Tham chiếu thuộc tính lưu trữ ảo

Chỉ định tên của máy chủ ảo. Bạn dùng tên đó để tham chiếu máy chủ ảo khi định cấu hình một proxy API.

Các ký tự mà bạn có thể sử dụng trong thuộc tính tên bị giới hạn trong: A-Z0-9._\-$%.

Chỉ định số cổng mà máy chủ ảo sử dụng. Đảm bảo rằng cổng đang mở trên Bộ định tuyến biên.

Nếu bạn chỉ định một cổng trong phần tử hostalias, thì số cổng do <Port> chỉ định phải khớp với cổng đó.

Đối với Cloud: Bạn phải chỉ định cổng 443 khi tạo một máy chủ ảo. Nếu bị bỏ qua, theo mặc định, cổng sẽ được đặt thành 443. Nếu có một máy chủ ảo hiện tại đang sử dụng một cổng khác với cổng 443, thì bạn không thể thay đổi cổng đó.

Đối với các bản phát hành Đám mây riêng tư từ 4.16.01 đến 4.17.05: Khi tạo một máy chủ ảo, bạn chỉ định cổng Bộ định tuyến mà máy chủ ảo sử dụng. Ví dụ: cổng 9001. Theo mặc định, Bộ định tuyến chạy dưới dạng người dùng "apigee" không có quyền truy cập vào các cổng có đặc quyền, thường là cổng 1024 trở xuống. Nếu muốn tạo một máy chủ ảo liên kết Bộ định tuyến với một cổng được bảo vệ, thì bạn phải định cấu hình Bộ định tuyến để chạy dưới dạng người dùng có quyền truy cập vào các cổng đó. Hãy xem phần Thiết lập máy chủ ảo để biết thêm.

Đối với các bản phát hành Đám mây riêng trước phiên bản 4.16.01: Bộ định tuyến chỉ có thể theo dõi một kết nối HTTPS cho mỗi máy chủ ảo, trên một cổng cụ thể, bằng chứng chỉ được chỉ định. Do đó, nhiều máy chủ ảo không thể sử dụng cùng một số cổng nếu quá trình chấm dứt TLS xảy ra trên Bộ định tuyến tại cổng được chỉ định.

Giá trị của BaseUrl phải có giao thức (tức là "http://" hoặc "https://").

Một ứng dụng OCSP (Giao thức trạng thái chứng chỉ trực tuyến) sẽ gửi một yêu cầu trạng thái đến một ứng dụng phản hồi OCSP để xác định xem chứng chỉ TLS có hợp lệ hay không. Phản hồi cho biết liệu chứng chỉ TLS có hợp lệ và không bị thu hồi hay không.

Khi được bật, tính năng ghim OCSP cho phép Edge (đóng vai trò là máy chủ TLS cho TLS một chiều) truy vấn trực tiếp trình phản hồi OCSP rồi lưu phản hồi vào bộ nhớ đệm. Sau đó, Edge sẽ trả về phản hồi này cho ứng dụng TLS hoặc ghim phản hồi đó trong quá trình bắt tay TLS. Hãy xem bài viết Bật tính năng OCSP Stapling trên máy chủ để biết thêm thông tin.

Bạn phải bật TLS để bật tính năng ghim OCSP. Đặt thành on để bật. Giá trị mặc định là off.

Tên DNS hiển thị công khai của máy chủ ảo trên Bộ định tuyến, có thể bao gồm cả số cổng. Tổ hợp tên bí danh máy chủ lưu trữ và số cổng cho máy chủ lưu trữ ảo phải là duy nhất đối với tất cả máy chủ lưu trữ ảo trong quá trình cài đặt Edge. Điều này có nghĩa là nhiều máy chủ ảo có thể sử dụng cùng một số cổng nếu chúng có các bí danh máy chủ khác nhau.

Bạn phải tạo một mục DNS và bản ghi CNAME khớp với bí danh máy chủ lưu trữ, đồng thời bí danh máy chủ lưu trữ phải khớp với chuỗi mà ứng dụng truyền trong tiêu đề Host.

Bạn không bắt buộc phải nhập số cổng trong HostAlias. Nếu chỉ định cổng trong bí danh máy chủ lưu trữ, bạn cũng phải chỉ định cùng một cổng bằng cách sử dụng phần tử <Port>. Hoặc bạn có thể chỉ định hai phần tử HostAlias, một có số cổng và một không có.

