הפניה של מאפיין המארח הווירטואלי

אתם צופים במסמכי העזרה של Apigee Edge.
כניסה למסמכי העזרה של Apigee X. info

ייצוג של המארח הווירטואלי

אובייקט ה-XML שבו משתמשים כדי להגדיר מארח וירטואלי מבוסס על הגרסה של Edge: Cloud או ענן פרטי.

אם אתם לקוחות של Private Cloud, עליכם לוודא שאתם משתמשים ב-XML הנכון לגרסה שלכם ב-Edge.

Cloud וענן פרטי 4.17.01 ואילך

<VirtualHost name="vhostName">
    <Port>portNumber</Port>
    <BaseUrl>http://myCo.com</BaseUrl>
    <OCSPStapling>offOn</OCSPStapling>
    <HostAliases>
        <HostAlias>hostAlias</HostAlias>
    </HostAliases>
    <Interfaces>
        <!-- Private Cloud only -->
        <Interface>interfaceName</Interface>
    </Interfaces>
    <RetryOptions>
        <RetryOption>option</RetryOption>
    </RetryOptions>
    <ListenOptions>
        <ListenOption>option</ListenOption>
    </ListenOptions>
    <SSLInfo>
        <Enabled>trueFalse</Enabled>
        <ClientAuthEnabled>trueFalse</ClientAuthEnabled>
        <KeyStore>ref://keystoreRef</KeyStore>
        <KeyAlias>keyAlias</KeyAlias>
        <TrustStore>ref://truststoreRef</TrustStore>
        <IgnoreValidationErrors>trueFalse</IgnoreValidationErrors>
    </SSLInfo>
    <!-- UseBuiltInFreeTrialCert is for Edge Cloud only -->
    <UseBuiltInFreeTrialCert>trueFalse</UseBuiltInFreeTrialCert>
    <PropagateTLSInformation>
        <!-- PropagateTLSInformation is Alpha in the Cloud only -->
        <ConnectionProperties>trueFalse</ConnectionProperties>
        <ClientProperties>trueFalse</ClientProperties>
    </PropagateTLSInformation>
    <Properties>
        <Property name="proxy_read_timeout">timeout</Property>
        <Property name="keepalive_timeout">timeout</Property>
        <Property name="proxy_request_buffering">onOff</Property>
        <Property name="proxy_buffering">onOff</Property>
        <!-- ssl_protocols is Private Cloud only -->
        <Property name="ssl_protocols">protocolList</Property>
        <Property name="ssl_ciphers">cipherList</Property>
    </Properties>
</VirtualHost>

Private Cloud מגרסה 4.16.01 ועד 4.16.09

<VirtualHost name="vhostName">
    <Port>portNumber</Port>
    <HostAliases>
        <HostAlias>hostAlias</HostAlias>
    </HostAliases>
    <Interfaces>
        <Interface>interfaceName</Interface>
    </Interfaces>
    <SSLInfo>
        <Enabled>trueFalse</Enabled>
        <ClientAuthEnabled>trueFalse</ClientAuthEnabled>
        <KeyStore>ref://keystoreRef</KeyStore>
        <KeyAlias>keyAlias</KeyAlias>
        <TrustStore>ref://truststoreRef</TrustStore>
        <IgnoreValidationErrors>trueFalse</IgnoreValidationErrors>
    </SSLInfo>
</VirtualHost>

Private Cloud 4.15.07 וגרסאות קודמות

<VirtualHost name="vhostName">
    <Port>portNumber</Port>
    <HostAliases>
        <HostAlias>hostAlias</HostAlias>
    </HostAliases>
    <Interfaces>
        <Interface>interfaceName</Interface>
    </Interfaces>
    <SSLInfo>
        <Enabled>trueFalse</Enabled>
        <ClientAuthEnabled>trueFalse</ClientAuthEnabled>
        <KeyStore>keystore</KeyStore>
        <KeyAlias>keyAlias</KeyAlias>
        <TrustStore>truststore</TrustStore>
        <IgnoreValidationErrors>trueFalse</IgnoreValidationErrors>
        <Ciphers>
             <Cipher>cipher</Cipher>
             <Cipher>cipher</Cipher>
         </Ciphers>
         <Protocols>
             <Protocol>protocol</Protocol>
             <Protocol>protocol</Protocol>
         </Protocols>
    </SSLInfo>
</VirtualHost>

מאפייני תצורה של מארח וירטואלי

בטבלה הבאה מפורטים המאפיינים שבהם משתמשים כדי להגדיר מארח וירטואלי:

מאפיינים תיאור ברירת מחדל חובה
VirtualHost

שם המארח הווירטואלי. משתמשים בשם הזה כדי להפנות לארח הווירטואלי כשמגדירים שרת proxy ל-API.

