Riferimento alle proprietà host virtuali

Specifica il nome dell'host virtuale. Utilizzi questo nome per fare riferimento all'host virtuale quando configuri un proxy API.

I caratteri che puoi utilizzare nell'attributo nome sono limitati a: A-Z0-9._\-$%.

Specifica il numero di porta utilizzato dall'host virtuale. Assicurati che la porta sia aperta sul router perimetrale.

Se specifichi una porta in un elemento hostalias, il numero di porta specificato da <Port> deve corrispondere.

Per Cloud: devi specificare la porta 443 quando crei un host virtuale. Se omesso, per impostazione predefinita la porta è impostata su 443. Se hai un host virtuale esistente che utilizza una porta diversa da 443, non puoi modificare la porta.

Per le release di Private Cloud dalla 4.16.01 alla 4.17.05:quando crei un host virtuale, specifica la porta del router utilizzata dall'host virtuale. Ad esempio, porta 9001. Per impostazione predefinita, il router viene eseguito come utente "apigee" che non ha accesso a porte privilegiate, in genere le porte 1024 e inferiori. Se vuoi creare un host virtuale che associa il router a una porta protetta, devi configurare il router in modo che venga eseguito come utente con accesso a queste porte. Per saperne di più, consulta Configurare un host virtuale.

Per le release di Private Cloud precedenti alla 4.16.01:un router può ascoltare solo una connessione HTTPS per host virtuale, su una porta specifica, con il certificato specificato. Pertanto, più host virtuali non possono utilizzare lo stesso numero di porta se la terminazione TLS si verifica sul router alla porta specificata.

Il valore di BaseUrl deve includere il protocollo (ad es. "http://" o "https://").

Un client OCSP (Online Certificate Status Protocol) invia una richiesta di stato a un risponditore OCSP per determinare se il certificato TLS è valido. La risposta indica se il certificato TLS è valido e non revocato.

Se abilitato, l'OCSP stapling consente a Edge, che funge da server TLS per TLS unidirezionale, di eseguire query direttamente sul risponditore OCSP e memorizzare nella cache la risposta. Edge restituisce quindi questa risposta al client TLS o la aggrega nell'ambito dell'handshake TLS. Per saperne di più, consulta Attivare OCSP Stapling sul server.

TLS deve essere abilitato per attivare l'aggiornamento OCSP. Imposta su on per attivare. Il valore predefinito è off.

Il nome DNS visibile pubblicamente dell'host virtuale sul router, che include facoltativamente il numero di porta. La combinazione di nome alias host e numero di porta per l'host virtuale deve essere univoca per tutti gli host virtuali nell'installazione di Edge. Ciò significa che più host virtuali possono utilizzare lo stesso numero di porta se hanno alias host diversi.

Devi creare una voce DNS e un record CNAME che corrispondano all'alias host e l'alias host deve corrispondere alla stringa che il client passa nell'intestazione Host.

Il numero di porta in HostAlias è facoltativo. Se specifichi la porta come parte dell'alias host, devi specificare la stessa porta anche utilizzando l'elemento <Port>. In alternativa, puoi specificare due elementi HostAlias, uno con il numero di porta e uno senza.

Puoi avere più definizioni di HostAlias nella stessa definizione di host virtuale, corrispondenti a più voci DNS per l'host virtuale, ma non per più porte. Se vuoi più porte, crea più definizioni di host virtuali con porte diverse.

Puoi includere il carattere jolly "*" nell'alias host. Il carattere jolly "*" può trovarsi solo all'inizio (prima del primo ".") dell'alias host e non può essere combinato con altri caratteri. Ad esempio, *.example.com. Il certificato TLS per l'host virtuale deve avere un carattere jolly corrispondente nel nome CN del certificato. Ad esempio, *.example.com. L'utilizzo di un carattere jolly in un alias di host virtuale consente ai proxy API di gestire le chiamate indirizzate a più sottodomini, ad esempio alpha.example.com, beta.example.com o live.example.com. L'utilizzo di un alias con caratteri jolly ti consente anche di utilizzare meno host virtuali per ambiente per rimanere entro i limiti del prodotto, poiché un host virtuale con un carattere jolly viene conteggiato come un solo host virtuale.

Per Cloud: se hai un host virtuale esistente che utilizza una porta diversa da 443, non puoi aggiungere o rimuovere un alias host.

