Wprowadzenie do Apigee mTLS

Funkcja mTLS Apigee zwiększa bezpieczeństwo komunikacji między komponentami Edge w klastrze Private Cloud. Zapewnia standardowy w branży sposób konfigurowania i instalowania siatki usług. Obsługuje zarządzanie pakietami i automatyzację konfiguracji.

Omówienie architektury

Aby zapewnić bezpieczną komunikację między komponentami, Apigee mTLS używa siatki usług, która nawiązuje bezpieczne, wspólnie uwierzytelnione połączenia TLS między komponentami.

Poniższy przykład przedstawia połączenia między komponentami Apigee zabezpieczonymi przez Apigee mTLS (in red). Porty widoczne na ilustracji to tylko przykłady. Na stronie Wykorzystanie portu znajdziesz listę zakresów, których może używać każdy z komponentów.

(Pamiętaj, że porty oznaczone literą „M” są używane do zarządzania komponentem i muszą być otwarte w komponencie, aby uzyskać dostęp do serwera zarządzania).

Jak widać na diagramie powyżej, Apigee mTLS zwiększa bezpieczeństwo połączeń między większością komponentów w klastrze, w tym:

Źródło Miejsce docelowe
Serwer zarządzania Węzły Router, MP, QPid, LDAP, Postgres, Zookeeper i Cassandra
Router Zapętlenie zwrotne; węzły Qpid, Zookeeper i Cassandra
procesor komunikatów Zapętlenie zwrotne; węzły Qpid, Zookeeper i Cassandra
ZooKeeper i Cassandra Inne węzły Zookeeper i Cassandra
Interfejs Edge SMTP (tylko dla zewnętrznego dostawcy tożsamości)
Postgres Inne węzły Postgres, Zookeeper i Cassandra

Szyfrowanie/odszyfrowywanie wiadomości

Siatka usług Apigee mTLS składa się z serwerów Consul, które działają w każdym węźle ZooKeeper w klastrze, oraz z następujących usług Consul w każdym węźle klastra:

  • Serwer proxy ruchu wychodzącego przechwytujący wiadomości wychodzące w węźle hosta. Ta usługa szyfruje wiadomości wychodzące przed wysłaniem ich do miejsca docelowego.
  • Serwer proxy ruchu przychodzącego, który przechwytuje wiadomości przychodzące w węźle hosta. Ta usługa odszyfrowuje wiadomości przychodzące przed wysłaniem ich do miejsca docelowego.

Jeśli na przykład serwer zarządzania wysyła wiadomość do routera, usługa proxy ruchu wychodzącego przechwytuje wiadomość wychodzącą, szyfruje ją, a następnie wysyła do routera. Gdy węzeł routera otrzyma komunikat, usługa serwera proxy ruchu przychodzącego odszyfrowuje wiadomość, a następnie przekazuje ją do komponentu routera w celu przetworzenia.

Wszystko to dzieje się w przejrzysty sposób w przypadku komponentów Edge: nie są oni świadomi procesu szyfrowania i odszyfrowywania przeprowadzanego przez usługi proxy Consul.

Dodatkowo Apigee mTLS korzysta z narzędzia iptables – usługi zapory sieciowej w systemie Linux, która zarządza przekierowywaniem ruchu.

Wymagania

Zanim zainstalujesz Apigee mTLS, Twoje środowisko musi spełniać te wymagania:

W sekcjach poniżej znajdziesz szczegółowe informacje na temat każdego z tych wymagań.

Wersja, platforma i topologia

Poniższa tabela zawiera wymagania dotyczące mTLS:

Wymaganie Opis
Wersje
  • 4.51.00
  • 4.50.00
  • 4.19.06
Topologia Musi zawierać co najmniej 3 węzły Zookeeper. W związku z tym możesz zainstalować Apigee mTLS tylko w topologii 5, 9, 12 (wiele centrów danych) lub 13 węzłów. Więcej informacji znajdziesz w artykule Topologie instalacji.
Platformy/systemy operacyjne

Użyj tych wartości, aby określić, czy Apigee mTLS jest obsługiwane w konkretnym systemie operacyjnym:

System operacyjny Obsługiwana wersja chmury prywatnej
v4.19.06 v4.50.00 v4.51.00
CentOS
RedHat Enterprise Linux (RHEL)
Oracle Linux		 7,5; 7,6; 7,7 7,5; 7,6; 7,7; 7,8; 7,9 7,5; 7,6; 7,7; 7,8; 7,9; 8,0

Pamiętaj, że Apigee mTLS nie musi obsługiwać wszystkich systemów operacyjnych, które są obsługiwane przez odpowiednią wersję Apigee Edge for Private Cloud, w której działa.

