Apigee mTLS ফিচার, Private Cloud ক্লাস্টারের জন্য আপনার Edge-এর কম্পোনেন্টের মধ্যে হওয়া কমিউনিকেশনকে সুরক্ষিত করে।
আর্কিটেকচারাল ওভারভিউ
কম্পোনেন্টের মধ্যে সুরক্ষিত যোগাযোগ প্রদান করতে, Apigee mTLS একটি সার্ভিস মেশ ব্যবহার করে যা কম্পোনেন্টের মধ্যে সুরক্ষিত, পারস্পরিকভাবে যাচাইকৃত TLS কানেকশন স্থাপন করে।
নিম্নলিখিত ছবিতে Apigee কম্পোনেন্টের মধ্যে কানেকশন দেখানো হয়েছে যা Apigee mTLS সুরক্ষিত করে (in red)। ছবিতে দেখানো পোর্টগুলি হল উদাহরণ; প্রতিটি কম্পোনেন্ট ব্যবহার করতে পারে এমন রেঞ্জের তালিকার জন্য পোর্ট ব্যবহার দেখুন।
(মনে রাখবেন যে "M" দিয়ে চিহ্নিত পোর্টগুলি কম্পোনেন্ট ম্যানেজ করার জন্য ব্যবহার করা হয় এবং ম্যানেজমেন্ট সার্ভার যাতে অ্যাক্সেস করতে পারে তার জন্য কম্পোনেন্টে অবশ্যই খোলা থাকতে হবে।)
উপরের ডায়াগ্রামে যেমন দেখানো হয়েছে, ক্লাস্টারের বেশিরভাগ কম্পোনেন্টের মধ্যে কানেকশনে Apigee mTLS নিরাপত্তা যোগ করে, যার মধ্যে এগুলি অন্তর্ভুক্ত:
| সোর্স | গন্তব্য | |
|---|---|---|
| ম্যানেজমেন্ট সার্ভার | Router, MP, QPid, LDAP, Postgres, Zookeeper এবং Cassandra নোড | |
| রাউটার | লুপব্যাক; Qpid, Zookeeper এবং Cassandra নোড | |
| মেসেজ প্রসেসর | লুপব্যাক; Qpid, Zookeeper এবং Cassandra নোড | |
| ZooKeeper এবং Cassandra | অন্যান্য Zookeeper ও Cassandra নোড | |
| Edge UI | SMTP (শুধুমাত্র এক্সটার্নাল IDP-এর জন্য) | |
| Postgres | অন্যান্য Postgres, Zookeeper এবং Cassandra নোড |
মেসেজ এনক্রিপশন/ডিক্রিপশন
Apigee mTLS সার্ভিস মেশে Consul সার্ভার থাকে যা আপনার ক্লাস্টারের প্রতিটি ZooKeeper নোডে এবং ক্লাস্টারের প্রতিটি নোডে নিম্নলিখিত Consul পরিষেবাগুলি চালায়:
- একটি ইগ্রেস প্রক্সি যা হোস্ট নোডে আউটগোয়িং মেসেজ ইন্টারসেপ্ট করে। এই পরিষেবা আউটগোয়িং মেসেজ গন্তব্যে পাঠানোর আগে এনক্রিপ্ট করে।
- একটি ইনগ্রেস প্রক্সি যা হোস্ট নোডে ইনকামিং মেসেজ ইন্টারসেপ্ট করে। এই পরিষেবা ইনকামিং মেসেজকে তার গন্তব্যে পাঠানোর আগে ডিক্রিপ্ট করে।
যেমন, ম্যানেজমেন্ট সার্ভার যখন রাউটারে কোনও মেসেজ পাঠায়, তখন ইগ্রেস প্রক্সি সার্ভিস আউটগোয়িং মেসেজ ইন্টারসেপ্ট করে, এনক্রিপ্ট করে এবং তারপর রাউটারে পাঠায়। রাউটারের নোড মেসেজটি পেলে, ইনগ্রেস প্রক্সি সার্ভিস মেসেজটি ডিক্রিপ্ট করে এবং তারপর প্রসেস করার জন্য রাউটার কম্পোনেন্টে পাস করে।
এইসব কিছু Edge কম্পোনেন্টের ক্ষেত্রে স্বচ্ছভাবে ঘটে: Consul প্রক্সি পরিষেবার মাধ্যমে করা এনক্রিপশন ও ডিক্রিপশন প্রসেস সম্পর্কে তারা কিছু জানে না।
