj proces dołączania w drugiej przeglądarce, zanim zaprosisz uczestników.
| Bramka | Używać | Co to robi |
|---|---|---|
| Kontroluj, kto może tworzyć pokoje | Uwierzytelnianie serwera | Wymaga zatwierdzonego konta Jitsi lub tokena podczas tworzenia pokoju. W zależności od ustawień gościa, inne osoby nadal mogą dołączyć jako goście. |
| Zachowaj prywatność istniejącego pokoju | Hasło do pokoju | Wymaga podania hasła przez osoby dołączające po ustawieniu hasła. Nie powoduje usunięcia uczestników, którzy już są w pokoju. |
| Zatrzymaj gości do czasu przybycia gospodarza | Funkcja lobby lub oczekiwania na gospodarza | Dodaje osobny etap wstępu. Samo hasło do pokoju nie potwierdza tożsamości ani nie weryfikuje, kto je otrzymał. |
W przypadku małego spotkania wystarczy unikalna nazwa pokoju i hasło do niego. W organizacji, która potrzebuje tworzenia pokoi na podstawie konta, należy również skonfigurować uwierzytelnianie na serwerze. W przypadku nowych wdrożeń hostowanych samodzielnie, przed wyborem implementacji należy zapoznać się z aktualnym przewodnikiem uwierzytelniania Jitsi oraz odpowiednią konfiguracją uwierzytelniania tokenem.
Rozpocznij spotkanie, otwórz menu zabezpieczeń lub opcji spotkania na pasku narzędzi, wybierz akcję hasła i wprowadź silne hasło do pokoju. Etykieta i ikona menu mogą się różnić w zależności od wersji klienta. Jeśli spotkanie już się rozpoczęło, ustawienie hasła ma wpływ na przyszłe dołączenia; osoby, które już dołączyły, nie zostaną automatycznie usunięte. Wyślij hasło oddzielnie od linku do spotkania, gdy ważna jest poufność.
W FAQ Jitsi wyjaśniono, że hasło do pokoju jest usuwane po zakończeniu spotkania, więc nie należy zakładać, że spotkania cykliczne je zachowają. Ustaw je ponownie dla każdego nowego spotkania i sprawdź działanie we własnym środowisku. Każdy, kto otrzyma lub zostanie przekierowany, może mieć dostęp do hasła, więc hasło nie jest tym samym, co lista dostępu nazwanego użytkownika. Zobacz oficjalne FAQ Jitsi dotyczące ochrony spotkań .
W klasycznym modelu „bezpiecznej domeny” Prosody uwierzytelnia twórców pokoi na podstawie kont lokalnych. Jitsi umożliwia następnie nieuwierzytelnionym uczestnikom połączenie się przez domenę gościa. Jest to przydatne, gdy tylko personel powinien otwierać pokoje, a uczestnicy nie powinni potrzebować kont. Nie wymaga to logowania się każdego uczestnika. Jeśli każdy użytkownik musi się uwierzytelnić, dostęp gościa należy wyłączyć lub zastąpić polityką tożsamości i dostępu używaną w obecnym modelu uwierzytelniania.
Dokumentacja Jitsi oznacza tę starszą metodę bezpiecznej domeny jako przestarzałą w przypadku nowych instalacji. Kontynuuj tylko wtedy, gdy rozumiesz to ograniczenie i utrzymujesz kompatybilny istniejący serwer. Przed edycją zidentyfikuj sposób instalacji Jitsi, zanotuj nazwę hosta Jitsi Meet, utwórz kopię zapasową plików konfiguracyjnych Prosody, Jicofo i web oraz utrzymuj aktywną sesję administratora lub konsolę dostępną na wypadek, gdyby błąd składni przerwał działanie usługi.
Otwórz plik Prosody dla swojej nazwy hosta Jitsi, standardowo /etc/prosody/conf.avail/jitsi.example.com.cfg.lua. Zastąp przykładową nazwę hosta poniżej rzeczywistą domeną. W głównym hoście wirtualnym zmień tryb uwierzytelniania na zaszyfrowane hasła wewnętrzne. Dodaj po nim gościnnego hosta wirtualnego:
VirtualHost "jitsi.example.com"
authentication = "internal_hashed"
VirtualHost "guest.jitsi.example.com"
authentication = "jitsi-anonymous"
c2s_require_encryption = falseZachowaj inne istniejące opcje i moduły. Nie twórz rekordów DNS ani certyfikatu publicznego dla guest.jitsi.example.comdomeny Jitsi; w tej konfiguracji jest to wewnętrzna domena Jitsi.