התווים שבהם אפשר להשתמש במאפיין השם מוגבלים ל-A-Z0-9._\-$%.

 ללא כן
יציאה

מספר היציאה שבו המארח הווירטואלי משתמש. מוודאים שהיציאה פתוחה בנתב הקצה.

אם מציינים יציאה ברכיב hostalias, מספר היציאה שצוין ב-<Port> חייב להתאים לה.

בענן: צריך לציין את היציאה 443 כשיוצרים מארח וירטואלי. אם השמטתם את הפרמטר, היציאה מוגדרת כברירת מחדל כ-443. אם יש לכם מארח וירטואלי קיים שמשתמש ביציאה שאינה 443, לא תוכלו לשנות את היציאה.

בגרסאות Private Cloud 4.16.01 עד 4.17.05: כשיוצרים מארח וירטואלי, מציינים את יציאת הנתב שבה המארח הווירטואלי משתמש. לדוגמה, יציאה 9001. כברירת מחדל, הנתב פועל בתור המשתמש 'apigee', שאין לו גישה ליציאות בעלות הרשאות, בדרך כלל יציאות 1024 ומטה. אם אתם רוצים ליצור מארח וירטואלי שמחברים את הנתב ליציאה מוגנת, צריך להגדיר את הנתב כך שיפעל כמשתמש עם גישה ליציאות האלה. למידע נוסף, ראו הגדרת מארח וירטואלי.

בגרסאות של Private Cloud שקדמו ל-4.16.01: נתב יכול להאזין רק לחיבור HTTPS אחד לכל מארח וירטואלי, ביציאה ספציפית, עם האישור שצוין. לכן, מספר מארחים וירטואליים לא יכולים להשתמש באותו מספר יציאה אם סיום TLS מתבצע בנתב ביציאה שצוינה.

 ללא כן
BaseUrl משנה את כתובת ה-URL שמוצגת בממשק המשתמש של Edge לשרת proxy של API שנפרס במארח הווירטואלי. שימושי כשיש מאזן עומסים חיצוני מול נתבי Edge. מידע נוסף מופיע במאמר הגדרת גישת TLS ל-API של הענן הפרטי.

הערך של BaseUrl חייב לכלול את הפרוטוקול (כלומר, "http:// " או "https:// ").

 ללא לא
OCSPStapling

לקוח OCSP (פרוטוקול אישור אונליין) שולח בקשת סטטוס למגיב OCSP כדי לקבוע אם אישור ה-TLS תקף. התגובה מציינת אם אישור ה-TLS תקף ולא בוטל.

כשהתכונה הצמדה של OCSP מופעלת, Edge, שמתפקד בתור שרת TLS ל-TLS חד-כיווני, יכול לשלוח שאילתה ישירות למענה OCSP ולאחר מכן לשמור את התגובה במטמון. לאחר מכן, Edge מחזיר את התשובה הזו ללקוח TLS, או מהדק אותה, כחלק מלחיצת היד של TLS. מידע נוסף זמין במאמר הפעלת OCSP Stapling בשרת.

צריך להפעיל את TLS כדי להפעיל את האפשרות של הצמדת OCSP. כדי להפעיל, צריך להגדיר את הערך on. ערך ברירת המחדל הוא off.

מושבתת לא
HostAliases
HostAlias

שם ה-DNS הגלוי לכולם של המארח הווירטואלי בנתב, כולל אפשרות לציין את מספר היציאה. השילוב של שם הכינוי של המארח ומספר היציאה של המארח הווירטואלי חייב להיות ייחודי לכל המארחים הווירטואליים בהתקנת Edge. כלומר, מספר מארחים וירטואליים יכולים להשתמש באותו מספר יציאה אם יש להם כינויים שונים למארחים.

