Apigee mTLS ফিচার আপনার Edge for the প্রাইভেট ক্লাউড ক্লাস্টারের মধ্যে কম্পোনেন্টগুলির মধ্যে হওয়া যোগাযোগে নিরাপত্তা যোগ করে।
আর্কিটেকচার ওভারভিউ
কম্পোনেন্টগুলির মধ্যে সুরক্ষিত যোগাযোগ প্রদান করতে, Apigee mTLS একটি সার্ভিস মেশ ব্যবহার করে যা কম্পোনেন্টগুলির মধ্যে সুরক্ষিত, পারস্পরিকভাবে যাচাই করা TLS কানেকশন স্থাপন করে।
নিচের ছবিতে Apigee কম্পোনেন্টগুলির মধ্যে কানেকশন দেখানো হয়েছে যেগুলিকে Apigee mTLS সুরক্ষিত করে (in red)। ছবিতে দেখানো পোর্টগুলি হল উদাহরণ; প্রতিটি কম্পোনেন্ট যে রেঞ্জের তালিকা ব্যবহার করতে পারে তার জন্য পোর্ট ব্যবহার দেখুন।
(মনে রাখবেন, "M" দিয়ে চিহ্নিত পোর্টগুলি কম্পোনেন্ট ম্যানেজ করার জন্য ব্যবহার করা হয় এবং ম্যানেজমেন্ট সার্ভার দ্বারা অ্যাক্সেস করার জন্য কম্পোনেন্টে খোলা থাকতে হবে।)
উপরের ডায়াগ্রামে আপনি যেমন দেখতে পাচ্ছেন, Apigee mTLS ক্লাস্টারের বেশিরভাগ কম্পোনেন্টের মধ্যে কানেকশনে নিরাপত্তা যোগ করে, এর মধ্যে এগুলি অন্তর্ভুক্ত:
| সোর্স | গন্তব্য | |
|---|---|---|
| ম্যানেজমেন্ট সার্ভার | রাউটার, MP, QPid, LDAP, Postgres, Zookeeper ও Cassandra নোড | |
| রাউটার | লুপব্যাক; Qpid, Zookeeper ও Cassandra নোড | |
| মেসেজ প্রসেসর | লুপব্যাক; Qpid, Zookeeper ও Cassandra নোড | |
| ZooKeeper ও Cassandra | অন্যান্য Zookeeper ও Cassandra নোড | |
| Edge UI | SMTP (শুধুমাত্র এক্সটার্নাল IDP-র জন্য) | |
| Postgres | অন্যান্য Postgres, Zookeeper ও Cassandra নোড |
মেসেজ এনক্রিপশন/ডিক্রিপশন
Apigee mTLS পরিষেবা মেশে কনসাল সার্ভার থাকে যা আপনার ক্লাস্টারের প্রতিটি ZooKeeper নোডে এবং ক্লাস্টারের প্রতিটি নোডে নিম্নলিখিত কনসাল পরিষেবা চলে:
- এগ্রেস প্রক্সি যা হোস্ট নোডে আউটগোয়িং মেসেজ ইন্টারসেপ্ট করে। এই পরিষেবা গন্তব্যে পাঠানোর আগে আউটগোয়িং মেসেজ এনক্রিপ্ট করে।
- ইনগ্রেস প্রক্সি যা হোস্ট নোডে ইনকামিং মেসেজ ইন্টারসেপ্ট করে। এই পরিষেবা মেসেজ গন্তব্যে পাঠানোর আগে তা ডিক্রিপ্ট করে।
যেমন, ম্যানেজমেন্ট সার্ভার রাউটারে মেসেজ পাঠালে, এগ্রেস প্রক্সি পরিষেবা আউটগোয়িং মেসেজ ইন্টারসেপ্ট করে, এনক্রিপ্ট করে এবং তারপরে রাউটারে পাঠায়। রাউটারের নোড মেসেজটি পেলে, ইনগ্রেস প্রক্সি পরিষেবা মেসেজটি ডিক্রিপ্ট করে এবং তারপরে প্রসেস করার জন্য রাউটার কম্পোনেন্টে পাঠায়।
এইসব কিছু Edge কম্পোনেন্টের কাছে স্বচ্ছভাবে ঘটে: Consul প্রক্সি পরিষেবার মাধ্যমে এনক্রিপশন ও ডিক্রিপশন প্রসেস করা হয়, এই বিষয়ে তারা অবগত নয়।
