Manual:Integrat/Module/Mobile/Instalare server - acces din Internet: Diferență între versiuni

De la Manual
Sari la navigare Sari la căutare
← Diferența anterioară
ChatGPTManual (discuție | contribuții)
manualeditor
3.503 editări
Standardizare instalare server cu acces din Internet si corectare flux browser - aplicatie instalata
ChatGPTManual (discuție | contribuții)
manualeditor
3.503 editări
Inlocuire denumire veche de setare Gateway cu Acces implicit din interfata curenta.
 
(Nu s-au afișat 2 versiuni intermediare efectuate de același utilizator)
Linia 8: Linia 8:
Instalarea pe server trebuie efectuata de administratorul de sistem sau de personal tehnic autorizat.
Instalarea pe server trebuie efectuata de administratorul de sistem sau de personal tehnic autorizat.


== Cerinte ==
== Variante de acces din Internet ==


Pentru instalarea modulului Mobile sunt necesare:
Accesul din Internet se poate face prin:


* un server Windows pe care este instalat Integrat.STS;
# '''STS Mobile Gateway''' - prin infrastructura Soft Team Solutions, fara publicarea directa a portului Mobile.Api.
* acces cu drepturi de administrator;
# '''HTTPS publicat de client''' - prin propriul server: cu '''Caddy.STS''' pentru o adresa IPv4 publica sau printr-un reverse proxy HTTPS configurat manual pentru un domeniu propriu.
* acces la Internet;
 
* un port disponibil pentru serviciul Mobile;
Accesul se configureaza in '''Integrat.STS / Utile / Setari / Generale / Speciale''', grupa '''Setari Mobile''': '''Acces implicit''', '''Acces local disponibil''' si '''Acces prin domeniu propriu disponibil'''. Disponibilitatea unei metode de acces se configureaza separat de alegerea ei drept implicita. Consultati [[Manual:Integrat/Module/Mobile/Configurare|Configurare Mobile]].
* un nume DNS destinat accesului din exterior (domeniul clientului sau un subdomeniu pus la dispozitie de Soft Team);
 
* acces la router/firewall pentru publicarea serviciului;
'''Modulul M este necesar numai pentru STS Mobile Gateway.''' Accesul direct prin HTTPS nu depinde de acest drept.
* posibilitatea publicarii portului HTTPS 443 catre server.
 
La instalarea initiala, accesul nu este publicat automat. Confirmati functionarea Mobile.Api inainte de configurarea HTTPS.


== Instalarea componentei Mobile ==
== Instalarea componentei Mobile ==
Linia 26: Linia 27:
In timpul instalarii se configureaza portul utilizat de serviciul Mobile si se creeaza serviciul Windows aferent.
In timpul instalarii se configureaza portul utilizat de serviciul Mobile si se creeaza serviciul Windows aferent.


Dupa instalare, serviciul are forma:
Serviciul are forma:


<pre>
<pre>
IntegratMobile_<port>
Integrat.STS.Mobile.<port>
</pre>
</pre>


Linia 35: Linia 36:


<pre>
<pre>
IntegratMobile_5277
Integrat.STS.Mobile.5277
</pre>
</pre>


== Verificarea serviciului Mobile ==
Verificarea serviciului se poate face din '''Services''' sau din Command Prompt:


Dupa instalare, se verifica daca serviciul Windows aferent modulului Mobile ruleaza corect.
<pre>
sc query "Integrat.STS.Mobile.5277"
</pre>


Serviciul poate fi verificat din '''Services''' sau din Command Prompt, utilizand:
Serviciul trebuie sa fie in starea:


<pre>
<pre>
sc query IntegratMobile_<port>
STATE : 4  RUNNING
</pre>
 
Pentru pornirea manuala, daca este necesar:
 
<pre>
sc start "Integrat.STS.Mobile.5277"
</pre>
</pre>


Exemplu:
Serviciul este configurat sa porneasca automat impreuna cu serverul Windows.
 
== Verificarea API-ului local ==
 
Dupa instalare, verificati starea API-ului:


<pre>
<pre>
sc query IntegratMobile_5277
curl http://127.0.0.1:<port>/sts-mobile/status
</pre>
</pre>


Serviciul trebuie sa fie in starea:
Exemplu:


<pre>
<pre>
STATE : 4  RUNNING
curl http://127.0.0.1:5277/sts-mobile/status
</pre>
</pre>


Pentru pornirea manuala a serviciului se poate utiliza:
Raspunsul indica, intre altele, portul Mobile, modul de acces si starea Gateway.
 
Puteti verifica si adresa pe care asculta serviciul:


<pre>
<pre>
sc start IntegratMobile_<port>
netstat -ano | findstr :5277
</pre>
</pre>


Dupa verificarea functionarii, serviciul Mobile trebuie configurat pentru pornire automata, astfel incat acesta sa porneasca impreuna cu serverul Windows.
Verificati ca Mobile.Api raspunde local pe portul configurat. Pentru Gateway si pentru Caddy.STS, backendul poate fi accesat de reverse proxy prin <code>127.0.0.1</code>; portul intern Mobile.Api nu trebuie publicat direct in Internet.
 
== Varianta 1 - STS Mobile Gateway ==
 
STS Mobile Gateway este varianta care permite accesul din Internet fara publicarea directa a serverului Mobile.
 
=== Cerinte Gateway ===
 
Pentru acest mod sunt necesare:
 
* server Windows pe care este instalat Integrat.STS;
* drepturi de administrator pentru instalarea componentei Mobile;
* acces la Internet din server;
* licenta care include modulul '''M''';
* serviciul <code>Integrat.STS.Mobile.&lt;port&gt;</code> instalat si functional.
 
Pentru Gateway '''nu sunt necesare''':
 
* IP public la locatia clientului;
* domeniu sau subdomeniu propriu;
* redirectionare NAT pentru portul Mobile;
* publicarea portului intern Mobile in Internet;
* instalarea Caddy pentru publicarea Mobile.
 