צריך ליצור רשומת DNS ורשומת CNAME שתואמות לכינוי המארח, והכינוי של המארח צריך להתאים למחרוזת שהלקוח מעביר בכותרת Host.

מספר היציאה ב-HostAlias הוא אופציונלי. אם מציינים את היציאה כחלק מכתובת האימייל החלופית של המארח, צריך לציין את אותה יציאה גם באמצעות הרכיב <Port>. לחלופין, אפשר לציין שני רכיבי HostAlias, אחד עם מספר היציאה ואחד בלי.

אפשר להגדיר כמה הגדרות של HostAlias באותה הגדרה של מארח וירטואלי, בהתאם לכמה רשומות DNS של המארח הווירטואלי, אבל לא לכמה יציאות. אם רוצים להשתמש בכמה יציאות, צריך ליצור כמה הגדרות של מארחים וירטואליים עם יציאות שונות.

אפשר לכלול את התו הכללי לחיפוש '*' בכתובת החלופית של המארח. תו הכוכב (*) יכול להופיע רק בתחילת כתובת ה-host החלופית (לפני הנקודה הראשונה), ואי אפשר לשלב אותו עם תווים אחרים. לדוגמה, *.example.com. לאישור ה-TLS של המארח הווירטואלי צריך להיות תואם תו כללי (wildcard) בשם ה-CN של האישור. לדוגמה, *.example.com. שימוש בתו כללי לחיפוש בכתובת חלופית של מארח וירטואלי מאפשר לשרתים proxy ל-API לטפל בקריאות שמופנות לכמה תת-דומיינים, כמו alpha.example.com, ‏ beta.example.com או live.example.com. שימוש בכתובת אימייל חלופית עם תו כללי לחיפוש עוזר גם להשתמש בפחות מארחים וירטואליים בכל סביבה כדי לעמוד במגבלות המוצר, כי מארח וירטואלי עם תו כללי לחיפוש נחשב כמארח וירטואלי אחד בלבד.

ב-Cloud: אם יש לכם מארח וירטואלי קיים שמשתמש ביציאה שאינה 443, לא תוכלו להוסיף או להסיר כינוי למארח.

בענן פרטי: אם מגדירים את הכינוי של המארח באמצעות כתובות ה-IP של הנתב, ולא באמצעות רשומות DNS, צריך להוסיף כינוי נפרד למארח לכל נתב, ולציין את כתובת ה-IP של כל נתב ואת היציאה של המארח הווירטואלי.

 ללא כן
ממשקים האפשרות הזו זמינה רק ב-Edge for Private Cloud.
ממשק

מציין את ממשקי הרשת שרוצים לשייך ל-port. אם משמיטים את הרכיב הזה, השקע יתבצע בכל הממשקים.

לדוגמה, כדי לציין שרוצים לקשר את היציאה רק ל-en0:

<Interfaces>
  <Interface>en0</Interface>
</Interfaces>

כדי לבדוק אילו ממשקים זמינים במערכת, מריצים את הפקודה "ifconfig -a".

 ללא כל הממשקים
RetryOptions זמין ל-Edge Cloud ול-Private Cloud מגרסה 4.18.01 ואילך.
RetryOption

מגדירים את התגובה של הנתב למארח הווירטואלי הזה כשמעבד ההודעות מושבת.

אפשר לציין כמה ערכים באמצעות <RetryOption>. הערכים החוקיים כוללים:

off השבתת הניסיון החוזר, והמארח הווירטואלי מחזיר קוד כשל על בקשה.
http_599 (ברירת המחדל) אם הנתב מקבל תגובה HTTP 599 ממעבד ההודעות, הוא מעביר את הבקשה למעבד ההודעות הבא.

HTTP 599 הוא קוד תגובה מיוחד שנוצר על ידי מעבד הודעות בזמן שהוא מושבת. מעבד ההודעות מנסה להשלים את כל הבקשות הקיימות, אבל לכל בקשה חדשה הוא מגיב באמצעות HTTP 599 כדי לאותת לנתב לנסות שוב את הבקשה במעבד ההודעות הבא.
error אם מתרחשת שגיאה במהלך יצירת החיבור למעבד ההודעות, העברת הבקשה אליו או קריאת כותרת התגובה ממנו, הנתב מעביר את הבקשה למעבד ההודעות הבא.
timeout אם חל זמן קצוב לתפוגה במהלך יצירת החיבור למעבד ההודעות, העברת בקשה אליו או קריאת כותרת התגובה ממנו, הנתב מעביר את הבקשה למעבד ההודעות הבא.
invalid_header אם מעבד ההודעות החזיר תגובה ריקה או לא חוקית, הנתב מעביר את הבקשה למעבד ההודעות הבא.
http_XXX אם מעבד ההודעות החזיר תגובה עם קוד HTTP‏ XXX, הנתב מעביר את הבקשה למעבד ההודעות הבא.