Na przykład jeśli wersja 4.19.06 obsługuje CentOS x i y, nie musi to oznaczać, że Apigee mTLS jest obsługiwane w CentOS x i y w wersji 4.19.06.

Narzędzia/pakiety

Apigee mTLS wymaga zainstalowania i włączenia tych pakietów na każdym komputerze w klastrze, w tym na komputerze administracyjnym, przed rozpoczęciem procesu instalacji:

Narzędzie/pakiet Opis Czy usunąć po instalacji?
base64 Weryfikuje dane zawarte w skryptach instalacyjnych.
gnu-bash
gnu-sed
gnu-grep		 Używany przez skrypt instalacyjny i inne popularne narzędzia.
iptables Zastępuje domyślną zaporę sieciową firewalld.
iptables-services Udostępnia funkcje narzędzia iptables.
lsof Używana przez skrypt instalacji.
nc Weryfikuje iptables tras.
openssl Podpisuje certyfikaty lokalnie podczas początkowego procesu wczytywania.

Podczas instalacji instalujesz też pakiet Consul na komputerze administracyjnym, aby można było wygenerować dane logowania i klucz szyfrowania.

Pakiet apigee-mtls instaluje i konfiguruje serwery Consul, w tym serwery proxy ruchu przychodzącego i wychodzącego w węzłach ZooKeeper w klastrze.

Uprawnienia konta użytkownika

Przed instalacją utwórz nowe konto użytkownika lub sprawdź, czy masz dostęp do konta z podwyższonymi uprawnieniami.

Konto, które wykonuje instalację Apigee mTLS w każdym węźle w klastrze, musi mieć możliwość:

  • Uruchamianie, zatrzymywanie, ponowne uruchamianie i inicjowanie komponentów Apigee
  • Ustaw reguły zapory sieciowej
  • Utwórz nowe konto użytkownika systemu operacyjnego
  • Włączanie, wyłączanie, uruchamianie, zatrzymywanie i maskowanie usług za pomocą systemctl

Komputer administracyjny (zalecane)

Apigee zaleca, aby w klastrze był węzeł umożliwiający wykonywanie różnych zadań administracyjnych opisanych w tym dokumencie, takich jak:

  1. Zainstaluj HashiCorp Consul 1.6.2.
  2. Wygeneruj i rozpowszechnij parę certyfikatu/klucza oraz klucz szyfrowania plotek.
  3. Zaktualizuj i rozpowszechnij plik konfiguracji.

Podczas konfigurowania komputera administracyjnego:

  • Sprawdź, czy masz do niego dostęp poziomu głównego.
  • Pobierz i zainstaluj narzędzia apigee-service i apigee-setup zgodnie z opisem w artykule Instalowanie narzędzia Edge apigee-setup.
  • Sprawdź, czy możesz używać scp/ssh do uzyskiwania dostępu do wszystkich węzłów w klastrze z komputera administracyjnej. Jest to wymagane, aby można było rozpowszechnić plik konfiguracji i dane logowania.

Wykorzystanie i przypisanie portów

W tej sekcji opisano wykorzystanie portów i przypisanie portów do obsługi komunikacji Consul z Apigee mTLS.

Wykorzystanie portu: wszystkie węzły obsługujące apigee-mtls

Wszystkie węzły w klastrze, które używają usługi apigee-mtls, muszą zezwalać na połączenia z usług na hoście lokalnym (127.0.0.1). Dzięki temu serwery proxy Consul mogą komunikować się z innymi usługami w trakcie przetwarzania wiadomości przychodzących i wychodzących.

Wykorzystanie portu: węzły serwera Consul (węzły obsługujące ZooKeeper)

Aby przyjmować żądania od wszystkich węzłów w klastrze, musisz otworzyć większość z tych portów w węzłach serwera Consul (węzłów działających ZooKeeper):

Węzeł Port serwera Consul Opis Protokół Zezwalaj na zewnętrzne agenty mtls
*
Serwer Consul (węzły ZooKeeper) 8300 Łączy wszystkie serwery Consul w klastrze. RPC
8301 Obsługa członkostwa i komunikatów w klastrze. UDP/TCP
8302 Port WAN, który obsługuje komunikaty o członkostwie i transmisjach w konfiguracji wielu centrów danych. UDP/TCP
8500 Obsługuje połączenia HTTP z interfejsami Consul Server API z procesów w tym samym węźle.