Otwórz /etc/jitsi/meet/jitsi.example.com-config.jsi dodaj anonymousdomainwewnątrz istniejącego hostsobiektu. Zachowaj istniejące domaini pozostałe wpisy oraz dokładnie sprawdź przecinki:
hosts: {
domain: 'jitsi.example.com',
anonymousdomain: 'guest.jitsi.example.com'
},Edytuj /etc/jitsi/jicofo/jicofo.conf. Dodaj ustawienia uwierzytelniania w istniejącym jicofobloku; nie twórz duplikatu bloku najwyższego poziomu:
jicofo {
authentication {
enabled = true
type = XMPP
login-url = "jitsi.example.com"
}
}Jeśli plik zawiera już jicofosekcję, scal te właściwości. Składnia konfiguracji i wygenerowane pliki mogą się różnić w zależności od wersji pakietu, dlatego przed ponownym uruchomieniem usług należy porównać wynik z aktualną stroną podręcznika dotyczącą instalacji.
Po sprawdzeniu zmian uruchom ponownie usługi jako administrator:
sudo systemctl restart prosody
sudo systemctl restart jicofo
sudo systemctl restart jitsi-videobridge2Zarejestruj konto twórcy pokoju w Prosody. Zastąp symbole zastępcze; nigdy nie używaj przykładowej domeny ani słabego hasła na serwerze produkcyjnym:
sudo prosodyctl register <username> jitsi.example.com <strong-password>Każde konto jest powiązane z nazwą hosta Jitsi. Utwórz osobne konta zamiast udostępniać jedno konto administratora, jeśli później będziesz musiał cofnąć dostęp. Dokumentacja domeny Secure-Domain Jitsi zawiera listę ścieżek konfiguracji i polecenia rejestracji specyficznych dla danego pakietu. Wyraźnie zaznaczono tam również, że ta metoda jest przestarzała.
Nie edytuj plików w działających kontenerach ani nie kopiuj ścieżek pakietów Debiana do wdrożenia Dockera. W oficjalnej konfiguracji Docker Compose uwierzytelnianie jest konfigurowane za pomocą pliku środowiskowego wdrożenia. W podręczniku opisano następujące istotne wartości dla uwierzytelniania kont wewnętrznych:
ENABLE_AUTH=1
ENABLE_GUESTS=1
AUTH_TYPE=internalPozostaw włączony dostęp dla gości, jeśli uczestnicy mają mieć możliwość dołączania bez własnych kont. Po włączeniu dostępu dla gości, nieuwierzytelnieni użytkownicy mogą dołączać zgodnie ze skonfigurowanym zachowaniem gościa; nie stają się oni uwierzytelnionymi twórcami pokoju. Zastosuj zmiany w środowisku za pomocą przepływu pracy Compose dla swojego wdrożenia i sprawdź logi, jeśli usługi nie zostaną poprawnie uruchomione.
Utwórz użytkownika wewnętrznego za pośrednictwem usługi Prosody, zamiast zmieniać wygenerowaną konfigurację kontenera. Oficjalny podręcznik pokazuje otwieranie powłoki w kontenerze Prosody i rejestrowanie użytkownika za pomocą prosodyctl. Ścieżka konfiguracji i domena XMPP zależą od wersji Compose; w udokumentowanym obrazie Dockera konfiguracja Prosody znajduje się w /config/prosody.cfg.lua, a przykładowa domena XMPP to meet.jitsi. Użyj dokładnego polecenia i wartości udokumentowanych dla Twojej wersji. Zapoznaj się z oficjalnym podręcznikiem samodzielnego hostingu Dockera, aby uzyskać informacje na temat zmiennych środowiskowych, tworzenia kont i zachowania generowanej konfiguracji.
