在虚拟主机和路由器上配置加密套件

您正在查看 Apigee Edge 文档。
转到 Apigee X 文档。 info

本文档介绍了如何在 Apigee Edge 中的虚拟主机和路由器上配置加密套件。

加密套件是一组算法，有助于保护使用 TLS 的网络连接。 客户端和服务器必须就交换消息时要使用的特定加密套件达成一致 。如果客户端和服务器未就加密套件达成一致，则 请求会因 TLS 握手失败而失败。

在 Apigee 中，加密套件应由客户端应用和 路由器相互协商确定。

您可能出于以下原因需要修改 Apigee Edge 上的加密套件：

• 避免客户端应用与 Apigee 路由器之间出现任何加密套件不匹配的情况
• 使用更安全的加密套件来修复任何安全漏洞或增强安全性

加密套件可以在虚拟主机或 Apigee 路由器上配置。请注意 ，Apigee 仅接受虚拟主机和路由器上的 OpenSSL 加密字符串 格式的加密套件 。 OpenSSL 加密手册页 提供了相关规范中的 SSL 或 TLS 加密套件及其 OpenSSL 等效项。

例如 ：

如果您想在虚拟主机或 Apigee 路由器上配置 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 加密 套件，则需要从 OpenSSL 加密手册页中找到相应的 OpenSSL 加密字符串。 加密套件 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 的 OpenSSL 加密字符串为 ECDHE-RSA-AES128-GCM-SHA256. 因此，您需要在虚拟主机中或在 Apigee 路由器上配置加密套件时使用 OpenSSL 加密字符串 ECDHE-RSA-AES128-GCM-SHA256。

准备工作

• 如需了解不同加密套件的 OpenSSL 加密字符串，请参阅 OpenSSL 加密手册页。
• 如果您不熟悉虚拟主机属性，请参阅 虚拟主机属性参考文档。
• 如果您不熟悉如何为私有云上的 Edge 配置属性，请参阅 如何配置 Edge。

在虚拟主机上配置加密套件

本部分介绍了如何在与组织和环境关联的虚拟主机中配置加密套件。您可以通过虚拟主机中的 ssl_ciphers 属性配置加密套件，该属性表示虚拟主机支持的加密套件列表。

如需查看 Apigee 支持的加密套件列表，请参阅支持的加密套件。

您可以使用以下方法之一配置虚拟主机：

• 使用 Edge 界面
• 使用 Edge API

支持的加密套件

Apigee 支持以下加密套件：

ECDHE-RSA-AES256-GCM-SHA384
ECDHE-RSA-AES256-SHA384
ECDHE-RSA-AES256-SHA
DHE-RSA-AES256-GCM-SHA384
DHE-RSA-AES256-SHA256
DHE-RSA-AES256-SHA
DHE-RSA-CAMELLIA256-SHA
AES256-GCM-SHA384
AES256-SHA256  
AES256-SHA
CAMELLIA256-SHA
ECDHE-RSA-AES128-GCM-SHA256
ECDHE-RSA-AES128-SHA256
ECDHE-RSA-AES128-SHA
DHE-RSA-AES128-GCM-SHA256
DHE-RSA-AES128-SHA256
DHE-RSA-AES128-SHA
DHE-RSA-CAMELLIA128-SHA
AES128-GCM-SHA256
AES128-SHA256   
AES128-SHA 
CAMELLIA128-SHA

验证虚拟主机上的加密套件

本部分介绍了如何使用 Edge API 验证虚拟主机上的加密套件是否已成功 修改。

1. 执行 Get virtual host API 以获取 virtualhost 配置，如下所示：

   公有云用户：

   curl -v -X GET https://api.enterprise.apigee.com/v1/organizations/{organization-name}/environments/{environment-name}/virtualhosts/{virtualhost-name} -u {username}

   私有云用户：

   curl -v -X GET http://{management_server_IP}:8080/v1/organizations/{organization-name}/environments/{environment-name}/virtualhosts/{virtualhost-name} -u {username}