=== Activarea Gateway ===
 
In '''Integrat.STS / Utile / Setari / Generale / Speciale''', selectati '''Acces implicit = Gateway mobile.softteam.ro'''. Accesul este disponibil numai daca licenta include modulul '''M'''.
 
La activarea licentei, Integrat.STS obtine si salveaza configuratia necesara instalarii Gateway. Identificarea instalarii si credentialele sunt administrate automat; nu trebuie introduse manual de utilizator.
 
Adresele configurate pentru accesul local sau prin domeniu propriu sunt independente de conexiunea Gateway si nu sunt folosite pentru rutarea acesteia.
 
=== Functionarea Gateway ===


== Verificarea API-ului local ==
In modul Gateway, API-ul Mobile ramane disponibil local pe server, iar serviciul initiaza conexiunea catre infrastructura STS Mobile Gateway.


Dupa pornirea serviciului Mobile, se verifica daca aplicatia raspunde local pe portul configurat.
Nu este necesara deschiderea unui port de intrare catre API-ul Mobile. Traficul catre dispozitiv este transportat prin conexiunea Gateway initiata de serverul clientului.


Testul se poate face din Command Prompt:
Verificati starea cu:


<pre>
<pre>
curl http://127.0.0.1:<port>
curl http://127.0.0.1:<port>/sts-mobile/status
</pre>
</pre>


Exemplu:
Pentru un Gateway activ si conectat, raspunsul trebuie sa indice:


<pre>
<pre>
curl http://127.0.0.1:5277
"accessMode":"LocalOnly"
"gatewayEnabled":true
"gatewayConnected":true
</pre>
</pre>


Daca serviciul functioneaza corect, comanda trebuie sa returneze continutul aplicatiei Web Integrat.STS Mobile.
Daca <code>gatewayEnabled</code> este <code>false</code>, verificati modul selectat si licenta M. Daca Gateway este activat, dar <code>gatewayConnected</code> ramane <code>false</code>, verificati accesul la Internet al serverului si eventualele restrictii de iesire impuse de firewall sau proxy.


Pentru verificari suplimentare se poate utiliza si:
=== Revenirea la alt mod de acces ===
 
La schimbarea accesului implicit din '''Gateway''' in alta modalitate, verificati disponibilitatea si configuratia acesteia. Identificarea instalarii Gateway este pastrata pentru o activare ulterioara.
 
== Varianta 2 - HTTPS public cu Caddy.STS (IPv4 public) ==
 
'''Caddy.STS''' simplifica publicarea Mobile prin HTTPS direct pe o '''adresa IPv4 publica'''. Nu necesita un nume DNS, dar necesita o adresa IP publica, acces pe portul 443 si un certificat public valid. Documentatia aplicatiei: [[Manual:Caddy|Caddy.STS]], [[Manual:Caddy/Instalare|Instalare]] si [[Manual:Caddy/Configurare|Configurare]].
 
=== Cerinte ===
* Server Windows x64 si drepturi de administrator.
* Mobile.Api instalat si functional; verificati <code>http://127.0.0.1:&lt;port API&gt;/test</code>.
* IP public accesibil de pe Internet; portul HTTPS '''443''' directionat corect catre server.
* Posibilitatea configurarii regulilor de retea ale furnizorului si routerului, atunci cand este necesar.
 
=== Instalare si configurare ===
# Descarcati kitul semnat [https://www.softteam.ro/update/kit/caddy.exe Caddy.STS] si verificati editorul '''Soft Team Solutions SRL'''.
# Instalati interfata, apoi rulati '''Diagnostic'''. '''Instalarea kitului nu creeaza automat serviciul CaddySTS'''.
# Pentru o instalare noua compatibila, alegeti '''Public - Let's Encrypt shortlived''' si completati IPv4 public, port HTTPS 443, portul Mobile.Api si ID-ul instantei.
# Verificati executabilul si amprenta SHA256, apoi apasati '''Preview + validate'''.
# Continuati cu '''Instalare NOUA''' numai dupa verificarea inexistentei unui serviciu Caddy incompatibil si confirmarea explicita.
# Verificati serviciul Windows <code>CaddySTS</code>, regula proprie TCP/443 si raspunsul HTTPS din exterior.
 
'''Nu folositi "Instalare NOUA" pentru repararea sau actualizarea unei instalatii Caddy existente.''' Caddy.STS nu preia si nu suprascrie alte servicii Caddy si nu trebuie sa modifice configuratiile, certificatele sau regulile lor. RDP si celelalte servicii Windows raman independente.
 
=== Adresa de acces Mobile ===
 
In '''Setari Mobile''' din Integrat.STS, activati '''Acces prin domeniu propriu disponibil''' pentru adresa HTTPS publica si completati '''Adresa de acces''' cu URL-ul real pe care raspunde Caddy.STS, de exemplu:


<pre>
<pre>
curl http://127.0.0.1:<port>/test
https://203.0.113.10
</pre>
</pre>


Daca serviciul nu raspunde, se verifica:
'''Adresa de mai sus este doar un exemplu de documentatie, nu un server functional.''' Inlocuiti-o cu IP-ul public efectiv. Daca doriti ca aceasta adresa sa fie propusa automat la autorizarea dispozitivului, selectati '''Acces implicit = Domeniu propriu'''. Verificati ca adresa salvata in ERP este identica cu adresa HTTPS testata si cu cea acoperita de certificat.
 
Verificati in Safari sau in browserul dispozitivului, dintr-o alta retea, raspunsul <code>https://&lt;IP public&gt;/test</code>, fara avertisment de certificat. Dupa aceasta verificare, autorizati dispozitivul din '''Mobile - dispozitive'''.
 
Certificatul public poate avea valabilitate scurta; verificati periodic reinnoirea lui automata. '''Un certificat valid la instalare nu garanteaza reinnoirea ulterioara.'''
 
== Varianta 3 - Domeniu propriu cu reverse proxy configurat manual ==


* starea serviciului Windows;
Varianta '''Domeniu propriu''' foloseste infrastructura de retea a clientului pentru publicarea Mobile prin HTTPS folosind un nume DNS. Urmatoarele instructiuni sunt pentru o '''configuratie Caddy manuala''', nu pentru instalarea unui serviciu nou prin Caddy.STS. Daca exista deja un Caddy configurat, nu instalati alt serviciu peste acesta.
* portul configurat;
* existenta fisierelor aplicatiei in directorul de instalare;
* eventualele restrictii de firewall local.