Ten port nie jest używany do zdalnej komunikacji ani koordynacji. Nasłuchuje tylko na lokalnym hoście.

 HTTP
8502 Obsługuje połączenia gRPC+HTTPS z interfejsami API serwera Consul z innych węzłów w klastrze. gRPC+HTTPS
8503 Obsługuje połączenia HTTPS z interfejsami Consul Server API z innych węzłów w klastrze. HTTPS
8600 Obsługuje DNS serwera Consul. UDP/TCP
* Apigee zaleca ograniczenie żądań przychodzących tylko do członków klastra (w tym dotyczących wielu magazynów danych). Możesz to zrobić w aplikacji iptables.

Jak widać w tabeli, węzły korzystające z komponentu consul-server (węzły ZooKeeper) muszą otwierać porty 8301, 8302, 8502 i 8503 do wszystkich członków klastra, którzy korzystają z usługi apigee-mtls, nawet w różnych centrach danych. Węzły, które nie obsługują ZooKeeper, nie muszą otwierać tych portów.

Przypisania portów do wszystkich węzłów Consul (w tym węzłów działających w ZooKeeper)

Aby obsługiwać komunikację Consul, węzły używające tych komponentów Apigee muszą zezwalać na zewnętrzne połączenia z portami w tych zakresach:

Komponent Apigee Zakres Liczba wymaganych portów na węzeł
Apigee mTLS 10 700 do 10 799 1
Cassandra 10 100–10 199 2
procesor komunikatów 10 500 do 10 599 2
OpenLDAP 10 200–10 299 1
Postgres 10 300 do 10 399 3
Qpid 10 400–10 499 2
Router Od 10 600 do 10 699 2
ZooKeeper 10 000 do 10 099 3

Konsul przypisuje porty w prosty, liniowy sposób. Jeśli na przykład klaster ma 2 węzły Postgres, pierwszy węzeł korzysta z 2 portów, więc Consul przypisuje do niego porty 10300 i 10301. Drugi węzeł także używa 2 portów, więc aplikacja Consol przypisuje do niego numery 10302 i 10303. Dotyczy to wszystkich typów komponentów.

Jak widać, rzeczywista liczba portów zależy od topologii: jeśli klaster ma 2 węzły Postgres, musisz otworzyć 4 porty (2 węzły razy 2 porty każdy).

Pamiętaj:

  • Serwery proxy Consul nie mogą nasłuchiwać na tych samych portach co usługi Apigee.
  • Consul ma tylko 1 przestrzeń adresową portu. Przypisania portów serwera proxy Consul muszą być unikalne w całym klastrze, w tym centrach danych. Oznacza to, że jeśli serwer proxy A na hoście A nasłuchuje na porcie 15000, serwer proxy B nie może nasłuchiwać na porcie 15000.
  • Liczba używanych portów różni się w zależności od topologii, jak opisano wcześniej.

W konfiguracji wielu centrów danych wszystkie hosty obsługujące mTLS muszą też mieć otwarty port 8302.

Możesz dostosować domyślne porty używane przez Apigee mTLS. Aby dowiedzieć się, jak to zrobić, przeczytaj artykuł o dostosowywaniu zakresu portów serwera proxy.

Ograniczenia

Apigee mTLS ma te ograniczenia:

  • Nie szyfruje komunikacji między węzłami Cassandra (port 7000)
  • Konfiguracja nie jest idempotentna. Oznacza to, że jeśli wprowadzisz jedną zmianę w jednym węźle, musisz wprowadzić tę samą zmianę we wszystkich węzłach. System jej nie zastosuje w żadnym innym węźle. Więcej informacji znajdziesz w artykule o zmienianiu istniejącej konfiguracji apigee-mtls.

Terminologia

W tej sekcji zastosowano następującą terminologię:

Termin Definicja
klaster Grupa maszyn tworzących Edge na potrzeby instalacji Private Cloud.
Konsul Siatka usług używana przez Apigee mTLS. Informacje o tym, jak Consul zabezpiecza komunikację Private Cloud, znajdziesz w artykule o modelu zabezpieczeń Consula.
mTLS Wzajemnie uwierzytelnione protokół TLS.
siatka usług Sieć nakładki (lub sieć w sieci).
TLS Transaction Layer Security (Zabezpieczenia warstwy transakcji). Standardowy protokół uwierzytelniania zapewniający bezpieczną komunikację.