2. 验证属性 ssl_ciphers 是否已设置为新值。

   更新后的虚拟主机配置示例：

   {
     "hostAliases": [
       "api.myCompany,com",
     ],
     "interfaces": [],
     "listenOptions": [],
     "name": "secure",
     "port": "443",
     "retryOptions": [],
     "properties": {
       "property": [
         {
           "name": "ssl_ciphers",
           "value": "DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256"
         }
       ]
     },
     "sSLInfo": {
       "ciphers": [],
       "clientAuthEnabled": "false",
       "enabled": "true",
       "ignoreValidationErrors": false,
       "keyAlias": "myCompanyKeyAlias",
       "keyStore": "ref://myCompanyKeystoreref",
       "protocols": []
     },
     "useBuiltInFreeTrialCert": false
   }

   在上面的示例中，请注意 ssl_ciphers 已设置为新值。

3. 如果您仍然看到 ssl_ciphers 的旧值，请验证您是否正确执行了在 虚拟主机上配置加密套件 中列出的所有步骤。如果您遗漏了任何步骤，请再次正确重复所有步骤。
4. 如果您仍然无法更新或向虚拟主机添加加密套件，请与 Apigee Edge 支持团队联系。

在路由器上配置加密套件

本部分介绍了如何在路由器上配置加密套件。您可以通过路由器属性 conf_load_balancing_load.balancing.driver.server.ssl.ciphers 配置加密套件，该属性表示以英文冒号分隔的接受的加密套件。

如需在路由器上配置加密套件，请执行以下操作：

1. 在路由器机器上，在编辑器中打开以下文件。如果该文件尚不存在， 请创建它。

   /opt/apigee/customer/application/router.properties

   例如，如需使用 vi 打开该文件，请输入以下内容：

   vi /opt/apigee/customer/application/router.properties

2. 在 properties 文件中添加一行，格式如下，并为 colon_separated_cipher_suites 替换一个值：

   conf_load_balancing_load.balancing.driver.server.ssl.ciphers=colon_separated_cipher_suites

   例如，如果您只想允许加密套件 TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 和 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256，请确定相应的 OpenSSL 加密字符串，这些字符串来自 OpenSSL 加密手册页， 如下表所示：

   加密套件	OpenSSL 加密字符串
   TLS_DHE_RSA_WITH_AES_128_GCM_SHA256	DHE-RSA-AES128-GCM-SHA256
   TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256	ECDHE-RSA-AES128-GCM-SHA256

   然后添加以下行：

   conf_load_balancing_load.balancing.driver.server.ssl.ciphers=DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256

3. 保存所做的更改。
4. 确保此属性文件归 apigee 用户所有，如下所示：

   chown apigee:apigee /opt/apigee/customer/application/router.properties

5. 重启路由器，如下所示：

   /opt/apigee/apigee-service/bin/apigee-service edge-router restart

6. 如果您有多个路由器，请在所有路由器上重复上述步骤。

验证路由器上的加密套件

本部分介绍了如何验证路由器上的加密套件是否已成功修改。

1. 在路由器上，使用 /opt/apigee 文件夹中的 Apigee 搜索实用程序搜索属性 conf_load_balancing_load.balancing.driver.server.ssl.ciphers，并检查它是否已设置为新值，如下所示：

   /opt/apigee/apigee-service/bin/apigee-service edge-router configure -search conf_load_balancing_load.balancing.driver.server.ssl.ciphers

2. 如果新加密套件已成功在路由器上设置，则上述命令会显示 新值。

   以下是上述 search 命令的示例结果，其中加密套件已更新为 DHE-RSA-AES128-GCM-SHA256 和 ECDHE-RSA-AES128-GCM-SHA256：

   Found key conf_load_balancing_load.balancing.driver.server.ssl.ciphers, with value, DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256, in /opt/apigee/customer//application/router.properties

   在上面的示例输出中，请注意属性 conf_load_balancing_load.balancing.driver.server.ssl.ciphers 已设置为新的加密套件值。这表示加密套件已成功 更新为路由器上的 OpenSSL 加密字符串 DHE-RSA-AES128-GCM-SHA25和 ECDHE-RSA-AES128-GCM-SHA256。

3. 如果您仍然看到加密套件 conf_load_balancing_load.balancing.driver.server.ssl.ciphers的旧值，请验证 您是否正确执行了在 路由器上配置加密套件中列出的所有步骤。 如果您遗漏了任何步骤，请再次正确重复所有步骤。
4. 如果您仍然无法修改路由器上的加密套件，请与 Apigee Edge 支持团队联系。