এছাড়াও, Apigee mTLS iptables ইউটিলিটি ব্যবহার করে, এটি একটি Linux ফায়ারওয়াল পরিষেবা যা
ট্রাফিক রিডাইরেকশন ম্যানেজ করে।
প্রয়োজনীয়তা
Apigee mTLS, পরিষেবা মেশ কনফিগার ও ইনস্টল করার জন্য শিল্পের নির্ধারিত মান অনুযায়ী পদ্ধতি প্রদান করে। এটি প্যাকেজ ম্যানেজমেন্ট এবং কনফিগারেশন অটোমেশন সাপোর্ট করে।
Consul প্রক্সি পরিষেবাগুলি পৃথক প্রসেসের জন্য পোর্ট অ্যাসাইনমেন্ট হিসাবে শক্তভাবে যুক্ত থাকে, তাই একটি নোডে পরিবর্তন প্রতিটি নোডকে প্রভাবিত করে। এর ফলে, আপনার টোপোলজি পরিবর্তন হলে, আপনাকে অবশ্যই ক্লাস্টারের প্রতিটি নোডে পরিষেবাগুলি পুনরায় কনফিগার এবং পুনরায় শুরু করতে হবে।
Apigee mTLS ইনস্টল করার আগে, আপনার এনভায়রনমেন্টকে এই বিভাগে বর্ণিত নিম্নলিখিত প্রয়োজনীয়তা পূরণ করতে হবে।
এইসব প্রয়োজনীয়তার মধ্যে রয়েছে:
- প্রাইভেট ক্লাউড ভার্সনের জন্য Edge
- ইনস্টল ও চালু করা আছে এমন ইউটিলিটির সেট
- উপযুক্ত লেভেলের অনুমতি সহ ব্যবহারকারীর অ্যাকাউন্ট
- একটি অ্যাডমিনিস্ট্রেশন মেশিন (সাজেস্ট করা হয়েছে)
প্রাইভেট ক্লাউডের জন্য Edge-এর প্রয়োজনীয়তা
Apigee mTLS, প্রাইভেট ক্লাউডের জন্য Edge-এর নিম্নলিখিত ভার্সন সাপোর্ট করে (তবে সব সাপোর্টেড প্ল্যাটফর্মে নয়, যেমন OS সংক্রান্ত প্রয়োজনীয়তা-তে বর্ণনা করা হয়েছে):
- 4.19.06
- 4.19.01
Apigee mTLS-এর জন্য আপনার Private Cloud ক্লাস্টারে এমন টপোলজি ব্যবহার করতে হবে যাতে অন্তত তিনটি Zookeeper নোড থাকে। এর ফলে, আপনি শুধুমাত্র ৫, ৯, ১২ (মাল্টি-ডেটা সেন্টার) বা ১৩টি নোড ব্যবহার করে এমন টপোলজিতে Apigee mTLS ইনস্টল করতে পারবেন। আরও তথ্যের জন্য, ইনস্টলেশন টপোলজি দেখুন।
OS সংক্রান্ত প্রয়োজনীয়তা
Apigee mTLS আপনার Private Cloud ক্লাস্টারের জন্য নিম্নলিখিত প্ল্যাটফর্মগুলিকে সমর্থন করে (mTLS-এর জন্য সমর্থিত OS Private Cloud-এর সংস্করণের উপর নির্ভর করে):
| অপারেটিং সিস্টেম | প্রাইভেট ক্লাউডের যে ভার্সনে কাজ করে | ||
|---|---|---|---|
| v4.19.06 | v4.50.00 | v4.51.00 | |
| CentOS RedHat Enterprise Linux (RHEL) Oracle Linux |
৭.৫, ৭.৬, ৭.৭ | 7.5, 7.6, 7.7, 7.8, 7.9 | ৭.৫, ৭.৬, ৭.৭, ৭.৮, ৭.৯, ৮.০ |
ইউটিলিটি/প্যাকেজ
Apigee mTLS-এর জন্য আপনার ক্লাস্টারের প্রতিটি মেশিনে নিম্নলিখিত প্যাকেজগুলি ইনস্টল এবং চালু থাকতে হবে, যার মধ্যে আপনার অ্যাডমিনিস্ট্রেশন মেশিন অন্তর্ভুক্ত, ইনস্টলেশন প্রক্রিয়া শুরু করার আগে:
| ইউটিলিটি/প্যাকেজ | বিবরণ | ইনস্টল করার পরে সরিয়ে দিলে চলবে? |
|---|---|---|
base64 |
ইনস্টলেশন স্ক্রিপ্টের মধ্যে ডেটা যাচাই করে। | |