== Configurarea accesului extern ==
=== Cerinte pentru Domeniu propriu ===


Pentru accesarea Integrat.STS Mobile din afara retelei locale este necesara publicarea securizata a aplicatiei prin HTTPS.
Sunt necesare:


Se recomanda utilizarea unui nume DNS dedicat. Clientul poate folosi propriul domeniu sau poate solicita un subdomeniu administrat de Soft Team, fara sa cumpere un domeniu separat. De exemplu:
* un server Windows pe care este instalat Integrat.STS;
* acces cu drepturi de administrator;
* un port disponibil pentru serviciul Mobile;
* un nume DNS destinat accesului din exterior;
* un IP public sau o configuratie de retea care permite publicarea serviciului HTTPS;
* acces la router/firewall pentru publicarea portului HTTPS 443;
* un reverse proxy HTTPS, de exemplu Caddy.
 
In '''Integrat.STS / Utile / Setari / Generale / Speciale''', activati '''Acces prin domeniu propriu disponibil''' si completati '''Adresa de acces''' cu adresa HTTPS publica, de exemplu:


<pre>
<pre>
mobile.domeniu-client.ro
https://mobile.domeniu-client.ro
</pre>
</pre>


Adresa DNS trebuie configurata sa indice catre adresa IP publica a locatiei in care se afla serverul Integrat.STS.
Selectati '''Acces implicit = Domeniu propriu''' daca aceasta trebuie sa fie modalitatea propusa. Serviciul Mobile.Api este preluat de reverse proxy prin portul local configurat; nu publicati acest port direct in Internet.
 
== Configurarea accesului extern cu Domeniu propriu ==


Pe router/firewall se configureaza redirectionarea portului HTTPS catre serverul pe care ruleaza componenta Mobile.
Pentru accesarea Integrat.STS Mobile din afara retelei locale se publica aplicatia prin HTTPS folosind un nume DNS dedicat.


In configuratia recomandata:
Configuratia recomandata este:


<pre>
<pre>
Internet
Internet
   ↓
   |
HTTPS :443
HTTPS :443
   ↓
   |
Caddy
Caddy
   ↓
   |
http://127.0.0.1:<port>
http://127.0.0.1:<port>
   ↓
   |
IntegratMobile_<port>
Integrat.STS.Mobile.<port>
</pre>
</pre>


Portul intern al serviciului Mobile nu trebuie publicat direct in Internet.
Portul intern al serviciului Mobile nu trebuie publicat direct in Internet.


== Instalarea si configurarea Caddy ==
== Configurarea manuala a Caddy pentru un domeniu propriu ==
 
Pentru publicarea securizata a aplicatiei Integrat.STS Mobile se recomanda utilizarea Caddy ca reverse proxy HTTPS.


Caddy gestioneaza certificatul HTTPS si redirectioneaza traficul catre serviciul Mobile care ruleaza local pe server.
Aceasta sectiune descrie o instalare '''manuala'''. '''Caddy.STS nu este un instrument de adoptare a instalatiilor Caddy existente si nu trebuie utilizata operatia "Instalare NOUA" peste un serviciu manual.'''


=== Instalarea Caddy ===
Pentru publicarea securizata prin '''Domeniu propriu''' se poate utiliza Caddy ca reverse proxy HTTPS.


Se descarca '''[https://caddyserver.com/download Caddy de pe pagina oficiala]''', in varianta pentru Windows 64-bit. Executabilul se copiaza in:
Se descarca '''[https://caddyserver.com/download Caddy de pe pagina oficiala]''', in varianta pentru Windows 64-bit. Executabilul se copiaza in:
Linia 200: Linia 286:


este recomandata atunci cand portul 80 este utilizat deja de IIS sau de alte servicii Windows.
este recomandata atunci cand portul 80 este utilizat deja de IIS sau de alte servicii Windows.
In aceasta configuratie, Caddy utilizeaza portul 443 pentru HTTPS si nu incearca sa creeze redirect HTTP -> HTTPS pe portul 80.


Configuratia poate fi verificata cu:
Configuratia poate fi verificata cu:
Linia 225: Linia 309:
</pre>
</pre>


In zona DNS a domeniului se creeaza o inregistrare de tip:
In zona DNS a domeniului se creeaza o inregistrare de tip <code>A</code> care indica spre adresa IP publica a locatiei unde se afla serverul Integrat.STS.
 
<pre>
A
</pre>
 
care indica catre adresa IP publica a locatiei unde se afla serverul Integrat.STS.
 
Exemplu:
 
<pre>
mobile.domeniu-client.ro -> IP public
</pre>


Dupa configurare se verifica rezolvarea DNS:
Dupa configurare se verifica rezolvarea DNS:
Linia 250: Linia 322:


Pe router sau firewall se configureaza redirectionarea portului HTTPS catre serverul Integrat.STS.
Pe router sau firewall se configureaza redirectionarea portului HTTPS catre serverul Integrat.STS.
Configuratia necesara este:
<pre>
TCP 443
-> IP local server
-> TCP 443
</pre>


Exemplu:
Exemplu:
Linia 264: Linia 328:
443 -> 192.168.0.100:443
443 -> 192.168.0.100:443
</pre>
</pre>
Daca portul 80 este deja utilizat de IIS sau de alte servicii, nu este obligatoriu ca acesta sa fie preluat de Caddy.


Portul intern utilizat de serviciul Mobile, de exemplu 5277, nu trebuie publicat direct in Internet.
Portul intern utilizat de serviciul Mobile, de exemplu 5277, nu trebuie publicat direct in Internet.
Linia 271: Linia 333:
== Configurarea Windows Firewall ==
== Configurarea Windows Firewall ==


Pe server trebuie permis traficul HTTPS catre Caddy.
Pentru o instalare '''manuala cu domeniu propriu''', administratorul trebuie sa permita traficul HTTPS catre executabilul Caddy si portul configurat, potrivit politicii de securitate a serverului. Pentru o instalare administrata cu '''Caddy.STS''', verificati regula '''proprie''' din aplicatie, fara a crea in paralel o regula manuala generica.