Per il cloud privato:se imposti l'alias host utilizzando gli indirizzi IP dei router e non le voci DNS, aggiungi un alias host separato per ogni router, specificando l'indirizzo IP di ciascun router e la porta dell'host virtuale.

Specifica le interfacce di rete a cui vuoi che port sia associato. Se ometti questo elemento, la porta viene associata a tutte le interfacce.

Ad esempio, per specificare di associare la porta solo a en0:

<Interfaces>
  <Interface>en0</Interface>
</Interfaces>

Determina le interfacce disponibili sul tuo sistema eseguendo il comando "ifconfig -a".

Configura il modo in cui il router reagisce per questo host virtuale quando il processore di messaggi non è disponibile.

Puoi specificare più valori utilizzando <RetryOption>. I valori validi includono:

Se specifichi più valori, il router li combina utilizzando l'operatore logico OR.

Ad esempio:

<RetryOptions>
  <RetryOption>http_599</RetryOption>
  <RetryOption>error</RetryOption>
  <RetryOption>timeout</RetryOption>
  <RetryOption>invalid_header</RetryOption>
</RetryOptions>

Se utilizzi un ELB in modalità pass-through TCP per gestire le richieste ai router di confine, il router considera l'indirizzo IP dell'ELB come IP client anziché l'IP client effettivo. Se il router richiede l'IP client reale, attiva proxy_protocol su ELB in modo che trasmetta l'IP client nel pacchetto TCP. Sul router devi anche impostare <ListenOption> sull'host virtuale su proxy_protocol. Poiché ELB è in modalità pass-through TCP, in genere termini TLS sul router. Pertanto, in genere configuri l'host virtuale per utilizzare proxy_protocol solo quando lo configuri anche per utilizzare TLS.

Il valore predefinito per <ListenOption> è una stringa vuota.

Ad esempio:

<ListenOptions>
  <ListenOption>proxy_protocol</ListenOption>
</ListenOptions>

Per annullare in un secondo momento <ListenOption>, aggiorna l'host virtuale e ometti il tag <ListenOptions> dall'aggiornamento.

Abilita TLS/SSL unidirezionale. Devi aver definito un keystore contenente il certificato e la chiave privata.

Per Cloud: devi disporre di un certificato firmato da un'entità attendibile, ad esempio Symantec o VeriSign. Non puoi utilizzare un certificato autofirmato o certificati foglia firmati da un'autorità di certificazione autofirmata.

Per Cloud: se l'host virtuale esistente è configurato per utilizzare una porta diversa dalla 443, non puoi modificare l'impostazione TLS. Ciò significa che non puoi modificare l'impostazione TLS da attivata a disattivata o viceversa.

Il nome dell'archivio chiavi su Edge.

Apigee consiglia di utilizzare un riferimento per specificare il nome del keystore in modo da poterlo modificare senza dover riavviare i router. Per saperne di più, consulta Opzioni per la configurazione di TLS.

Il nome dell'archivio attendibilità su Edge che contiene il certificato o la catena di certificati utilizzati per TLS bidirezionale. Obbligatorio se <ClientAuthEnabled> è true.

Apigee consiglia di utilizzare un riferimento per specificare il nome del truststore in modo da poterlo modificare senza dover riavviare i router. Per saperne di più, consulta Opzioni per la configurazione di TLS.

Se il valore è true, specifica di ignorare gli errori del certificato TLS. Questa opzione è simile all'opzione "-k" per cURL.

Questa opzione è valida quando configuri TLS per i server di destinazione e gli endpoint di destinazione e quando configuri host virtuali che utilizzano TLS bidirezionale.

Se utilizzato con un endpoint di destinazione/server di destinazione, se il sistema di backend utilizza SNI e restituisce un certificato con un nome distinto (DN) del soggetto che non corrisponde al nome host, non è possibile ignorare l'errore e la connessione non va a buon fine.

Solo per Edge for Private Cloud versione 4.15.07 e precedenti.

Specifica le cifrature supportate dall'host virtuale. Se non vengono specificate cifrature, saranno consentite tutte le cifrature disponibili per la JVM.

Per limitare le cifrature, aggiungi i seguenti elementi:

<Ciphers>
  <Cipher>TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA</Cipher>
  <Cipher>TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256</Cipher>
</Ciphers>

Solo per Edge for Private Cloud versione 4.15.07 e precedenti.