Bạn có thể có nhiều định nghĩa HostAlias trong cùng một định nghĩa máy chủ ảo, tương ứng với nhiều mục DNS cho máy chủ ảo, nhưng không phải cho nhiều cổng. Nếu bạn muốn có nhiều cổng, hãy tạo nhiều định nghĩa máy chủ ảo với các cổng khác nhau.

Bạn có thể thêm ký tự đại diện "*" vào bí danh máy chủ lưu trữ. Ký tự đại diện "*" chỉ có thể ở đầu (trước dấu "." đầu tiên) của bí danh máy chủ lưu trữ và không thể kết hợp với các ký tự khác. Ví dụ: *.example.com. Chứng chỉ TLS cho máy chủ ảo phải có một ký tự đại diện khớp trong tên CN của chứng chỉ. Ví dụ: *.example.com. Việc sử dụng ký tự đại diện trong bí danh máy chủ ảo cho phép các proxy API xử lý các lệnh gọi được gửi đến nhiều miền con, chẳng hạn như alpha.example.com, beta.example.com hoặc live.example.com. Việc sử dụng bí danh ký tự đại diện cũng giúp bạn sử dụng ít máy chủ ảo hơn cho mỗi môi trường để không vượt quá giới hạn sản phẩm, vì máy chủ ảo có ký tự đại diện chỉ được tính là một máy chủ ảo.

Đối với Cloud: Nếu có một máy chủ ảo hiện tại sử dụng cổng khác với cổng 443, bạn không thể thêm hoặc xoá bí danh máy chủ.

Đối với Đám mây riêng: Nếu bạn đang thiết lập bí danh máy chủ bằng cách sử dụng địa chỉ IP của Bộ định tuyến chứ không phải các mục DNS, hãy thêm một bí danh máy chủ riêng cho từng Bộ định tuyến, chỉ định địa chỉ IP của từng Bộ định tuyến và cổng của máy chủ ảo.

Chỉ định các giao diện mạng mà bạn muốn port được liên kết. Nếu bạn bỏ qua phần tử này, cổng sẽ được liên kết trên tất cả các giao diện.

Ví dụ: để chỉ định liên kết cổng chỉ với en0:

<Interfaces>
  <Interface>en0</Interface>
</Interfaces>

Xác định các giao diện có trên hệ thống bằng cách chạy lệnh "ifconfig -a".

Định cấu hình cách Bộ định tuyến phản ứng với máy chủ ảo này khi Bộ xử lý thông báo ngừng hoạt động.

Bạn có thể chỉ định nhiều giá trị bằng cách sử dụng <RetryOption>. Các giá trị hợp lệ bao gồm:

Nếu bạn chỉ định nhiều giá trị, Bộ định tuyến sẽ sử dụng toán tử logic OR để kết hợp các giá trị đó.

Ví dụ:

<RetryOptions>
  <RetryOption>http_599</RetryOption>
  <RetryOption>error</RetryOption>
  <RetryOption>timeout</RetryOption>
  <RetryOption>invalid_header</RetryOption>
</RetryOptions>

Nếu bạn sử dụng ELB ở chế độ truyền trực tiếp TCP để xử lý các yêu cầu đến Bộ định tuyến biên, Bộ định tuyến sẽ coi địa chỉ IP của ELB là IP máy khách thay vì IP máy khách thực tế. Nếu Bộ định tuyến yêu cầu địa chỉ IP thực của ứng dụng, hãy bật proxy_protocol trên ELB để ELB truyền địa chỉ IP của ứng dụng trong gói TCP. Trên Bộ định tuyến, bạn cũng phải đặt <ListenOption> trên máy chủ ảo thành proxy_protocol. Vì ELB ở chế độ truyền trực tiếp TCP, nên bạn thường chấm dứt TLS trên Bộ định tuyến. Do đó, bạn thường chỉ định cấu hình máy chủ ảo để sử dụng proxy_protocol khi bạn cũng định cấu hình máy chủ ảo đó để sử dụng TLS.

Giá trị mặc định cho <ListenOption> là một chuỗi trống.