Exemplu:
Nu modificati alte servicii sau reguli firewall si nu publicati portul intern Mobile.Api in Internet.
 
<pre>
netsh advfirewall firewall add rule name="Caddy HTTPS 443" dir=in action=allow protocol=TCP localport=443
</pre>
 
Daca este necesar si traficul HTTP:
 
<pre>
netsh advfirewall firewall add rule name="Caddy HTTP 80" dir=in action=allow protocol=TCP localport=80
</pre>
 
In configuratia recomandata pentru Mobile este suficient accesul extern pe portul 443.


== Crearea serviciului Windows Caddy ==
== Crearea serviciului Windows Caddy ==
Linia 307: Linia 357:
<pre>
<pre>
sc start Caddy
sc start Caddy
</pre>
Serviciul trebuie sa ajunga in starea:
<pre>
STATE : 4  RUNNING
</pre>
</pre>


Linia 324: Linia 368:


La prima pornire, Caddy incearca sa obtina automat un certificat HTTPS valid pentru subdomeniul configurat.
La prima pornire, Caddy incearca sa obtina automat un certificat HTTPS valid pentru subdomeniul configurat.
Exemplu:
<pre>
mobile.domeniu-client.ro
</pre>


Pentru emiterea certificatului este necesar ca:
Pentru emiterea certificatului este necesar ca:
Linia 344: Linia 382:
== Testarea accesului extern ==
== Testarea accesului extern ==


Dupa finalizarea configurarii se testeaza aplicatia din afara retelei locale.
Pentru '''Domeniu propriu''', testati aplicatia din afara retelei locale, de exemplu de pe un telefon cu Wi-Fi dezactivat:
 
Se recomanda efectuarea testului de pe un telefon folosind conexiunea mobila, cu Wi-Fi dezactivat.
 
Se acceseaza:


<pre>
<pre>
Linia 356: Linia 390:
Daca aplicatia se deschide prin HTTPS cu certificat valid, accesul extern functioneaza. Pe un browser neautorizat, Mobile afiseaza ecranul de instalare; autorizarea se face ulterior din aplicatia instalata pe dispozitiv.
Daca aplicatia se deschide prin HTTPS cu certificat valid, accesul extern functioneaza. Pe un browser neautorizat, Mobile afiseaza ecranul de instalare; autorizarea se face ulterior din aplicatia instalata pe dispozitiv.


== Configurarea pornirii automate ==
Pentru '''Caddy.STS cu IP public''', testati adresa <code>https://&lt;IP public&gt;/test</code> din reteaua celulara si verificati certificatul. Pentru '''Gateway''', accesul extern se testeaza folosind adresa furnizata de fluxul Mobile Gateway si un dispozitiv autorizat. Nu este necesara testarea unui port public al serverului clientului.
 
Pentru functionarea automata dupa restartul serverului trebuie verificate ambele servicii:
 
<pre>
IntegratMobile_<port>
Caddy
</pre>
 
Ambele servicii trebuie configurate pentru pornire automata.
 
Dupa configurare se efectueaza un restart al serverului si se verifica:
 
<pre>
sc query IntegratMobile_<port>
sc query Caddy
</pre>
 
Ambele servicii trebuie sa fie in starea:
 
<pre>
STATE : 4  RUNNING
</pre>
 
Se verifica din nou si accesul extern la:
 
<pre>
https://mobile.domeniu-client.ro
</pre>


== Actualizarea Integrat.STS Mobile ==
== Actualizarea Integrat.STS Mobile ==
Linia 390: Linia 396:
Actualizarea modulului Mobile se realizeaza utilizand versiunea curenta a kitului '''[https://www.softteam.ro/update/kit/mobile.exe Mobile.exe]''' din sectiunea [https://softteam.ro/download/ Download] de pe site-ul Soft Team.
Actualizarea modulului Mobile se realizeaza utilizand versiunea curenta a kitului '''[https://www.softteam.ro/update/kit/mobile.exe Mobile.exe]''' din sectiunea [https://softteam.ro/download/ Download] de pe site-ul Soft Team.


Kitul de instalare contine componentele necesare modulului, inclusiv aplicatia Web.
Actualizarea pastreaza configuratia existenta a instalarii, inclusiv modul de acces si parametrii specifici clientului.
 
Actualizarea modulului Mobile pastreaza configuratia existenta a instalarii, inclusiv parametrii specifici clientului.


Dupa actualizare se recomanda verificarea:
Dupa actualizare se recomanda verificarea:


* serviciului IntegratMobile;
* serviciului <code>Integrat.STS.Mobile.&lt;port&gt;</code>;
* serviciului Caddy;
* raspunsului <code>/sts-mobile/status</code>;
* accesului local la API;
* modului de acces selectat in Integrat.STS;
* accesului extern HTTPS;
* pentru Gateway: <code>gatewayEnabled</code> si <code>gatewayConnected</code>;
* versiunii Web si elementelor grafice actualizate.
* pentru Caddy.STS cu IP public: serviciului <code>CaddySTS</code>, accesului HTTPS si certificatului;
* pentru Domeniu propriu configurat manual: serviciului Caddy existent, accesului HTTPS si certificatului.


== Probleme frecvente ==
== Probleme frecvente ==
Linia 417: Linia 422:


<pre>
<pre>
sc query IntegratMobile_<port>
sc query "Integrat.STS.Mobile.<port>"
</pre>
</pre>


Linia 425: Linia 430:


<pre>
<pre>
curl http://127.0.0.1:<port>
curl http://127.0.0.1:<port>/sts-mobile/status
</pre>
</pre>


Daca nu exista raspuns, se verifica serviciul Mobile si portul configurat.
Daca nu exista raspuns, se verifica serviciul Mobile si portul configurat.
=== Gateway nu se conecteaza ===
Se verifica:
* ca '''Acces implicit''' este '''Gateway mobile.softteam.ro''' in setarile Mobile si ca licenta permite modulul M;
* ca licenta include modulul M;
* ca serverul are acces la Internet;
* ca firewall-ul sau proxy-ul nu blocheaza conexiunile de iesire necesare Gateway-ului;
* raspunsul <code>/sts-mobile/status</code> pentru starea Gateway.