אם מציינים כמה ערכים, הנתב משתמש ב-OR לוגי כדי לשלב אותם.

לדוגמה:

<RetryOptions>
  <RetryOption>http_599</RetryOption>
  <RetryOption>error</RetryOption>
  <RetryOption>timeout</RetryOption>
  <RetryOption>invalid_header</RetryOption>
</RetryOptions>
ListenOptions התכונה זמינה ב-Private Cloud בגרסה 4.18.01 ואילך, וב-Edge Cloud אחרי שליחת בקשה לתמיכה של Apigee Edge.
ListenOption

אם משתמשים ב-ELB במצב TCP pass-thru כדי לטפל בבקשות לנתבים של Edge, הנתב מתייחס לכתובת ה-IP של ה-ELB ככתובת ה-IP של הלקוח במקום לכתובת ה-IP בפועל של הלקוח. אם הנתב דורש את כתובת ה-IP האמיתית של הלקוח, צריך להפעיל את proxy_protocol ב-ELB כדי שהוא יעביר את כתובת ה-IP של הלקוח בחבילת ה-TCP. בנתב, צריך גם להגדיר את <ListenOption> במארח הווירטואלי לערך proxy_protocol. מכיוון ש-ELB נמצא במצב TCP pass-thru, בדרך כלל מסתיימים את TLS בנתב. לכן, בדרך כלל מגדירים את המארח הווירטואלי לשימוש ב-proxy_protocol רק כשמגדירים אותו גם לשימוש ב-TLS.

ערך ברירת המחדל של <ListenOption> הוא מחרוזת ריקה.

לדוגמה:

<ListenOptions>
  <ListenOption>proxy_protocol</ListenOption>
</ListenOptions>

כדי לבטל את ההגדרה של <ListenOption> מאוחר יותר, מעדכנים את המארח הווירטואלי ומחריגים את התג <ListenOptions> מהעדכון.
SSLInfo
מופעל

הפעלת TLS/SSL חד-כיווני. צריך להגדיר מאגר מפתחות שמכיל את האישור ואת המפתח הפרטי.

ב-Cloud: צריך אישור חתום על ידי ישות מהימנה, כמו Symantec או VeriSign. אי אפשר להשתמש באישור בחתימה עצמית או באישורי קצה שנחתמו על ידי רשות אישורים בחתימה עצמית.

ב-Cloud: אם המארח הווירטואלי הקיים מוגדר להשתמש ביציאה שאינה 443, לא תוכלו לשנות את הגדרת ה-TLS. כלומר, אי אפשר לשנות את הגדרת ה-TLS מ'מופעלת' ל'מושבתת' או מ'מושבתת' ל'מופעלת'.

false לא
ClientAuthEnabled מפעילה TLS דו-כיווני, או לקוח, בין Edge (שרת) לבין האפליקציה (הלקוח) שממנה נשלחה הבקשה. כדי להפעיל TLS דו-כיווני, צריך להגדיר ב-Edge מאגר אמון שמכיל את האישור של לקוח ה-TLS. false לא
KeyStore

השם של מאגר המפתחות ב-Edge.

ב-Apigee מומלץ להשתמש בהפניה כדי לציין את השם של מאגר המפתחות, כדי שתוכלו לשנות את מאגר המפתחות בלי להפעיל מחדש את הנתבים. מידע נוסף מופיע במאמר אפשרויות להגדרת TLS.

 ללא כן אם הערך של Enabled הוא True
KeyAlias הכינוי שצוין כשהעליתם את האישור והמפתח הפרטי למאגר המפתחות. שם החלופה חייב להיכתב באופן מילולי, אי אפשר להשתמש בהפניה. מידע נוסף מופיע במאמר אפשרויות להגדרת TLS. ללא כן אם הערך של Enabled הוא True
TrustStore

השם של מאגר האישורים ב-Edge שמכיל את האישור או שרשרת האישורים המשמשים ל-TLS דו-כיווני. חובה אם הערך של <ClientAuthEnabled> הוא True.