Specifica i protocolli supportati dall'host virtuale. Se non vengono specificati protocolli, saranno consentiti tutti i protocolli disponibili per la JVM.

Per limitare i protocolli, aggiungi i seguenti elementi:

<Protocols>
  <Protocol>TLSv1</Protocol>
  <Protocol>TLSv1.2</Protocol>
  <Protocol>SSLv2Hello</Protocol>
</Protocols>

Se hai un account Edge for Cloud a pagamento e non disponi ancora di un certificato e di una chiave TLS, puoi creare un host virtuale che utilizzi il certificato e la chiave della prova senza costi di Apigee. Ciò significa che puoi creare l'host virtuale senza prima creare un keystore.

Il certificato di prova senza costi di Apigee è definito per un dominio di *.apigee.net. Pertanto, anche <HostAlias> dell'host virtuale deve essere nel formato *.apigee.net.

Consulta Definizione di un host virtuale che utilizza il certificato e la chiave della prova senza costi di Apigee.

Consente l'acquisizione delle informazioni sulla connessione TLS da parte di Edge. Queste informazioni sono quindi disponibili come variabili di flusso in un proxy API. Per saperne di più, consulta Accesso alle informazioni sulla connessione TLS in un proxy API.

Consente l'acquisizione dei dettagli del certificato client acquisiti da Edge in TLS bidirezionale. Queste informazioni sono quindi disponibili come variabili di flusso in un proxy API. Per saperne di più, consulta Accesso alle informazioni sulla connessione TLS in un proxy API.

Imposta la durata del timeout, in secondi, tra i processori di messaggi e il router. Il router interrompe la connessione e restituisce una risposta HTTP 504 se non riceve una risposta dal processore di messaggi prima della scadenza di questo periodo.

Il valore di proxy_read_timeout deve essere maggiore del valore di timeout di destinazione utilizzato dal processore di messaggi. In questo modo, il router non va in timeout prima che il processore di messaggi abbia avuto il tempo di restituire una risposta. Il timeout di destinazione predefinito per il processore di messaggi è 55 secondi, 55.000 millisecondi, come definito dal token conf_http_HTTPTransport.io.timeout.millis per il processore di messaggi.

Imposta la durata del timeout, in secondi, tra il client e il router quando il client effettua una richiesta che contiene l'intestazione Keep-Alive. Il router mantiene aperta la connessione fino alla scadenza della durata.

Il router non chiuderà la connessione se è attualmente in attesa di una risposta dal processore di messaggi. Il timeout inizia solo dopo che il router restituisce la risposta al client.

Imposta le cifrature supportate dall'host virtuale, ignorando le cifrature predefinite impostate sul router.

Specifica un elenco di cifrari delimitati da due punti nel formato:

<Property name="ssl_ciphers">HIGH:!aNULL:!MD5:!DH+3DES:!kEDH;</Property>

Per informazioni sulla sintassi e sui valori consentiti da questo token, consulta la pagina https://www.openssl.org/docs/man1.0.2/man1/ciphers.html. Tieni presente che questo token utilizza i nomi delle cifrature OpenSSL, ad esempio AES128-SHA256, e non i nomi delle cifrature Java/JSSE, ad esempio TLS_RSA_WITH_AES_128_CBC_SHA256.

!MD5:

!DH+3DES:

!kEDH

Disponibile solo per Edge for Private Cloud.

Imposta i protocolli TLS supportati dall'host virtuale come elenco delimitato da spazi, ignorando i protocolli predefiniti impostati sul router.

Nota: se due host virtuali condividono la stessa porta, devono impostare ssl_protocols sugli stessi protocolli. Ciò significa che gli host virtuali che condividono la stessa porta devono supportare esattamente gli stessi protocolli.

Specifica un elenco di protocolli TLS delimitati da spazi nel formato:

<Property name="ssl_protocols">TLSv1 TLSv1.2</Property>

Attiva (on) o disattiva (off) il buffering del corpo della richiesta. Quando il buffering è attivo, il router memorizza nel buffer l'intero corpo della richiesta prima di inviarlo al processore di messaggi. Se si verifica un errore, il router può riprovare con un processore di messaggi diverso.

Se disattivato, il buffering viene disabilitato e il corpo della richiesta viene inviato immediatamente al processore di messaggi non appena viene ricevuto. Se si verifica un errore, il router non ritenta la richiesta a un altro processore di messaggi.