=== Caddy nu porneste ===
=== Caddy nu porneste ===


Se poate testa manual:
Pentru instalarea '''manuala cu domeniu propriu''', se poate testa manual:


<pre>
<pre>
Linia 438: Linia 453:
</pre>
</pre>


Mesajele afisate permit identificarea cauzei.
Pentru instalatia administrata '''Caddy.STS''', porniti cu '''Diagnostic''' si verificati serviciul <code>CaddySTS</code> fara a rula in paralel un al doilea proces Caddy. O situatie frecventa in instalatiile manuale este ocuparea portului 80 de IIS sau HTTP.sys.
 
O situatie frecventa este ocuparea portului 80 de IIS sau HTTP.sys.


Porturile utilizate pot fi verificate cu:
Porturile utilizate pot fi verificate cu:
Linia 447: Linia 460:
netstat -ano | findstr :80
netstat -ano | findstr :80
netstat -ano | findstr :443
netstat -ano | findstr :443
</pre>
Daca portul 80 este ocupat, se poate utiliza configuratia recomandata:
<pre>
{
    auto_https disable_redirects
}
</pre>
</pre>


=== Certificatul HTTPS nu poate fi emis ===
=== Certificatul HTTPS nu poate fi emis ===


Se verifica:
Pentru un domeniu propriu configurat manual, se verifica:


* inregistrarea DNS;
* inregistrarea DNS;
Linia 469: Linia 474:
=== Aplicatia functioneaza local, dar nu din Internet ===
=== Aplicatia functioneaza local, dar nu din Internet ===


Se verifica:
Pentru '''Gateway''', verificati starea conexiunii Gateway si accesul la Internet al serverului.
 
* DNS;
* NAT;
* firewall;
* portul 443;
* starea serviciului Caddy;
* accesul extern de pe o conexiune diferita de reteaua locala.
 
== Adresa Mobile si autorizarea dispozitivelor ==
 
In '''Integrat.STS -> Setari -> Generale -> Speciale''', administratorul completeaza '''Adresa Mobile''' cu adresa HTTPS configurata, de exemplu <code>https://mobile.domeniu-client.ro</code>. Aceasta adresa este utilizata la generarea linkurilor si codurilor QR de activare din fereastra '''Mobile - Dispozitive'''.


Dupa instalare, dispozitivele se autorizeaza din ERP inainte de autentificarea utilizatorilor. La accesarea adresei in browser sunt afisati mai intai pasii de instalare; autorizarea se efectueaza din aplicatia instalata si pornita din pictograma. [[Manual:Integrat/Module/Mobile|Vezi pasii de autorizare in manualul Mobile]].
Pentru '''Caddy.STS cu IP public''', verificati IP-ul, portul 443, serviciul <code>CaddySTS</code>, regula proprie si firewallul furnizorului. Pentru '''Domeniu propriu''' configurat manual, verificati DNS, NAT, firewall, portul 443, starea serviciului Caddy si accesul extern de pe o conexiune diferita de reteaua locala.


== Verificare finala ==
== Verificare finala ==


Instalarea pe server poate fi considerata finalizata atunci cand:
Instalarea poate fi considerata finalizata atunci cand:


* serviciul IntegratMobile ruleaza;
* serviciul <code>Integrat.STS.Mobile.&lt;port&gt;</code> ruleaza;
* serviciul Caddy ruleaza;
* API-ul raspunde la <code>/sts-mobile/status</code>;
* API-ul raspunde local;
* modul de acces afisat de serviciu corespunde optiunii selectate in Integrat.STS;
* subdomeniul DNS indica spre IP-ul public corect;
* pentru '''Gateway''': Gateway este activat, conectat si accesul extern functioneaza fara publicarea portului Mobile;
* accesul HTTPS functioneaza din Internet;
* pentru '''Caddy.STS cu IP public''': serviciul <code>CaddySTS</code> ruleaza, HTTPS pe IP-ul public functioneaza si certificatul este valid;
* certificatul HTTPS este valid;
* pentru '''Domeniu propriu''' configurat manual: serviciul Caddy ruleaza, DNS-ul si HTTPS functioneaza, iar certificatul este valid;
* aplicatia porneste corect dupa restartul serverului.
* aplicatia porneste corect dupa restartul serverului.


Linia 507: Linia 501:
* [[Manual:Integrat/Module/Mobile/Instalare iPhone iPad|Instalare iPhone / iPad]]
* [[Manual:Integrat/Module/Mobile/Instalare iPhone iPad|Instalare iPhone / iPad]]
* [[Manual:Integrat/Module/Mobile/Instalare server - retea locala|Instalare server - retea locala]]
* [[Manual:Integrat/Module/Mobile/Instalare server - retea locala|Instalare server - retea locala]]
* [[Manual:Caddy|Caddy.STS]]
* [[Manual:Caddy/Instalare|Instalare Caddy.STS]]
* [[Manual:Caddy/Configurare|Configurare Caddy.STS]]
* [[Manual:Caddy/Depanare|Depanare Caddy.STS]]

Versiunea curentă din 29 octombrie 2026 10:30

Instalare pe server - acces din Internet

Aceasta pagina descrie instalarea si configurarea componentei Integrat.STS Mobile pe serverul pe care ruleaza Integrat.STS, pentru acces din Internet.

Daca aplicatia va fi utilizata numai in reteaua locala, urmati ghidul separat Instalare pe server - retea locala.

Instalarea pe server trebuie efectuata de administratorul de sistem sau de personal tehnic autorizat.

Variante de acces din Internet

Accesul din Internet se poate face prin:

  1. STS Mobile Gateway - prin infrastructura Soft Team Solutions, fara publicarea directa a portului Mobile.Api.
  2. HTTPS publicat de client - prin propriul server: cu Caddy.STS pentru o adresa IPv4 publica sau printr-un reverse proxy HTTPS configurat manual pentru un domeniu propriu.