מומלץ להשתמש בהפניה כדי לציין את שם מאגר האישורים, כדי שתוכלו לשנות את מאגר האישורים בלי להפעיל מחדש את הנתב. מידע נוסף זמין במאמר אפשרויות להגדרת TLS.

 ללא לא
IgnoreValidationErrors

אם הערך הוא True, הוא מציין להתעלם משגיאות באישור TLS. האפשרות הזו דומה לאפשרות '-k' ב-cURL.

האפשרות הזו תקפה כשמגדירים TLS לשרתים ייעודיים ולנקודות קצה ייעודיות, וגם כשמגדירים מארחים וירטואליים שמשתמשים ב-TLS דו-כיווני.

כשמשתמשים בנקודת קצה יעד/בשרת יעד, אם מערכת הקצה העורפי משתמשת ב-SNI ומחזירה אישור עם שם נושא (DN) שלא תואם לשם המארח, אי אפשר להתעלם מהשגיאה והחיבור נכשל.

 false לא
הצפנות

ל-Edge for Private Cloud בגרסה 4.15.07 ובגרסאות קודמות בלבד.

מציין את הצפנים שנתמכים על ידי המארח הווירטואלי. אם לא יצוינו צפנים, כל הצפנים שזמינים ל-JVM יהיו מותרים.

כדי להגביל את הצפנים, צריך להוסיף את הרכיבים הבאים:

<Ciphers>
  <Cipher>TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA</Cipher>
  <Cipher>TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256</Cipher>
</Ciphers>
 כל השפות הנתמכות על ידי JVM לא
פרוטוקולים

ל-Edge for Private Cloud בגרסה 4.15.07 וגרסאות ישנות יותר בלבד.

מציין את הפרוטוקולים שנתמכים על ידי המארח הווירטואלי. אם לא יצוינו פרוטוקולים, כל הפרוטוקולים שזמינים ל-JVM יהיו מותרים.

כדי להגביל את הפרוטוקולים, מוסיפים את הרכיבים הבאים:

<Protocols>
  <Protocol>TLSv1</Protocol>
  <Protocol>TLSv1.2</Protocol>
  <Protocol>SSLv2Hello</Protocol>
</Protocols>
 כל השפות הנתמכות על ידי JVM לא
UseBuiltInFreeTrialCert האפשרות זמינה רק ב-Edge Cloud.
UseBuiltInFreeTrialCert

אם יש לכם חשבון Edge for Cloud בתשלום ואין לכם עדיין אישור וגם מפתח TLS, תוכלו ליצור מארח וירטואלי שמשתמש באישור ובמפתח של תקופת הניסיון בחינם של Apigee. כלומר, אפשר ליצור קודם את המארח הווירטואלי בלי ליצור מאגר מפתחות.

אישור תקופת הניסיון בחינם ב-Apigee מוגדר לדומיין *.apigee.net. לכן, גם השדה <HostAlias> של המארח הווירטואלי צריך להיות בפורמט *.apigee.net.

אפשר לעיין במאמר הגדרת מארח וירטואלי שמשתמש במפתח ובאישור לתקופת הניסיון בחינם של Apigee.

 false לא
PropagateTLSInformation זמין בגרסת אלפא ל-Edge Cloud בלבד.
ConnectionProperties

הפעלת התיעוד של פרטי חיבור ב-TLS על ידי Edge. לאחר מכן, המידע הזה זמין כמשתני תהליך בשרת proxy של API. מידע נוסף זמין במאמר גישה לפרטי חיבור ל-TLS בשרת proxy ל-API.

 false לא
ClientProperties

הפעלת תיעוד פרטי אישורי לקוח שתועדו על ידי Edge ב-TLS דו-כיווני. לאחר מכן, המידע הזה זמין כמשתני תהליך בשרת proxy של API. מידע נוסף זמין במאמר גישה למידע על חיבורי TLS בשרת proxy של API.

 false לא
נכסים התכונה זמינה ב-Edge Cloud וב-Private Cloud בגרסה 4.17.01 ואילך.
proxy_read_timeout

מגדיר את משך הזמן לתפוגה, בשניות, בין מעבדי ההודעות לבין הנתב. אם הוא לא מקבל תגובה ממעבדת ההודעות לפני שתוקף משך הזמן הזה פג, הנתב משחרר את החיבור ומחזיר תגובת HTTP 504.