gnu-bashgnu-sedgnu-grep |
ইনস্টলেশন স্ক্রিপ্ট এবং অন্যান্য সাধারণ টুল দ্বারা ব্যবহৃত। | |
iptables |
ডিফল্ট ফায়ারওয়াল, firewalld-এর জায়গায় এটি ব্যবহার করা হয়। |
|
iptables-services |
iptables ইউটিলিটির জন্য কার্যকারিতা প্রদান করে। |
|
lsof |
ইনস্টলেশন স্ক্রিপ্ট দ্বারা ব্যবহৃত। | |
nc |
iptablesটি রুট যাচাই করে। |
|
openssl |
প্রাথমিক বুটস্ট্র্যাপিং প্রসেস চলাকালীন স্থানীয়ভাবে সার্টিফিকেটে সাইন করে। |
ইনস্টলেশনের সময়, আপনি অ্যাডমিনিস্ট্রেশন মেশিনে Consul প্যাকেজও ইনস্টল করেন যাতে আপনি ক্রেডেনশিয়াল ও এনক্রিপশন কী জেনারেট করতে পারেন।
apigee-mtls প্যাকেজটি ক্লাস্টারে ZooKeeper নোডে ইনগ্রেস এবং ইগ্রেস প্রক্সি সহ Consul সার্ভারগুলি ইনস্টল এবং কনফিগার করে।
ব্যবহারকারীর অ্যাকাউন্টের অনুমতি
ক্লাস্টারের প্রতিটি নোডে Apigee mTLS ইনস্টলেশন কার্যকর করে এমন অ্যাকাউন্টকে অবশ্যই নিম্নলিখিত কাজগুলি করতে পারতে হবে:
- Apigee কম্পোনেন্ট শুরু, বন্ধ, রিস্টার্ট ও ইনিশিয়ালাইজ করা
- ফায়ারওয়াল সংক্রান্ত নিয়ম সেট করা
- নতুন OS/সিস্টেম ব্যবহারকারীর অ্যাকাউন্ট তৈরি করুন
systemctl-এর মাধ্যমে পরিষেবা চালু, বন্ধ, শুরু, স্টপ ও মাস্ক করুন
অ্যাডমিনিস্ট্রেশন মেশিন (সাজেস্ট করা হয়েছে)
Apigee সাজেস্ট করে যে ক্লাস্টারের মধ্যে আপনার একটি নোড থাকা উচিত যা আপনি এই ডকুমেন্টে বর্ণিত বিভিন্ন টাস্ক সম্পাদন করতে ব্যবহার করতে পারেন, যার মধ্যে রয়েছে:
- HashiCorp Consul 1.6.2 ইনস্টল করুন।
- সার্টিফিকেট/কী পেয়ার এবং গসিপ এনক্রিপশন কী জেনারেট ও ডিস্ট্রিবিউট করুন।
- কনফিগারেশন ফাইল আপডেট ও ডিস্ট্রিবিউট করুন।
অ্যাডমিনিস্ট্রেশন মেশিনের জন্য এটি প্রয়োজন:
- আপনি এতে
apigee-serviceএবংapigee-setupইউটিলিটি ডাউনলোড ও ইনস্টল করেছেন, যেমনটি Edge apigee-setup ইউটিলিটি ইনস্টল করুন-এ বর্ণনা করা হয়েছে। - ক্লাস্টারের সব নোডে
scp/ssh-এর অ্যাক্সেস আছে। আপনার কনফিগারেশন ফাইল এবং ক্রেডেনশিয়াল ডিস্ট্রিবিউট করতে, ক্লাস্টারের মধ্যে থাকা সব হোস্টে আপনারscp/sshঅ্যাক্সেস থাকতে হবে। - আপনার কাছে অ্যাডমিনিস্ট্রেশন মেশিনের রুট অ্যাক্সেস আছে।
পোর্ট ব্যবহার ও অ্যাসাইনমেন্ট
এই বিভাগে Apigee mTLS-এর সাথে Consul-এর যোগাযোগে সহায়তা করার জন্য পোর্ট ব্যবহার ও পোর্ট অ্যাসাইনমেন্টের বিবরণ দেওয়া হয়েছে।
পোর্ট ব্যবহার: apigee-mtls রান করছে এমন সব নোড
ক্লাস্টারের যেসব নোড apigee-mtls পরিষেবা ব্যবহার করে, সেগুলিকে অবশ্যই লোকালহোস্ট (127.0.0.1)-এর পরিষেবা থেকে