Accesul se configureaza in Integrat.STS / Utile / Setari / Generale / Speciale, grupa Setari Mobile: Acces implicit, Acces local disponibil si Acces prin domeniu propriu disponibil. Disponibilitatea unei metode de acces se configureaza separat de alegerea ei drept implicita. Consultati Configurare Mobile.

Modulul M este necesar numai pentru STS Mobile Gateway. Accesul direct prin HTTPS nu depinde de acest drept.

La instalarea initiala, accesul nu este publicat automat. Confirmati functionarea Mobile.Api inainte de configurarea HTTPS.

Instalarea componentei Mobile

Instalarea se realizeaza utilizand kitul Mobile.exe disponibil si in sectiunea Download de pe site-ul Soft Team.

In timpul instalarii se configureaza portul utilizat de serviciul Mobile si se creeaza serviciul Windows aferent.

Serviciul are forma: 

Integrat.STS.Mobile.<port>

Exemplu: 

Integrat.STS.Mobile.5277

Verificarea serviciului se poate face din Services sau din Command Prompt: 

sc query "Integrat.STS.Mobile.5277"

Serviciul trebuie sa fie in starea: 

STATE : 4  RUNNING

Pentru pornirea manuala, daca este necesar: 

sc start "Integrat.STS.Mobile.5277"

Serviciul este configurat sa porneasca automat impreuna cu serverul Windows.

Verificarea API-ului local

Dupa instalare, verificati starea API-ului: 

curl http://127.0.0.1:<port>/sts-mobile/status

Exemplu: 

curl http://127.0.0.1:5277/sts-mobile/status

Raspunsul indica, intre altele, portul Mobile, modul de acces si starea Gateway.

Puteti verifica si adresa pe care asculta serviciul: 

netstat -ano | findstr :5277

Verificati ca Mobile.Api raspunde local pe portul configurat. Pentru Gateway si pentru Caddy.STS, backendul poate fi accesat de reverse proxy prin 127.0.0.1; portul intern Mobile.Api nu trebuie publicat direct in Internet.

Varianta 1 - STS Mobile Gateway

STS Mobile Gateway este varianta care permite accesul din Internet fara publicarea directa a serverului Mobile.

Cerinte Gateway

Pentru acest mod sunt necesare:

  • server Windows pe care este instalat Integrat.STS;
  • drepturi de administrator pentru instalarea componentei Mobile;
  • acces la Internet din server;
  • licenta care include modulul M;
  • serviciul Integrat.STS.Mobile.<port> instalat si functional.

Pentru Gateway nu sunt necesare:

  • IP public la locatia clientului;
  • domeniu sau subdomeniu propriu;
  • redirectionare NAT pentru portul Mobile;
  • publicarea portului intern Mobile in Internet;
  • instalarea Caddy pentru publicarea Mobile.

Activarea Gateway

In Integrat.STS / Utile / Setari / Generale / Speciale, selectati Acces implicit = Gateway mobile.softteam.ro. Accesul este disponibil numai daca licenta include modulul M.

La activarea licentei, Integrat.STS obtine si salveaza configuratia necesara instalarii Gateway. Identificarea instalarii si credentialele sunt administrate automat; nu trebuie introduse manual de utilizator.

Adresele configurate pentru accesul local sau prin domeniu propriu sunt independente de conexiunea Gateway si nu sunt folosite pentru rutarea acesteia.

Functionarea Gateway

In modul Gateway, API-ul Mobile ramane disponibil local pe server, iar serviciul initiaza conexiunea catre infrastructura STS Mobile Gateway.

Nu este necesara deschiderea unui port de intrare catre API-ul Mobile. Traficul catre dispozitiv este transportat prin conexiunea Gateway initiata de serverul clientului.

Verificati starea cu: 

curl http://127.0.0.1:<port>/sts-mobile/status

Pentru un Gateway activ si conectat, raspunsul trebuie sa indice: 

"accessMode":"LocalOnly"
"gatewayEnabled":true
"gatewayConnected":true

Daca gatewayEnabled este false, verificati modul selectat si licenta M. Daca Gateway este activat, dar gatewayConnected ramane false, verificati accesul la Internet al serverului si eventualele restrictii de iesire impuse de firewall sau proxy.

Revenirea la alt mod de acces

La schimbarea accesului implicit din Gateway in alta modalitate, verificati disponibilitatea si configuratia acesteia. Identificarea instalarii Gateway este pastrata pentru o activare ulterioara.

Varianta 2 - HTTPS public cu Caddy.STS (IPv4 public)

Caddy.STS simplifica publicarea Mobile prin HTTPS direct pe o adresa IPv4 publica. Nu necesita un nume DNS, dar necesita o adresa IP publica, acces pe portul 443 si un certificat public valid. Documentatia aplicatiei: Caddy.STS, Instalare si Configurare.

Cerinte

  • Server Windows x64 si drepturi de administrator.
  • Mobile.Api instalat si functional; verificati http://127.0.0.1:<port API>/test.
  • IP public accesibil de pe Internet; portul HTTPS 443 directionat corect catre server.
  • Posibilitatea configurarii regulilor de retea ale furnizorului si routerului, atunci cand este necesar.

Instalare si configurare

  1. Descarcati kitul semnat Caddy.STS si verificati editorul Soft Team Solutions SRL.
  2. Instalati interfata, apoi rulati Diagnostic. Instalarea kitului nu creeaza automat serviciul CaddySTS.
  3. Pentru o instalare noua compatibila, alegeti Public - Let's Encrypt shortlived si completati IPv4 public, port HTTPS 443, portul Mobile.Api si ID-ul instantei.
  4. Verificati executabilul si amprenta SHA256, apoi apasati Preview + validate.
  5. Continuati cu Instalare NOUA numai dupa verificarea inexistentei unui serviciu Caddy incompatibil si confirmarea explicita.
  6. Verificati serviciul Windows CaddySTS, regula proprie TCP/443 si raspunsul HTTPS din exterior.

