Справочник по свойствам виртуального хоста

Указывает имя виртуального хоста. Это имя используется для ссылки на виртуальный хост при настройке API-прокси.

В атрибуте name можно использовать следующие символы: A-Z, 0-9, _\-$%.

Указывает номер порта, используемого виртуальным хостом. Убедитесь, что порт открыт на пограничном маршрутизаторе.

Если вы указываете порт в элементе hostalias , то номер порта, указанный в <Port> ort> должен совпадать с ним.

Для облачных сервисов : при создании виртуального хоста необходимо указать порт 443. Если этот параметр не указан, по умолчанию устанавливается порт 443. Если у вас уже есть виртуальный хост, использующий порт, отличный от 443, изменить его невозможно.

Для версий Private Cloud с 4.16.01 по 4.17.05: При создании виртуального хоста вы указываете порт маршрутизатора, используемый виртуальным хостом. Например, порт 9001. По умолчанию маршрутизатор работает от имени пользователя «apigee», который не имеет доступа к привилегированным портам, обычно к портам 1024 и ниже. Если вы хотите создать виртуальный хост, который привязывает маршрутизатор к защищенному порту, вам необходимо настроить маршрутизатор для работы от имени пользователя, имеющего доступ к этим портам. См. раздел «Настройка виртуального хоста» для получения дополнительной информации.

Для версий Private Cloud до 4.16.01: Маршрутизатор может принимать только одно HTTPS-соединение на каждый виртуальный хост, на определенном порту, с указанным сертификатом. Следовательно, несколько виртуальных хостов не могут использовать один и тот же номер порта, если завершение TLS-соединения происходит на маршрутизаторе на указанном порту.

Значение параметра BaseUrl должно включать протокол (например, "http://" или "https://").

Клиент OCSP (Online Certificate Status Protocol) отправляет запрос на проверку статуса ответчику OCSP, чтобы определить, действителен ли TLS-сертификат. Ответ указывает, действителен ли TLS-сертификат и не отозван ли он.

При включении функция OCSP Stapling позволяет Edge, выступающему в качестве TLS-сервера для одностороннего TLS, напрямую запрашивать ответ у OCSP-ответчика и кэшировать его. Затем Edge возвращает этот ответ TLS-клиенту, или «прикрепляет» его, в рамках рукопожатия TLS. См. раздел «Включение OCSP Stapling на вашем сервере» для получения дополнительной информации.

Для включения OCSP-привязки необходимо включить TLS. on значение «вкл.», чтобы включить. Значение по умолчанию — off .».

Общедоступное DNS-имя виртуального хоста на маршрутизаторе, при необходимости включающее номер порта. Комбинация имени псевдонима хоста и номера порта для виртуального хоста должна быть уникальной для всех виртуальных хостов в установке Edge. Это означает, что несколько виртуальных хостов могут использовать один и тот же номер порта, если у них разные псевдонимы хостов.

Необходимо создать запись DNS и запись CNAME, соответствующие псевдониму хоста, при этом псевдоним хоста должен соответствовать строке, передаваемой клиентом в заголовке Host .

Номер порта в HostAlias ​​является необязательным. Если вы указываете порт как часть псевдонима хоста, вы также должны указать тот же порт, используя элемент <Port> . Или вы можете указать два элемента HostAlias : один с номером порта, а другой без него.

В одном определении виртуального хоста может быть несколько определений HostAlias , соответствующих нескольким записям DNS для виртуального хоста, но не для нескольких портов. Если вам нужно несколько портов, создайте несколько определений виртуальных хостов с разными портами.

В псевдоним хоста можно включить символ подстановки "*". Символ подстановки "*" может находиться только в начале (перед первой точкой) псевдонима хоста и не может сочетаться с другими символами. Например, *.example.com . TLS-сертификат для виртуального хоста должен содержать соответствующий символ подстановки в имени CN сертификата. Например, *.example.com . Использование символа подстановки в псевдониме виртуального хоста позволяет API-прокси обрабатывать вызовы, адресованные нескольким поддоменам, таким как alpha.example.com , beta.example.com или live.example.com . Использование псевдонима с символом подстановки также помогает использовать меньше виртуальных хостов в среде, чтобы оставаться в рамках лимитов продукта , поскольку виртуальный хост с символом подстановки считается только одним виртуальным хостом.

Для облачных сервисов : если у вас уже есть виртуальный хост, использующий порт, отличный от 443, вы не можете добавить или удалить псевдоним хоста.