Ví dụ:

<ListenOptions>
  <ListenOption>proxy_protocol</ListenOption>
</ListenOptions>

Để sau này huỷ đặt <ListenOption>, hãy cập nhật máy chủ ảo và bỏ qua thẻ <ListenOptions> trong nội dung cập nhật.

Bật TLS/SSL một chiều. Bạn phải xác định một kho khoá chứa chứng chỉ và khoá riêng tư.

Đối với Cloud: Bạn phải có chứng chỉ do một thực thể đáng tin cậy ký, chẳng hạn như Symantec hoặc VeriSign. Bạn không thể sử dụng chứng chỉ tự ký hoặc chứng chỉ gốc do một CA tự ký ký.

Đối với Cloud: Nếu máy chủ ảo hiện có của bạn được định cấu hình để sử dụng một cổng khác với cổng 443, thì bạn không thể thay đổi chế độ cài đặt TLS. Điều này có nghĩa là bạn không thể thay đổi chế độ cài đặt TLS từ bật sang tắt hoặc từ tắt sang bật.

Tên của kho khoá trên Edge.

Apigee đề xuất bạn sử dụng một giá trị tham chiếu để chỉ định tên kho khoá để bạn có thể thay đổi kho khoá mà không cần phải khởi động lại Bộ định tuyến. Hãy xem phần Các lựa chọn để định cấu hình TLS để biết thêm thông tin.

Tên của kho lưu trữ đáng tin cậy trên Edge chứa chứng chỉ hoặc chuỗi chứng chỉ dùng cho TLS hai chiều. Bắt buộc nếu <ClientAuthEnabled> là true.

Apigee đề xuất bạn sử dụng một giá trị tham chiếu để chỉ định tên truststore để bạn có thể thay đổi truststore mà không cần phải khởi động lại Bộ định tuyến. Hãy xem phần Các lựa chọn để định cấu hình TLS để biết thêm thông tin.

Nếu đúng, hãy chỉ định bỏ qua các lỗi chứng chỉ TLS. Điều này tương tự như lựa chọn "-k" đối với cURL.

Lựa chọn này có hiệu lực khi bạn định cấu hình TLS cho Máy chủ đích và Điểm cuối đích, cũng như khi định cấu hình máy chủ ảo sử dụng TLS 2 chiều.

Khi được dùng với một điểm cuối đích/máy chủ đích, nếu hệ thống phụ trợ sử dụng SNI và trả về một chứng chỉ có Tên phân biệt (DN) của chủ thể không khớp với tên máy chủ, thì không có cách nào để bỏ qua lỗi và kết nối sẽ không thành công.

Chỉ dành cho Edge for Private Cloud phiên bản 4.15.07 trở xuống.

Chỉ định các mật mã mà máy chủ ảo hỗ trợ. Nếu bạn không chỉ định mật mã nào, thì tất cả mật mã có sẵn cho JVM sẽ được cho phép.

Để hạn chế các mật mã, hãy thêm các phần tử sau:

<Ciphers>
  <Cipher>TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA</Cipher>
  <Cipher>TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256</Cipher>
</Ciphers>

Chỉ dành cho Edge for Private Cloud phiên bản 4.15.07 trở xuống.

Chỉ định các giao thức mà máy chủ ảo hỗ trợ. Nếu bạn không chỉ định giao thức nào, thì tất cả giao thức có sẵn cho JVM sẽ được cho phép.

Để hạn chế các giao thức, hãy thêm các phần tử sau:

<Protocols>
  <Protocol>TLSv1</Protocol>
  <Protocol>TLSv1.2</Protocol>
  <Protocol>SSLv2Hello</Protocol>
</Protocols>

Nếu có tài khoản Edge for Cloud trả phí và chưa có chứng chỉ và khoá TLS, bạn có thể tạo một máy chủ ảo sử dụng chứng chỉ và khoá dùng thử miễn phí của Apigee. Điều đó có nghĩa là bạn có thể tạo máy chủ ảo mà không cần tạo kho khoá trước.

Chứng chỉ dùng thử miễn phí Apigee được xác định cho miền *.apigee.net. Do đó, <HostAlias> của máy chủ ảo cũng phải có dạng *.apigee.net.

Xem phần Xác định máy chủ ảo sử dụng chứng chỉ và khoá dùng thử miễn phí của Apigee.