הערך של proxy_read_timeout צריך להיות גדול מערך היעד של הזמן הקצוב לתפוגה שמשמש את מעבד ההודעות. כך מוודאים שהרוטר לא יפוג לפני שלמעבד ההודעות תהיה אפשרות להחזיר תשובה. זמן הקצוב לתפוגה שמוגדר כברירת מחדל לעיבוד ההודעות הוא 55 שניות, או 55,000 אלפיות השנייה, כפי שמוגדר באסימון conf_http_HTTPTransport.io.timeout.millis של עיבוד ההודעות.

 57 לא
keepalive_timeout

הגדרת משך הזמן הקצוב לתפוגה (בשניות), בין הלקוח לנתב, כשהלקוח שולח בקשה שמכילה את הכותרת Keep-Alive. הנתב משאיר את החיבור פתוח עד שתוקף התקופה יפוג.

הנתב לא יסגור את החיבור אם הוא ממתין כרגע לתגובה ממעבד ההודעות. הזמן הקצוב לתפוגה מתחיל רק אחרי שהנתב מחזיר את התשובה ללקוח.

 65 לא
ssl_ciphers

הגדרת הצפנים הנתמכים על ידי המארח הווירטואלי, ועקיפת הצפנים שמוגדרים כברירת מחדל בנתב.

מציינים רשימה של צפנים מופרדים בפסיקים, בפורמט:

<Property name="ssl_ciphers">HIGH:!aNULL:!MD5:!DH+3DES:!kEDH;</Property>

מידע על התחביר והערכים שמותר להשתמש בהם באסימון הזה זמין בכתובת https://www.openssl.org/docs/man1.0.2/man1/ciphers.html. שימו לב שבאסימון הזה נעשה שימוש בשמות הצפנה של OpenSSL, כמו AES128-SHA256, ולא בשמות הצפנה של Java/JSSE, כמו TLS_RSA_WITH_AES_128_CBC_SHA256.

 HIGH:!aNULL:

‎!MD5:

!DH+3DES:

‎!kEDH

 לא
ssl_protocols

האפשרות זמינה רק ב-Edge לענן פרטי.

מגדירה את פרוטוקולי ה-TLS שנתמכים על ידי המארח הווירטואלי, כרשימה מופרדת ברווחים, תוך ביטול של פרוטוקולי ברירת המחדל שהוגדרו בנתב.

הערה: אם שני מארחים וירטואליים חולקים את אותה יציאה, הם חייבים להגדיר את ssl_protocols לאותם הפרוטוקולים. כלומר, מארחים וירטואליים שחולקים את אותה יציאה חייבים לתמוך באותם פרוטוקולים בדיוק.

מציינים רשימה של פרוטוקולי TLS מופרדים בפסיקים, בפורמט:

<Property name="ssl_protocols">TLSv1 TLSv1.2</Property>
 TLSv1 TLSv1.1 TLSv1.2 לא
proxy_request_buffering

הפעלה (on) או השבתה (off) של אגירת גוף הבקשה במטמון. כשהאחסון במטמון מופעל, הנתב מאחסן במטמון את כל גוף הבקשה לפני שהוא שולח אותה למעבד ההודעות. אם יש שגיאה, הנתב יכול לנסות מעבד הודעות אחר.

אם ההגדרה מושבתת, האחסון במטמון מושבת וגוף הבקשה נשלח למעבד ההודעות מיד לאחר שהוא מתקבל. אם יש שגיאה, הנתב לא ינסה שוב לשלוח את הבקשה למעבד הודעות אחר.

 מופעל לא
proxy_buffering הפעלה (on) או השבתה (off) של האחסון במטמון של התשובה. כשהאחסון במטמון מופעל, התשובה מאוחסנת במטמון של הנתב. כשאגירת הנתונים מושבתת, התשובה מועברת ללקוח באופן סינכרוני, מיד אחרי שהנתונים מתקבלים בנתב. מופעל לא