Jeśli monit o zalogowanie się nigdy nie pojawi, sprawdź nazwy hostów Prosody, blok Jicofo, anonymousdomainwartość klienta i dzienniki usług. Częstym błędem konfiguracji jest użycie domeny gościa, która nie pasuje do Prosody i config.js, lub dodanie drugiego bloku Jicofo zamiast rozszerzenia istniejącego. Jeśli goście nie mogą dołączyć, sprawdź, czy dostęp gościa został celowo włączony i czy skonfigurowana domena gościa jest zgodna z główną nazwą hosta.
Nie rozpoczynaj nowego wdrożenia z przestarzałą formułą domeny bezpiecznej, chyba że masz konkretny powód związany ze zgodnością. Aktualne materiały Jitsi dotyczące samodzielnego hostingu zalecają uwierzytelnianie tokenem dla nowych instalacji, podczas gdy szerszy przewodnik uwierzytelniania dokumentuje nowszą integrację z dostawcą tożsamości. Te podejścia wymagają dodatkowej konfiguracji wystawcy, podpisu lub dostawcy tożsamości; nie są one zamienne z hasłem do pokoju Prosody. Wybierz model odpowiadający Twoim potrzebom, a następnie użyj haseł do pokoju lub lobby jako osobnych elementów sterujących na poziomie spotkania, tam gdzie to właściwe.
Krótko mówiąc: użyj uwierzytelniania kontem lub tokenem, aby kontrolować, kto może tworzyć pokoje, i ustaw hasło do pokoju, aby ograniczyć późniejsze dołączanie do osób znających hasło. Przetestuj obie ścieżki niezależnie, ponieważ włączenie jednej nie powoduje automatycznego włączenia drugiej.
Porównaj 10 narzędzi do pingowania, które umożliwiają szybkie wykrywanie sieci LAN, skanowanie międzyplatformowe i zarządzanie adresami IP. Dowiedz się, co narzędzie pingujące może Ci powiedzieć, a czego nie.
Porównaj sześć narzędzi do zarządzania siecią służących do monitorowania wydajności, obejmujących zasięg SNMP, mapowanie, alerty, modele wdrażania i kompromisy kosztów.
Porównaj siedem darmowych i otwartych monitorów pingów — od kompletnych pakietów sieciowych po ukierunkowane sondy opóźnień — i wybierz odpowiedni monitor pod kątem dostępności, utraty pakietów i historii.
Dowiedz się, co oznacza QoS w sieciach, w jaki sposób oznaczenia DSCP i kolejki ruchu nadają priorytet aplikacjom głosowym, wideo i biznesowym oraz czego QoS nie jest w stanie naprawić.
Porównaj niezawodne oprogramowanie serwera SFTP dla systemów Windows i Linux, w tym OpenSSH, Bitvise, SolarWinds i SFTPGo. Znajdź rozwiązanie odpowiednie dla swoich potrzeb w zakresie bezpieczeństwa i transferu plików.
Porównaj siedem narzędzi do zarządzania adresami IP służących do wykrywania podsieci, koordynacji DNS i DHCP, inwentaryzacji sieci i otwartego oprogramowania IPAM.
Porównaj sześć narzędzi do monitorowania systemu Windows Server pod kątem zbierania danych systemu Windows, widoczności aplikacji, modelu wdrażania i licencjonowania, aby znaleźć odpowiednie rozwiązanie.
Porównaj narzędzia do skanowania sieciowego umożliwiające szybkie wykrywanie urządzeń, skanowanie adresów IP na wielu platformach oraz zarządzanie IPAM w przedsiębiorstwie. Znajdziesz tu wskazówki dotyczące dopasowania każdej opcji do swojej sieci.
Zbuduj praktyczny monitoring sieci z przejrzystym zakresem urządzeń, przydatnymi wskaźnikami wydajności, przydatnymi alertami oraz porównaniem SolarWinds NPM, PRTG i OpManager.
Użyj opcji --traceroute programu Nmap, aby mapować przeskoki do autoryzowanego hosta, zrozumieć dane wyjściowe dotyczące przeskoków i czasu RTT oraz rozwiązywać problemy z brakującymi odpowiedziami bez nadmiernego skanowania.