Cho phép Edge ghi lại thông tin kết nối TLS. Sau đó, thông tin này sẽ có sẵn dưới dạng các biến luồng trong một proxy API. Hãy xem bài viết Truy cập thông tin kết nối TLS trong một proxy API để biết thêm thông tin.

Cho phép ghi lại thông tin chi tiết về chứng chỉ máy khách do Edge ghi lại trong TLS hai chiều. Sau đó, thông tin này sẽ có sẵn dưới dạng các biến luồng trong một proxy API. Hãy xem bài viết Truy cập thông tin kết nối TLS trong một proxy API để biết thêm thông tin.

Đặt thời lượng chờ (tính bằng giây) giữa Bộ xử lý thông báo và Bộ định tuyến. Bộ định tuyến sẽ ngắt kết nối và trả về phản hồi HTTP 504 nếu không nhận được phản hồi từ Trình xử lý thông báo trước khi khoảng thời gian này hết hạn.

Giá trị của proxy_read_timeout phải lớn hơn giá trị thời gian chờ mục tiêu mà Trình xử lý thông báo sử dụng. Điều này đảm bảo rằng Router không hết thời gian chờ trước khi Message Processor có thời gian trả về phản hồi. Thời gian chờ mục tiêu mặc định cho Trình xử lý thông báo là 55 giây (55000 mili giây), như được xác định bằng mã thông báo conf_http_HTTPTransport.io.timeout.millis cho Trình xử lý thông báo.

Đặt thời lượng hết thời gian chờ (tính bằng giây) giữa ứng dụng và Bộ định tuyến khi ứng dụng đưa ra yêu cầu có chứa tiêu đề Keep-Alive. Bộ định tuyến sẽ duy trì kết nối cho đến khi hết thời gian.

Bộ định tuyến sẽ không đóng kết nối nếu hiện đang đợi phản hồi từ Trình xử lý thông báo. Thời gian chờ chỉ bắt đầu sau khi Bộ định tuyến trả về phản hồi cho máy khách.

Đặt các mật mã mà máy chủ ảo hỗ trợ, ghi đè các mật mã mặc định được đặt trên Bộ định tuyến.

Chỉ định danh sách mật mã được phân tách bằng dấu hai chấm, ở dạng:

<Property name="ssl_ciphers">HIGH:!aNULL:!MD5:!DH+3DES:!kEDH;</Property>

Để biết thông tin về cú pháp và các giá trị được phép dùng cho mã thông báo này, hãy xem https://www.openssl.org/docs/man1.0.2/man1/ciphers.html. Xin lưu ý rằng mã thông báo này sử dụng tên thuật toán mã hoá OpenSSL (chẳng hạn như AES128-SHA256) chứ không phải tên thuật toán mã hoá Java/JSSE (chẳng hạn như TLS_RSA_WITH_AES_128_CBC_SHA256).

!MD5:

!DH+3DES:

!kEDH

Chỉ dành cho Edge for Private Cloud.

Đặt các giao thức TLS mà máy chủ ảo hỗ trợ, dưới dạng danh sách phân tách bằng dấu cách, ghi đè các giao thức mặc định được đặt trên Bộ định tuyến.

Lưu ý: Nếu hai máy chủ ảo dùng chung một cổng, thì chúng phải đặt ssl_protocols thành cùng một giao thức. Tức là các máy chủ ảo dùng chung một cổng phải hỗ trợ chính xác cùng một giao thức.

Chỉ định danh sách các giao thức TLS được phân tách bằng dấu cách, ở dạng:

<Property name="ssl_protocols">TLSv1 TLSv1.2</Property>

Bật (on) hoặc tắt (off) tính năng lưu vào bộ nhớ đệm của nội dung yêu cầu. Khi quá trình đệm đang bật, Bộ định tuyến sẽ đệm toàn bộ nội dung yêu cầu trước khi gửi nội dung đó đến Trình xử lý thông báo. Nếu xảy ra lỗi, Bộ định tuyến có thể thử lại một Trình xử lý thông báo khác.

Nếu tắt, quá trình lưu vào bộ nhớ đệm sẽ bị vô hiệu hoá và phần nội dung yêu cầu sẽ được gửi đến Trình xử lý thông báo ngay khi nhận được. Nếu xảy ra lỗi, Bộ định tuyến sẽ không thử lại yêu cầu đối với một Trình xử lý thông báo khác.