Edge for Private Cloud v4.18.01
Es gibt mehrere Stellen, an denen die Edge-Benutzeroberfläche versuchen könnte, auf eine lokale IP-Adresse zuzugreifen. Diese lokalen IP-Adressen können privaten oder anderweitig geschützten Ressourcen entsprechen, die nicht für externe Nutzer zugänglich sein sollten:
- Mit dem Trace-Tool in der Edge-Benutzeroberfläche können API-Anfragen an eine beliebige URL gesendet und empfangen werden. In bestimmten Bereitstellungsszenarien, in denen Edge-Komponenten zusammen mit anderen internen Diensten gehostet werden, kann ein böswilliger Nutzer die Leistungsfähigkeit des Trace-Tools missbrauchen, indem er Anfragen an private IP-Adressen stellt.
- Wenn Sie einen API-Proxy aus einer OpenAPI-Spezifikation erstellen, werden in der Spezifikation API-Elemente wie Basispfad, Pfade und Verben, Header usw. beschrieben. Im Rahmen der Spezifikation kann ein böswilliger Nutzer einen Basispfad des Proxys angeben, der auf eine private IP-Adresse verweist.
- Wenn Sie einen API-Proxy aus einer WSDL-Datei in Ihrem lokalen Dateisystem erstellen.
Aus Sicherheitsgründen wird standardmäßig verhindert, dass die Edge-Benutzeroberfläche auf private IP-Adressen verweist. Die Liste der privaten IP-Adressen umfasst:
- Loopback-Adresse (127.0.0.1 oder localhost)
- Site-Local-Adressen (für IPv4: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16)
- Beliebige lokale Adresse (jede Adresse, die zu localhost aufgelöst wird).
Wenn Sie der Edge-Benutzeroberfläche den Zugriff auf private IP-Adressen ermöglichen möchten, legen Sie die folgenden Tokens fest:
- Für das Trace-Tool ist das Attribut conf_apigee-base_apigee.feature.enabletraceforinternaladdresses standardmäßig deaktiviert. Legen Sie den Wert auf „true“ fest, um dem Trace-Tool Zugriff auf private IP-Adressen zu gewähren.
- Bei OpenAPI-Spezifikationen ist das Attribut conf_apigee-base_apigee.feature.enableopenapiforinternaladdresses standardmäßig deaktiviert. Legen Sie den Wert auf „true“ fest, um einen OpenAPI-Zugriff auf private IP-Adressen zu ermöglichen.
- Bei WSDL-Dateien ist das Attribut conf_apigee-base_apigee.feature.enablewsdlforinternaladdresses standardmäßig deaktiviert. Legen Sie den Wert auf „true“ fest, um das Hochladen einer WSDL-Datei von privaten IP-Adressen zu ermöglichen.
So legen Sie diese Attribute auf „true“ fest:
- Öffnen Sie die Datei ui.properties in einem Editor. Wenn die Datei nicht vorhanden ist, erstellen Sie sie.
> vi /opt/apigee/customer/application/ui.properties - Legen Sie die folgenden Attribute auf „true“ fest:
conf_apigee-base_apigee.feature.enabletraceforinternaladdresses="true"
conf_apigee-base_apigee.feature.enableopenapiforinternaladdresses="true"
conf_apigee-base_apigee.feature.enablewsdlforinternaladdresses="true" - Speichern Sie die Änderungen in ui.properties.
- Achten Sie darauf, dass die Attributdatei dem Nutzer „apigee“ gehört:
> chown apigee:apigee /opt/apigee/customer/application/ui.properties - Starten Sie die Edge-Benutzeroberfläche neu:
> /opt/apigee/apigee-service/bin/apigee-service edge-ui restart
Die Edge-Benutzeroberfläche kann jetzt auf lokale IP-Adressen zugreifen.