কানেকশনের অনুমতি দিতে হবে। এটি Consul প্রক্সিগুলিকে অন্যান্য পরিষেবার সাথে যোগাযোগ করার অনুমতি দেয় কারণ তারা ইনকামিং এবং আউটগোয়িং মেসেজ প্রসেস করে।
পোর্ট ব্যবহার: Consul সার্ভার নোড (ZooKeeper-এ চলা নোড)
ক্লাস্টারের সব নোড থেকে অনুরোধ গ্রহণ করার জন্য আপনাকে Consul সার্ভার নোডে (ZooKeeper রান করা নোড) নিম্নলিখিত বেশিরভাগ পোর্ট খুলতে হবে:
| নোড | Consul সার্ভার পোর্ট | বিবরণ | প্রোটোকল | এক্সটার্নাল mtls-এজেন্টদের অনুমতি দিন * |
|---|---|---|---|---|
| Consul সার্ভার (ZooKeeper নোড) | 8300 |
ক্লাস্টারে সব Consul সার্ভার কানেক্ট করে। | RPC | |
8301 |
ক্লাস্টারের মধ্যে মেম্বারশিপ ও ব্রডকাস্ট মেসেজ ম্যানেজ করে। | UDP/TCP | ||
8302 |
WAN পোর্ট যা একাধিক ডেটাসেন্টার কনফিগারেশনে মেম্বারশিপ এবং ব্রডকাস্ট মেসেজ ম্যানেজ করে। | UDP/TCP | ||
8500 |
একই নোডের প্রসেস থেকে Consul সার্ভার API-তে HTTP কানেকশন ম্যানেজ করে।
এই পোর্ট রিমোট কমিউনিকেশন বা কোঅর্ডিনেশনের জন্য ব্যবহার করা হয় না; এটি শুধু লোকালহোস্টে শোনে। |
HTTP | ||
8502 |
ক্লাস্টারের অন্যান্য নোড থেকে Consul Server API-তে gRPC+HTTPS কানেকশন ম্যানেজ করে। | gRPC+HTTPS | ||
8503 |
ক্লাস্টারের অন্যান্য নোড থেকে Consul সার্ভার API-তে HTTPS কানেকশন ম্যানেজ করে। | HTTPS | ||
8600 |
Consul সার্ভারের DNS ম্যানেজ করে। | UDP/TCP | ||
* Apigee সাজেস্ট করে যে আপনি ইনবাউন্ড অনুরোধ শুধুমাত্র ক্লাস্টার মেম্বারদের মধ্যে সীমাবদ্ধ রাখুন
(ক্রস-ডেটাস্টোর সহ)। আপনি iptables-এর মাধ্যমে এটি করতে পারবেন।
|
||||
এই সারণীতে যেমন দেখানো হয়েছে, consul-server কম্পোনেন্ট (ZooKeeper নোড) রান করা নোডগুলিকে
অবশ্যই ক্লাস্টারের সব মেম্বারের জন্য পোর্ট 8301, 8302, 8502 এবং 8503 খুলতে হবে, যেগুলি
apigee-mtls পরিষেবা রান করছে, এমনকি ডেটা সেন্টার জুড়েও। যেসব নোড ZooKeeper চালাচ্ছে না
সেগুলির ক্ষেত্রে এই পোর্টগুলি খোলার প্রয়োজন নেই।
সব Consul নোডের জন্য পোর্ট অ্যাসাইনমেন্ট (ZooKeeper চালানো নোড সহ)
Consul কমিউনিকেশন সাপোর্ট করতে, নিম্নলিখিত Apigee কম্পোনেন্ট রান করা নোডগুলিকে অবশ্যই নিম্নলিখিত রেঞ্জের মধ্যে পোর্টে বাহ্যিক কানেকশনের অনুমতি দিতে হবে:
| Apigee কম্পোনেন্ট | ব্যাপ্তি | প্রতি নোডে প্রয়োজনীয় পোর্টের সংখ্যা |
|---|---|---|
| Apigee mTLS | ১০৭০০ থেকে ১০৭৯৯ | 1 |
| Cassandra | ১০১০০ থেকে ১০১৯৯ | 2 |
| মেসেজ প্রসেসর | ১০৫০০ থেকে ১০৫৯৯ | 2 |
| OpenLDAP | ১০২০০ থেকে ১০২৯৯ | 1 |
| Postgres | ১০৩০০ থেকে ১০৩৯৯ | 3 |
| Qpid | ১০৪০০ থেকে ১০৪৯৯ | 2 |
| রাউটার | ১০৬০০ থেকে ১০৬৯৯ | 2 |