এছাড়াও, Apigee mTLS, iptables ইউটিলিটি ব্যবহার করে, এটি একটি Linux ফায়ারওয়াল পরিষেবা যা
ট্রাফিক রিডাইরেকশন ম্যানেজ করে।
প্রয়োজনীয়তা
Apigee mTLS, পরিষেবা মেশ কনফিগার ও ইনস্টল করার জন্য ইন্ডাস্ট্রি-স্ট্যান্ডার্ড পদ্ধতি প্রদান করে। এটি প্যাকেজ ম্যানেজমেন্ট ও কনফিগারেশন অটোমেশন সমর্থন করে।
Consul প্রক্সি পরিষেবাগুলি স্বতন্ত্র প্রসেসের জন্য পোর্ট অ্যাসাইনমেন্ট হিসেবে খুব ঘনিষ্ঠভাবে যুক্ত থাকে, তাই একটি নোডে পরিবর্তন করলে অন্য সব নোড প্রভাবিত হয়। এর ফলে, আপনার টপোলজি পরিবর্তন হলে, আপনাকে অবশ্যই ক্লাস্টারের প্রতিটি নোডে পরিষেবাগুলি আবার কনফিগার ও আবার ইনিশিয়ালাইজ করতে হবে।
Apigee mTLS ইনস্টল করার আগে, আপনার এনভায়রনমেন্টকে এই বিভাগে বর্ণিত নিম্নলিখিত প্রয়োজনীয়তা পূরণ করতে হবে।
এইসব প্রয়োজনীয়তার মধ্যে রয়েছে:
- প্রাইভেট ক্লাউড ভার্সনের জন্য Edge
- ইনস্টল ও চালু করা ইউটিলিটি সেট
- উপযুক্ত লেভেলের অনুমতি সহ ব্যবহারকারীর অ্যাকাউন্ট
- অ্যাডমিনিস্ট্রেশন মেশিন (সাজেস্ট করা হয়)
প্রাইভেট ক্লাউডের জন্য Edge-এর প্রয়োজনীয়তা
Apigee mTLS, প্রাইভেট ক্লাউডের জন্য Edge-এর নিম্নলিখিত ভার্সনগুলি সাপোর্ট করে (তবে OS সংক্রান্ত প্রয়োজনীয়তা লিঙ্কে বর্ণিত সমস্ত সাপোর্ট করা প্ল্যাটফর্মে নয়):
- 4.19.06
- 4.19.01
Apigee mTLS-এর জন্য আপনার প্রাইভেট ক্লাউড ক্লাস্টারে এমন টপোলজি থাকতে হবে যাতে অন্তত তিনটি Zookeeper নোড থাকে। এর ফলে, আপনি শুধুমাত্র ৫, ৯, ১২ (মাল্টি-ডেটা সেন্টার) বা ১৩টি নোড ব্যবহার করে এমন টপোলজিতে Apigee mTLS ইনস্টল করতে পারবেন। আরও তথ্যের জন্য, ইনস্টলেশন টপোলজি দেখুন।
OS সংক্রান্ত প্রয়োজনীয়তা
আপনার প্রাইভেট ক্লাউড ক্লাস্টারের জন্য Apigee mTLS নিম্নলিখিত প্ল্যাটফর্মগুলিতে কাজ করে (mTLS-এর জন্য কাজ করে এমন OS প্রাইভেট ক্লাউডের ভার্সনের উপর নির্ভর করে):
| অপারেটিং সিস্টেম | কাজ করে এমন প্রাইভেট ক্লাউড ভার্সন | ||
|---|---|---|---|
| v4.19.06 | v4.50.00 | v4.51.00 | |
| CentOS RedHat Enterprise Linux (RHEL) Oracle Linux |
৭.৫, ৭.৬, ৭.৭ | ৭.৫, ৭.৬, ৭.৭, ৭.৮, ৭.৯ | ৭.৫, ৭.৬, ৭.৭, ৭.৮, ৭.৯, ৮.০ |
ইউটিলিটি/প্যাকেজ
Apigee mTLS-এর জন্য আপনার ক্লাস্টারের প্রতিটি মেশিনে, অ্যাডমিনিস্ট্রেশন মেশিন সহ, ইনস্টলেশন প্রসেস শুরু করার আগে নিম্নলিখিত প্যাকেজ ইনস্টল ও চালু করতে হবে:
| ইউটিলিটি/প্যাকেজ | বিবরণ | ইনস্টলেশনের পরে সরানো যাবে? |
|---|---|---|
base64 |
ইনস্টলেশন স্ক্রিপ্টের মধ্যে ডেটা যাচাই করে। | |