Для частного облака: если вы задаете псевдоним хоста, используя IP-адреса ваших маршрутизаторов, а не записи DNS, добавьте отдельный псевдоним хоста для каждого маршрутизатора, указав IP-адрес каждого маршрутизатора и порт виртуального хоста.

Указывает сетевые интерфейсы, к которым должен быть привязан port . Если этот параметр опущен, порт будет привязан ко всем интерфейсам.

Например, чтобы указать, что порт должен быть привязан только к en0:

<Interfaces>
  <Interface>en0</Interface>
</Interfaces>

Определите доступные в вашей системе сетевые интерфейсы, выполнив команду "ifconfig -a".

Настройте реакцию маршрутизатора на сбой обработчика сообщений для этого виртуального хоста.

С помощью параметра <RetryOption> можно указать несколько значений. Допустимые значения:

Если вы укажете несколько значений, маршрутизатор использует логическое ИЛИ для их объединения.

Например:

<RetryOptions>
  <RetryOption>http_599</RetryOption>
  <RetryOption>error</RetryOption>
  <RetryOption>timeout</RetryOption>
  <RetryOption>invalid_header</RetryOption>
</RetryOptions>

Если вы используете ELB в режиме сквозной передачи TCP для обработки запросов к пограничным маршрутизаторам, маршрутизатор будет рассматривать IP-адрес ELB как IP-адрес клиента, а не как фактический IP-адрес клиента. Если маршрутизатору требуется истинный IP-адрес клиента, включите proxy_protocol на ELB, чтобы он передавал IP-адрес клиента в TCP-пакете. На маршрутизаторе также необходимо установить параметр <ListenOption> на виртуальном хосте в значение proxy_protocol . Поскольку ELB находится в режиме сквозной передачи TCP, обычно завершение TLS происходит на маршрутизаторе. Поэтому обычно виртуальный хост настраивается на использование proxy_protocol только при настройке его на использование TLS.

Значение по умолчанию для <ListenOption> — пустая строка.

Например:

<ListenOptions>
  <ListenOption>proxy_protocol</ListenOption>
</ListenOptions>

Чтобы впоследствии отменить параметр <ListenOption> , обновите виртуальный хост и опустите тег <ListenOptions> в обновлении.

Включает одностороннюю передачу TLS/SSL. Необходимо предварительно определить хранилище ключей, содержащее сертификат и закрытый ключ.

Для облачных решений : необходим сертификат, подписанный доверенной организацией, такой как Symantec или VeriSign. Нельзя использовать самоподписанные сертификаты или конечные сертификаты, подписанные самоподписанным центром сертификации.

Для облачных сервисов : если ваш существующий виртуальный хост настроен на использование порта, отличного от 443, вы не можете изменить настройку TLS. Это означает, что вы не можете изменить настройку TLS с «включено» на «выключено» или с «выключено» на «включено».

Название хранилища ключей в браузере Edge.

Apigee рекомендует использовать ссылку для указания имени хранилища ключей, чтобы вы могли изменить хранилище ключей без перезапуска маршрутизаторов. Дополнительные сведения см. в разделе «Параметры настройки TLS» .

Имя хранилища доверенных сертификатов на Edge, содержащего сертификат или цепочку сертификатов, используемых для двусторонней TLS-аутентификации. Обязательно, если <ClientAuthEnabled> имеет значение true.

Apigee рекомендует использовать ссылку для указания имени хранилища доверенных сертификатов, чтобы вы могли изменить его без перезапуска маршрутизаторов. Дополнительные сведения см. в разделе «Параметры настройки TLS» .

Если значение равно true, указывает на необходимость игнорирования ошибок TLS-сертификатов. Это аналогично опции "-k" в cURL.

Этот параметр действителен при настройке TLS для целевых серверов и целевых конечных точек, а также при настройке виртуальных хостов, использующих двусторонний TLS.

При использовании с целевой конечной точкой/целевым сервером, если серверная система использует SNI и возвращает сертификат с отличительным именем субъекта (DN), не соответствующим имени хоста, игнорировать ошибку невозможно, и соединение прерывается.

Только для Edge for Private Cloud версии 4.15.07 и более ранних.

Указывает поддерживаемые виртуальным хостом шифры. Если шифры не указаны, будут разрешены все шифры, доступные для JVM.

Для ограничения использования шифров добавьте следующие элементы:

<Ciphers>
  <Cipher>TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA</Cipher>
  <Cipher>TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256</Cipher>
</Ciphers>

Только для Edge for Private Cloud версии 4.15.07 и более ранних.