Nu folositi "Instalare NOUA" pentru repararea sau actualizarea unei instalatii Caddy existente. Caddy.STS nu preia si nu suprascrie alte servicii Caddy si nu trebuie sa modifice configuratiile, certificatele sau regulile lor. RDP si celelalte servicii Windows raman independente.

Adresa de acces Mobile

In Setari Mobile din Integrat.STS, activati Acces prin domeniu propriu disponibil pentru adresa HTTPS publica si completati Adresa de acces cu URL-ul real pe care raspunde Caddy.STS, de exemplu: 

https://203.0.113.10

Adresa de mai sus este doar un exemplu de documentatie, nu un server functional. Inlocuiti-o cu IP-ul public efectiv. Daca doriti ca aceasta adresa sa fie propusa automat la autorizarea dispozitivului, selectati Acces implicit = Domeniu propriu. Verificati ca adresa salvata in ERP este identica cu adresa HTTPS testata si cu cea acoperita de certificat.

Verificati in Safari sau in browserul dispozitivului, dintr-o alta retea, raspunsul https://<IP public>/test, fara avertisment de certificat. Dupa aceasta verificare, autorizati dispozitivul din Mobile - dispozitive.

Certificatul public poate avea valabilitate scurta; verificati periodic reinnoirea lui automata. Un certificat valid la instalare nu garanteaza reinnoirea ulterioara.

Varianta 3 - Domeniu propriu cu reverse proxy configurat manual

Varianta Domeniu propriu foloseste infrastructura de retea a clientului pentru publicarea Mobile prin HTTPS folosind un nume DNS. Urmatoarele instructiuni sunt pentru o configuratie Caddy manuala, nu pentru instalarea unui serviciu nou prin Caddy.STS. Daca exista deja un Caddy configurat, nu instalati alt serviciu peste acesta.

Cerinte pentru Domeniu propriu

Sunt necesare:

  • un server Windows pe care este instalat Integrat.STS;
  • acces cu drepturi de administrator;
  • un port disponibil pentru serviciul Mobile;
  • un nume DNS destinat accesului din exterior;
  • un IP public sau o configuratie de retea care permite publicarea serviciului HTTPS;
  • acces la router/firewall pentru publicarea portului HTTPS 443;
  • un reverse proxy HTTPS, de exemplu Caddy.

In Integrat.STS / Utile / Setari / Generale / Speciale, activati Acces prin domeniu propriu disponibil si completati Adresa de acces cu adresa HTTPS publica, de exemplu: 

https://mobile.domeniu-client.ro

Selectati Acces implicit = Domeniu propriu daca aceasta trebuie sa fie modalitatea propusa. Serviciul Mobile.Api este preluat de reverse proxy prin portul local configurat; nu publicati acest port direct in Internet.

Configurarea accesului extern cu Domeniu propriu

Pentru accesarea Integrat.STS Mobile din afara retelei locale se publica aplicatia prin HTTPS folosind un nume DNS dedicat.

Configuratia recomandata este: 

Internet
   |
HTTPS :443
   |
Caddy
   |
http://127.0.0.1:<port>
   |
Integrat.STS.Mobile.<port>

Portul intern al serviciului Mobile nu trebuie publicat direct in Internet.

Configurarea manuala a Caddy pentru un domeniu propriu

Aceasta sectiune descrie o instalare manuala. Caddy.STS nu este un instrument de adoptare a instalatiilor Caddy existente si nu trebuie utilizata operatia "Instalare NOUA" peste un serviciu manual.

Pentru publicarea securizata prin Domeniu propriu se poate utiliza Caddy ca reverse proxy HTTPS.

Se descarca Caddy de pe pagina oficiala, in varianta pentru Windows 64-bit. Executabilul se copiaza in: 

C:\Program Files\Caddy\

Fisierul executabil trebuie sa fie: 

C:\Program Files\Caddy\caddy.exe

Versiunea instalata poate fi verificata cu: 

"C:\Program Files\Caddy\caddy.exe" version

Configurarea Caddyfile

In directorul: 

C:\Program Files\Caddy\

se creeaza fisierul: 

Caddyfile

Configuratia recomandata este: 

{
    auto_https disable_redirects
}

mobile.domeniu-client.ro {
    reverse_proxy 127.0.0.1:<port>
}

Exemplu: 

{
    auto_https disable_redirects
}

mobile.exemplu.ro {
    reverse_proxy 127.0.0.1:5277
}

Optiunea: 

auto_https disable_redirects

este recomandata atunci cand portul 80 este utilizat deja de IIS sau de alte servicii Windows.

Configuratia poate fi verificata cu: 

"C:\Program Files\Caddy\caddy.exe" validate --config "C:\Program Files\Caddy\Caddyfile"

La final trebuie sa apara mesajul: 

Valid configuration

Configurarea DNS

Pentru accesul din Internet se creeaza un subdomeniu dedicat modulului Mobile.

Exemplu: 

mobile.domeniu-client.ro

In zona DNS a domeniului se creeaza o inregistrare de tip A care indica spre adresa IP publica a locatiei unde se afla serverul Integrat.STS.

Dupa configurare se verifica rezolvarea DNS: 

nslookup mobile.domeniu-client.ro

Adresa returnata trebuie sa fie IP-ul public corect.

Configurarea routerului / NAT

Pe router sau firewall se configureaza redirectionarea portului HTTPS catre serverul Integrat.STS.

Exemplu: 

443 -> 192.168.0.100:443

Portul intern utilizat de serviciul Mobile, de exemplu 5277, nu trebuie publicat direct in Internet.

Configurarea Windows Firewall

Pentru o instalare manuala cu domeniu propriu, administratorul trebuie sa permita traficul HTTPS catre executabilul Caddy si portul configurat, potrivit politicii de securitate a serverului. Pentru o instalare administrata cu Caddy.STS, verificati regula proprie din aplicatie, fara a crea in paralel o regula manuala generica.

Nu modificati alte servicii sau reguli firewall si nu publicati portul intern Mobile.Api in Internet.