gnu-bashgnu-sedgnu-grep |
ইনস্টলেশন স্ক্রিপ্ট ও অন্যান্য সাধারণ টুল ব্যবহার করে। | |
iptables |
ডিফল্ট ফায়ারওয়াল, firewalld-এর পরিবর্তে এটি ব্যবহার করা হয়। |
|
iptables-services |
iptables ইউটিলিটিতে কার্যকারিতা প্রদান করে। |
|
lsof |
ইনস্টলেশন স্ক্রিপ্ট ব্যবহার করে। | |
nc |
iptables রুট যাচাই করে। |
|
openssl |
প্রাথমিক বুটস্ট্র্যাপিং প্রসেস চলাকালীন লোকালি সার্টিফিকেট সই করে। |
ইনস্টলেশন চলাকালীন, আপনি অ্যাডমিনিস্ট্রেশন মেশিনে Consul প্যাকেজও ইনস্টল করেন যাতে আপনি এনক্রিপশন কী ও ক্রেডেনশিয়াল তৈরি করতে পারেন।
apigee-mtls প্যাকেজটি ক্লাস্টারে ZooKeeper নোডে ইনগ্রেস এবং ইগ্রেস প্রক্সি সহ Consul সার্ভার ইনস্টল ও কনফিগার করে।
ব্যবহারকারীর অ্যাকাউন্টের অনুমতি
ক্লাস্টারের প্রতিটি নোডে Apigee mTLS ইনস্টল করা অ্যাকাউন্টকে এগুলি করতে হবে:
- Apigee কম্পোনেন্ট শুরু, বন্ধ, রিস্টার্ট ও ইনিশিয়ালাইজ করা
- ফায়ারওয়াল সংক্রান্ত নিয়ম সেট করা
- নতুন OS/সিস্টেম ব্যবহারকারীর অ্যাকাউন্ট তৈরি করা
systemctlব্যবহার করে পরিষেবা চালু, বন্ধ, শুরু, থামানো ও আড়াল করা
ম্যানেজমেন্ট মেশিন (সাজেস্ট করা হয়)
Apigee সাজেস্ট করে যে ক্লাস্টারের মধ্যে এমন একটি নোড থাকা উচিত যা আপনি বিভিন্ন টাস্ক পারফর্ম করতে ব্যবহার করতে পারবেন। এই ডকুমেন্টে সেইসব টাস্কের বিবরণ দেওয়া আছে, যেমন:
- HashiCorp Consul 1.6.2 ইনস্টল করুন।
- সার্টিফিকেট/কী পেয়ার ও গসিপ এনক্রিপশন কী তৈরি ও ডিস্ট্রিবিউট করুন।
- কনফিগারেশন ফাইল আপডেট ও ডিস্ট্রিবিউট করুন।
অ্যাডমিনিস্ট্রেশন মেশিনের এগুলি প্রয়োজন:
- আপনি
apigee-serviceএবংapigee-setupইউটিলিটি ডাউনলোড ও ইনস্টল করেছেন, যা Edge apigee-setup ইউটিলিটি ইনস্টল করুন নিবন্ধে বর্ণনা করা হয়েছে। - ক্লাস্টারের সব নোডে
scp/ssh-এর অ্যাক্সেস আছে। আপনার কনফিগারেশন ফাইল ও ক্রেডেনশিয়াল ডিস্ট্রিবিউট করতে, ক্লাস্টারের মধ্যেscp/sshসব হোস্টের অ্যাক্সেস আপনার কাছে থাকতে হবে। - অ্যাডমিনিস্ট্রেশন মেশিনে আপনার রুট অ্যাক্সেস আছে।
পোর্ট ব্যবহার ও অ্যাসাইনমেন্ট
এই বিভাগে, Apigee mTLS-এর সাথে Consul কমিউনিকেশনকে সহায়তা করার জন্য পোর্ট ব্যবহার ও পোর্ট অ্যাসাইনমেন্টের বিবরণ দেওয়া হয়েছে।
পোর্ট ব্যবহার: apigee-mtls রান করা সব নোড
ক্লাস্টারের মধ্যে apigee-mtls পরিষেবা ব্যবহার করে এমন সব নোডকে লোকালহোস্ট (127.0.0.1) থেকে
পরিষেবার সাথে কানেক্ট করার অনুমতি দিতে হবে। এর ফলে, Consul প্রক্সি ইনকামিং ও আউটগোয়িং মেসেজ প্রসেস করার সময়