Указывает протоколы, поддерживаемые виртуальным хостом. Если протоколы не указаны, разрешены все протоколы, доступные для JVM.

Для ограничения протоколов добавьте следующие элементы:

<Protocols>
  <Protocol>TLSv1</Protocol>
  <Protocol>TLSv1.2</Protocol>
  <Protocol>SSLv2Hello</Protocol>
</Protocols>

Если у вас есть платная учетная запись Edge for Cloud и еще нет сертификата и ключа TLS, вы можете создать виртуальный хост, используя сертификат и ключ из бесплатной пробной версии Apigee. Это означает, что вы можете создать виртуальный хост, не создавая предварительно хранилище ключей.

Сертификат для бесплатной пробной версии Apigee предназначен для домена *.apigee.net . Следовательно, <HostAlias> виртуального хоста также должен иметь формат *.apigee.net .

См. раздел «Настройка виртуального хоста с использованием сертификата и ключа бесплатной пробной версии Apigee» .

Позволяет Edge получать информацию о TLS-соединении. Эта информация затем доступна в качестве переменных потока в API-прокси. Дополнительные сведения см. в разделе «Доступ к информации о TLS-соединении в API-прокси» .

Позволяет получать данные клиентского сертификата, захваченные Edge в двустороннем TLS-соединении. Эта информация затем становится доступна в качестве переменных потока в API-прокси. Дополнительные сведения см. в разделе «Доступ к информации о TLS-соединении в API-прокси» .

Устанавливает время ожидания в секундах между обработчиками сообщений и маршрутизатором. Маршрутизатор разрывает соединение и возвращает HTTP-ответ 504, если не получает ответа от обработчика сообщений до истечения этого времени.

Значение параметра proxy_read_timeout должно быть больше целевого значения таймаута, используемого обработчиком сообщений. Это гарантирует, что маршрутизатор не выйдет из строя до того, как обработчик сообщений успеет вернуть ответ. Целевое значение таймаута по умолчанию для обработчика сообщений составляет 55 секунд (55000 миллисекунд), как определено токеном conf_http_HTTPTransport.io.timeout.millis для обработчика сообщений.

Устанавливает время ожидания в секундах между клиентом и маршрутизатором, когда клиент отправляет запрос, содержащий заголовок Keep-Alive. Маршрутизатор поддерживает соединение открытым до истечения этого времени.

Маршрутизатор не разорвет соединение, если в данный момент ожидает ответа от обработчика сообщений. Тайм-аут начинается только после того, как маршрутизатор вернет ответ клиенту.

Задает набор поддерживаемых виртуальным хостом алгоритмов шифрования, переопределяя алгоритмы по умолчанию, установленные на маршрутизаторе.

Укажите список шифров, разделённых двоеточием, в следующем формате:

<Property name="ssl_ciphers">HIGH:!aNULL:!MD5:!DH+3DES:!kEDH;</Property>

Информацию о синтаксисе и допустимых значениях этого токена см. на странице https://www.openssl.org/docs/man1.0.2/man1/ciphers.html . Обратите внимание, что этот токен использует имена шифров OpenSSL, такие как AES128-SHA256, а не имена шифров Java/JSSE, такие как TLS_RSA_WITH_AES_128_CBC_SHA256.

!MD5:

!DH+3DES:

!kEDH

Доступно только для периферийных устройств в частном облаке.

Задает поддерживаемые виртуальным хостом протоколы TLS в виде списка, разделенного пробелами, переопределяя протоколы по умолчанию, установленные на маршрутизаторе.

Примечание : Если два виртуальных хоста используют один и тот же порт, они должны установить параметр ssl_protocols на одни и те же протоколы. Это означает, что виртуальные хосты, использующие один и тот же порт, должны поддерживать абсолютно одинаковые протоколы.

Укажите список протоколов TLS, разделённых пробелами, в следующем формате:

<Property name="ssl_protocols">TLSv1 TLSv1.2</Property>

Включает (вкл.) или выключает (выкл.) буферизацию тела запроса. При включенной буферизации маршрутизатор буферизует все тело запроса перед отправкой его обработчику сообщений. В случае ошибки маршрутизатор может повторно обратиться к другому обработчику сообщений.

Если параметр «выключен», буферизация отключается, и тело запроса отправляется обработчику сообщений сразу после его получения. В случае ошибки маршрутизатор не пытается повторно отправить запрос другому обработчику сообщений.