Zezwolenie na dostęp interfejsu Edge do lokalnych adresów IP

Edge for Private Cloud w wersji 4.18.05

Interfejs użytkownika przeglądarki Edge może próbować uzyskać dostęp do lokalnego adresu IP w kilku miejscach. Te adresy IP lokalne mogą odpowiadać zasobom prywatnym lub chronionym w inny sposób, które nie powinny być udostępniane użytkownikom zewnętrznym:

• Narzędzie śledzenia w interfejsie Edge umożliwia wysyłanie i odbieranie żądań interfejsu API na dowolny określony adres URL. W niektórych scenariuszach wdrożenia, w których komponenty usługi Edge są współhostowane z innymi usługami wewnętrznymi, złośliwy użytkownik może niewłaściwie używać możliwości narzędzia Trace, wysyłając żądania do prywatnych adresów IP.
• Podczas tworzenia serwera proxy interfejsu API na podstawie specyfikacji OpenAPI specyfikacja opisuje takie elementy interfejsu API jak ścieżka podstawowa, ścieżki i czasowniki, nagłówki itp. W ramach specyfikacji złośliwy użytkownik może określić ścieżkę podstawową serwera proxy, która odwołuje się do prywatnego adresu IP.
• podczas tworzenia zastępczego interfejsu API na podstawie pliku WSDL znajdującego się w lokalnym systemie plików.

Ze względów bezpieczeństwa interfejs Edge domyślnie nie może odwoływać się do prywatnych adresów IP. Lista prywatnych adresów IP obejmuje:

• Adres loopback (127.0.0.1 lub localhost)
• Adresy lokalne (w przypadku IPv4: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16).
• dowolny adres lokalny (dowolny adres rozwiązujący do localhost);

Jeśli chcesz umożliwić interfejsowi użytkownika Edge dostęp do prywatnych adresów IP, ustaw te tokeny:

• W przypadku narzędzia śledzenia domyślnie wyłączona jest właściwość conf_apigee-base_apigee.feature.enabletraceforinternaladdresses. Ustaw tę opcję na „Prawda”, aby umożliwić narzędziu śledzenia dostęp do prywatnych adresów IP.
• W przypadku specyfikacji OpenAPI właściwość conf_apigee-base_apigee.feature.enableopenapiforinternaladdresses jest domyślnie wyłączona. Ustaw tę opcję na „PRAWDA”, aby umożliwić dostęp OpenAPI do prywatnych adresów IP.
• W przypadku plików WSDL właściwość conf_apigee-base_apigee.feature.enablewsdlforinternaladdresses jest domyślnie wyłączona. Ustaw tę opcję na wartość true, aby umożliwić przesyłanie pliku WSDL z prywatnych adresów IP.

Aby ustawić te właściwości na wartość „PRAWDA”:

1. Otwórz plik ui.properties w edytorze. Jeśli plik nie istnieje, utwórz go.

   vi /opt/apigee/customer/application/ui.properties

2. Ustaw te właściwości na wartość „PRAWDA”:

   conf_apigee-base_apigee.feature.enabletraceforinternaladdresses="true"
   conf_apigee-base_apigee.feature.enableopenapiforinternaladdresses="true"
   conf_apigee-base_apigee.feature.enablewsdlforinternaladdresses="true"

3. Zapisz zmiany w pliku ui.properties.
4. Upewnij się, że właścicielem pliku właściwości jest użytkownik „apigee”:

   chown apigee:apigee /opt/apigee/customer/application/ui.properties

5. Ponownie uruchom interfejs Edge:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Interfejs Edge może teraz uzyskiwać dostęp do lokalnych adresów IP.