Crearea serviciului Windows Caddy

Caddy trebuie configurat ca serviciu Windows pentru a porni automat impreuna cu serverul.

Serviciul poate fi creat din Command Prompt deschis cu drepturi de administrator: 

sc create Caddy binPath= "\"C:\Program Files\Caddy\caddy.exe\" run --config \"C:\Program Files\Caddy\Caddyfile\"" start= demand

Dupa creare, serviciul poate fi verificat cu: 

sc query Caddy

Pentru pornire: 

sc start Caddy

Dupa verificarea functionarii, serviciul se configureaza pentru pornire automata: 

sc config Caddy start= auto

Certificatul HTTPS

La prima pornire, Caddy incearca sa obtina automat un certificat HTTPS valid pentru subdomeniul configurat.

Pentru emiterea certificatului este necesar ca:

  • DNS-ul sa indice corect catre IP-ul public;
  • portul 443 sa fie redirectionat catre server;
  • Windows Firewall sa permita accesul pe portul 443;
  • serviciul Caddy sa ruleze.

Daca validarea reuseste, Caddy obtine si gestioneaza automat certificatul HTTPS.

Nu este necesara instalarea manuala a unui certificat pe telefoanele sau calculatoarele utilizatorilor.

Testarea accesului extern

Pentru Domeniu propriu, testati aplicatia din afara retelei locale, de exemplu de pe un telefon cu Wi-Fi dezactivat: 

https://mobile.domeniu-client.ro

Daca aplicatia se deschide prin HTTPS cu certificat valid, accesul extern functioneaza. Pe un browser neautorizat, Mobile afiseaza ecranul de instalare; autorizarea se face ulterior din aplicatia instalata pe dispozitiv.

Pentru Caddy.STS cu IP public, testati adresa https://<IP public>/test din reteaua celulara si verificati certificatul. Pentru Gateway, accesul extern se testeaza folosind adresa furnizata de fluxul Mobile Gateway si un dispozitiv autorizat. Nu este necesara testarea unui port public al serverului clientului.

Actualizarea Integrat.STS Mobile

Actualizarea modulului Mobile se realizeaza utilizand versiunea curenta a kitului Mobile.exe din sectiunea Download de pe site-ul Soft Team.

Actualizarea pastreaza configuratia existenta a instalarii, inclusiv modul de acces si parametrii specifici clientului.

Dupa actualizare se recomanda verificarea:

  • serviciului Integrat.STS.Mobile.<port>;
  • raspunsului /sts-mobile/status;
  • modului de acces selectat in Integrat.STS;
  • pentru Gateway: gatewayEnabled si gatewayConnected;
  • pentru Caddy.STS cu IP public: serviciului CaddySTS, accesului HTTPS si certificatului;
  • pentru Domeniu propriu configurat manual: serviciului Caddy existent, accesului HTTPS si certificatului.

Probleme frecvente

Serviciul Mobile nu porneste

Se verifica:

  • existenta fisierului executabil Mobile.Api;
  • calea configurata in serviciul Windows;
  • portul utilizat;
  • drepturile serviciului;
  • fisierele de configurare.

Starea serviciului se verifica cu: 

sc query "Integrat.STS.Mobile.<port>"

API-ul local nu raspunde

Se verifica: 

curl http://127.0.0.1:<port>/sts-mobile/status

Daca nu exista raspuns, se verifica serviciul Mobile si portul configurat.

Gateway nu se conecteaza

Se verifica:

  • ca Acces implicit este Gateway mobile.softteam.ro in setarile Mobile si ca licenta permite modulul M;
  • ca licenta include modulul M;
  • ca serverul are acces la Internet;
  • ca firewall-ul sau proxy-ul nu blocheaza conexiunile de iesire necesare Gateway-ului;
  • raspunsul /sts-mobile/status pentru starea Gateway.

Caddy nu porneste

Pentru instalarea manuala cu domeniu propriu, se poate testa manual: 

"C:\Program Files\Caddy\caddy.exe" run --config "C:\Program Files\Caddy\Caddyfile"

Pentru instalatia administrata Caddy.STS, porniti cu Diagnostic si verificati serviciul CaddySTS fara a rula in paralel un al doilea proces Caddy. O situatie frecventa in instalatiile manuale este ocuparea portului 80 de IIS sau HTTP.sys.

Porturile utilizate pot fi verificate cu: 

netstat -ano | findstr :80
netstat -ano | findstr :443

Certificatul HTTPS nu poate fi emis

Pentru un domeniu propriu configurat manual, se verifica:

  • inregistrarea DNS;
  • IP-ul public;
  • redirectionarea portului 443;
  • Windows Firewall;
  • functionarea serviciului Caddy.

Aplicatia functioneaza local, dar nu din Internet

Pentru Gateway, verificati starea conexiunii Gateway si accesul la Internet al serverului.

Pentru Caddy.STS cu IP public, verificati IP-ul, portul 443, serviciul CaddySTS, regula proprie si firewallul furnizorului. Pentru Domeniu propriu configurat manual, verificati DNS, NAT, firewall, portul 443, starea serviciului Caddy si accesul extern de pe o conexiune diferita de reteaua locala.

Verificare finala

Instalarea poate fi considerata finalizata atunci cand:

  • serviciul Integrat.STS.Mobile.<port> ruleaza;
  • API-ul raspunde la /sts-mobile/status;
  • modul de acces afisat de serviciu corespunde optiunii selectate in Integrat.STS;
  • pentru Gateway: Gateway este activat, conectat si accesul extern functioneaza fara publicarea portului Mobile;
  • pentru Caddy.STS cu IP public: serviciul CaddySTS ruleaza, HTTPS pe IP-ul public functioneaza si certificatul este valid;
  • pentru Domeniu propriu configurat manual: serviciul Caddy ruleaza, DNS-ul si HTTPS functioneaza, iar certificatul este valid;
  • aplicatia porneste corect dupa restartul serverului.

Vezi si

Adus de la „https://softteam.ro/manual/index.php?title=Manual:Integrat/Module/Mobile/Instalare_server_-_acces_din_Internet&oldid=13800”