অন্যান্য পরিষেবার সাথে যোগাযোগ করতে পারে।
পোর্ট ব্যবহার: Consul সার্ভার নোড (ZooKeeper চলছে এমন নোড)
ক্লাস্টারের সব নোড থেকে অনুরোধ গ্রহণ করার জন্য আপনাকে Consul সার্ভার নোডে (যেসব নোডে ZooKeeper চলছে) নিম্নলিখিত পোর্টগুলির বেশিরভাগ খুলতে হবে:
| নোড | Consul সার্ভার পোর্ট | বিবরণ | প্রোটোকল | এক্সটার্নাল mtls-এজেন্টকে অনুমতি দিন * |
|---|---|---|---|---|
| Consul সার্ভার (ZooKeeper নোড) | 8300 |
ক্লাস্টারের সব Consul সার্ভার কানেক্ট করে। | RPC | |
8301 |
ক্লাস্টারের মধ্যে মেম্বারশিপ ও ব্রডকাস্ট মেসেজ ম্যানেজ করে। | UDP/TCP | ||
8302 |
একাধিক ডেটাসেন্টার কনফিগারেশনে মেম্বারশিপ ও ব্রডকাস্ট মেসেজ ম্যানেজ করে এমন WAN পোর্ট। | UDP/TCP | ||
8500 |
একই নোডে প্রসেস থেকে Consul Server API-তে HTTP কানেকশন ম্যানেজ করে।
এই পোর্টটি রিমোট কমিউনিকেশন বা কোঅর্ডিনেশনের জন্য ব্যবহার করা হয় না; এটি শুধুমাত্র লোকালহোস্টে শোনে। |
HTTP | ||
8502 |
ক্লাস্টারের অন্যান্য নোড থেকে Consul Server API-তে gRPC+HTTPS কানেকশন ম্যানেজ করে। | gRPC+HTTPS | ||
8503 |
ক্লাস্টারের অন্যান্য নোড থেকে Consul সার্ভার API-তে HTTPS কানেকশন ম্যানেজ করে। | HTTPS | ||
8600 |
Consul সার্ভারের DNS ম্যানেজ করে। | UDP/TCP | ||
* Apigee সাজেস্ট করে যে আপনি শুধুমাত্র ক্লাস্টার মেম্বারদের ইনবাউন্ড অনুরোধ সীমাবদ্ধ করুন
(ক্রস-ডেটা স্টোর সহ)। আপনি iptables-এর মাধ্যমে এটি করতে পারবেন।
|
||||
এই টেবিল থেকে দেখা যাচ্ছে যে, consul-server কম্পোনেন্ট (ZooKeeper নোড) রান করা নোডগুলিকে
apigee-mtls পরিষেবা রান করা ক্লাস্টারের সব মেম্বারদের জন্য পোর্ট ৮৩০১, ৮৩০২, ৮৫০২ ও ৮৫০৩ খুলতে হবে।
এমনকি ডেটা সেন্টার জুড়েও এটি করতে হবে। যেসব নোডে ZooKeeper
রান করছে না, সেগুলিতে এই পোর্টগুলি খোলার প্রয়োজন নেই।
সব Consul নোডের জন্য পোর্ট অ্যাসাইনমেন্ট (ZooKeeper রান করা নোড সহ)
Consul কমিউনিকেশনকে সাপোর্ট করতে, নিম্নলিখিত Apigee কম্পোনেন্ট চালানো নোডগুলিকে নিম্নলিখিত রেঞ্জের মধ্যে পোর্টগুলিতে এক্সটার্নাল কানেকশনের অনুমতি দিতে হবে:
| Apigee কম্পোনেন্ট | ব্যাপ্তি | প্রতিটি নোডের জন্য প্রয়োজনীয় পোর্টের সংখ্যা |
|---|---|---|
| Apigee mTLS | ১০৭০০ থেকে ১০৭৯৯ | 1 |
| Cassandra | ১০১০০ থেকে ১০১৯৯ | 2 |
| মেসেজ প্রসেসর | ১০৫০০ থেকে ১০৫৯৯ | 2 |
| OpenLDAP | ১০২০০ থেকে ১০২৯৯ | 1 |
| Postgres | ১০৩০০ থেকে ১০৩৯৯ | 3 |
| Qpid | ১০৪০০ থেকে ১০৪৯৯ | 2 |
| রাউটার | ১০৬০০ থেকে ১০৬৯৯ | 2 |