| ZooKeeper | ১০০০১ থেকে ১০০৯৯ | 3 |
Consul সহজ লিনিয়ার পদ্ধতিতে পোর্ট অ্যাসাইন করে। যেমন, আপনার ক্লাস্টারে দুটি Postgres নোড থাকলে, প্রথম নোড দুটি পোর্ট ব্যবহার করে, তাই Consul এটিকে ১০৩০০ এবং ১০৩০১ পোর্ট অ্যাসাইন করে। দ্বিতীয় নোডও দুটি পোর্ট ব্যবহার করে, তাই Consol সেই নোডে ১০৩০২ ও ১০৩০৩ অ্যাসাইন করে। এটি সব ধরনের কম্পোনেন্টের ক্ষেত্রে প্রযোজ্য।
আপনি দেখতে পাচ্ছেন যে, টোপোলজির উপর নির্ভর করে পোর্টের আসল সংখ্যা: আপনার ক্লাস্টারে দুটি Postgres নোড থাকলে, আপনাকে চারটি পোর্ট খুলতে হবে (দুটি নোড, প্রতিটির জন্য দুটি পোর্ট)।
এগুলি মনে রাখবেন:
- Consul প্রক্সি Apigee পরিষেবার মতো একই পোর্টে শুনতে পারে না।
- Consul-এর শুধুমাত্র একটি পোর্ট অ্যাড্রেস স্পেস আছে। কনসাল প্রক্সি পোর্ট অ্যাসাইনমেন্ট অবশ্যই ক্লাস্টার জুড়ে অনন্য হতে হবে, যার মধ্যে ডেটা সেন্টার অন্তর্ভুক্ত। এর অর্থ হল, হোস্ট A-তে প্রক্সি A যদি পোর্ট 15000-এ শোনে, তাহলে হোস্ট B-তে প্রক্সি B পোর্ট 15000-এ শুনতে পারবে না।
- আগে যেমন বর্ণনা করা হয়েছে, টোপোলজির উপর নির্ভর করে ব্যবহৃত পোর্টের সংখ্যা পরিবর্তিত হয়।
মাল্টি-ডেটা সেন্টার কনফিগারেশনে, mTLS রান করা সব হোস্টকে পোর্ট ৮৩০২ খুলতে হবে।
Apigee mTLS যে ডিফল্ট পোর্ট ব্যবহার করে তা আপনি কাস্টমাইজ করতে পারবেন। এটি কীভাবে করবেন সেই সম্পর্কে তথ্যের জন্য, প্রক্সি পোর্ট রেঞ্জ কাস্টমাইজেশন দেখুন।
সীমাবদ্ধতা
Apigee mTLS-এর নিম্নলিখিত সীমাবদ্ধতা আছে:
- ইন্টার-নোড Cassandra কমিউনিকেশন (পোর্ট ৭০০০) এনক্রিপ্ট করে না
- কনফিগারেশন ও সেট-আপ আইডেমপোটেন্ট নয়। এর অর্থ হল, আপনি একটি নোডে কোনও পরিবর্তন করলে, আপনাকে সব নোডে একই পরিবর্তন করতে হবে; সিস্টেম সেই পরিবর্তনটি বেছে নেয় না এবং আপনার জন্য অন্যান্য নোডে এটি প্রয়োগ করে না। আরও তথ্যের জন্য, আগে থেকে থাকা apigee-mtls কনফিগারেশন পরিবর্তন করুন দেখুন।
পরিভাষা
এই বিভাগে নিম্নলিখিত পরিভাষা ব্যবহার করা হয়:
| শব্দ | সংজ্ঞা |
|---|---|
| ক্লাস্টার | প্রাইভেট ক্লাউড ইনস্টলেশনের জন্য আপনার Edge তৈরি করে এমন মেশিনের গ্রুপ। |
| Consul | Apigee mTLS-এর মাধ্যমে ব্যবহৃত সার্ভিস মেশ। Consul কীভাবে আপনার Private Cloud কমিউনিকেশন সুরক্ষিত করে সেই সম্পর্কে তথ্যের জন্য, Consul-এর নিরাপত্তা মডেল দেখুন। |
| mTLS | Mutually Authenticated TLS. |
| পরিষেবা মেশ | একটি ওভারলে নেটওয়ার্ক (বা নেটওয়ার্কের মধ্যে নেটওয়ার্ক)। |
| TLS | ট্রানজ্যাকশন লেয়ার সিকিউরিটি। নিরাপদ যোগাযোগের জন্য একটি ইন্ডাস্ট্রি-স্ট্যান্ডার্ড প্রমাণীকরণ প্রোটোকল। |