| ZooKeeper | ১০০০১ থেকে ১০০৯৯ | 3 |
Consul সহজ সরল পদ্ধতিতে পোর্ট অ্যাসাইন করে। যেমন, আপনার ক্লাস্টারে দুটি Postgres নোড থাকলে, প্রথম নোড দুটি পোর্ট ব্যবহার করে, তাই Consul সেটিতে পোর্ট 10300 ও 10301 অ্যাসাইন করে। দ্বিতীয় নোডটিও দুটি পোর্ট ব্যবহার করে, তাই কনসোল সেই নোডে ১০৩০২ ও ১০৩০৩ অ্যাসাইন করে। এটি সব ধরনের কম্পোনেন্টের ক্ষেত্রে প্রযোজ্য।
আপনি যেমন দেখতে পাচ্ছেন, পোর্টের প্রকৃত সংখ্যা টপোলজির উপর নির্ভর করে: আপনার ক্লাস্টারে দুটি Postgres নোড থাকলে, আপনাকে চারটি পোর্ট খুলতে হবে (দুটি নোড, প্রতিটিতে দুটি পোর্ট)।
নিম্নলিখিত বিষয়গুলি মনে রাখবেন:
- Consul প্রক্সি, Apigee পরিষেবার মতো একই পোর্টে শুনতে পায় না।
- Consul-এর একটিই পোর্ট অ্যাড্রেস স্পেস আছে। কনসাল প্রক্সি পোর্ট অ্যাসাইনমেন্টকে অবশ্যই ক্লাস্টার জুড়ে অনন্য হতে হবে, যার মধ্যে ডেটা সেন্টার অন্তর্ভুক্ত। এর অর্থ হল, হোস্ট A-তে প্রক্সি A যদি পোর্ট 15000-এ শোনে, তাহলে হোস্ট B-তে প্রক্সি B পোর্ট 15000-এ শুনতে পারবে না।
- আগে বর্ণনা করা টপোলজি অনুযায়ী ব্যবহৃত পোর্টের সংখ্যা পরিবর্তিত হয়।
মাল্টি-ডেটা সেন্টার কনফিগারেশনে, mTLS রান করা সব হোস্টকেও পোর্ট ৮৩০২ খুলতে হবে।
Apigee mTLS-এর ব্যবহার করা ডিফল্ট পোর্ট কাস্টমাইজ করতে পারবেন। এটি কীভাবে করবেন সেই বিষয়ে তথ্য পেতে, প্রক্সি পোর্ট রেঞ্জ কাস্টমাইজেশন দেখুন।
সীমাবদ্ধতা
Apigee mTLS-এর নিম্নলিখিত সীমাবদ্ধতা রয়েছে:
- ইন্টার-নোড ক্যাসান্ড্রা কমিউনিকেশন (পোর্ট 7000) এনক্রিপ্ট করে না
- কনফিগারেশন ও সেট-আপ আইডেমপোটেন্ট নয়। এর অর্থ হল, আপনি একটি নোডে একটি পরিবর্তন করলে, আপনাকে অবশ্যই সব নোডে একই পরিবর্তন করতে হবে; সিস্টেম সেই পরিবর্তনটি পিক-আপ করে আপনার জন্য অন্যান্য নোডে প্রয়োগ করে না। আরও তথ্যের জন্য, আগে থেকে থাকা apigee-mtls কনফিগারেশন পরিবর্তন করুন দেখুন।
পরিভাষা
এই বিভাগে নিম্নলিখিত শব্দগুলি ব্যবহার করা হয়েছে:
| শব্দ | সংজ্ঞা |
|---|---|
| ক্লাস্টার | প্রাইভেট ক্লাউড ইনস্টলেশনের জন্য আপনার Edge তৈরি করা মেশিনের গ্রুপ। |
| Consul | Apigee mTLS-এর ব্যবহার করা সার্ভিস মেশ। Consul কীভাবে আপনার ব্যক্তিগত ক্লাউড কমিউনিকেশন সুরক্ষিত করে সেই সম্পর্কে তথ্য পেতে, Consul-এর নিরাপত্তা মডেল দেখুন। |
| mTLS | পারস্পরিক যাচাইকরণ করা TLS. |
| সার্ভিস মেশ | ওভারলে নেটওয়ার্ক (বা নেটওয়ার্কের মধ্যে নেটওয়ার্ক)। |
| TLS | ট্রানজ্যাকশন লেয়ার সিকিউরিটি। সুরক্ষিত যোগাযোগের জন্য ইন্ডাস্ট্রি-স্ট্যান্ডার্ড যাচাইকরণ প্রোটোকল। |