Как настроить TLS 1.3 для трафика, передаваемого в северном направлении

На этой странице объясняется, как настроить TLS 1.3 в маршрутизаторах Apigee для трафика в северном направлении (трафика между клиентом и маршрутизатором).

Подробнее о виртуальных хостах…

Как включить TLS 1.3 для всех виртуальных хостов на основе TLS в маршрутизаторе

Чтобы включить TLS 1.3 для всех виртуальных хостов на основе TLS в маршрутизаторе, выполните следующие действия:

1. Откройте в редакторе следующий файл свойств на маршрутизаторе:

   /opt/apigee/customer/application/router.properties

   Если такого файла нет, создайте его.

2. Добавьте в файл свойств следующую строку:

   conf_load_balancing_load.balancing.driver.server.ssl.protocols=TLSv1 TLSv1.1 TLSv1.2 TLSv1.3

   Добавьте все протоколы TLS, которые вы хотите поддерживать. Обратите внимание, что протоколы разделяются пробелами и указываются с учетом регистра.

3. Сохраните файл.
4. Убедитесь, что владельцем файла является пользователь apigee:

   chown apigee:apigee /opt/apigee/customer/application/router.properties

5. Перезапустите маршрутизатор

   /opt/apigee/apigee-service/bin/apigee-service edge-router restart

6. Повторите описанные выше действия для всех узлов маршрутизатора по очереди.

Как включить TLS 1.3 только для определенных виртуальных хостов

В этом разделе объясняется, как включить TLS 1.3 для определенных виртуальных хостов. Чтобы включить TLS 1.3, выполните следующие действия на узлах сервера управления:

1. На каждом узле сервера управления отредактируйте файл /opt/apigee/customer/application/management-server.properties и добавьте следующую строку: Если файла нет, создайте его.

   conf_virtualhost_virtual.host.allowed.protocol.list=TLSv1,TLSv1.1,TLSv1.2,TLSv1.3

   В этом файле протоколы разделены запятыми (с учетом регистра).

2. Сохраните файл.
3. Убедитесь, что владельцем файла является пользователь apigee:

   chown apigee:apigee /opt/apigee/customer/application/management-server.properties

4. Перезапустите сервер управления:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

5. Повторите описанные выше действия на всех узлах сервера управления по очереди.
6. Создайте виртуальный хост или обновите существующий, указав следующее свойство: Обратите внимание, что протоколы разделяются пробелами и указываются с учетом регистра.

   "properties": {
       "property": [
         {
           "name": "ssl_protocols",
           "value": "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"
         }
       ]
   }

   Ниже показан пример виртуального хоста с этим свойством:

   {
     "hostAliases": [
       "api.myCompany,com",
     ],
     "interfaces": [],
     "listenOptions": [],
     "name": "secure",
     "port": "443",
     "retryOptions": [],
     "properties": {
       "property": [
         {
           "name": "ssl_protocols",
           "value": "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"
         }
       ]
     },
     "sSLInfo": {
       "ciphers": [],
       "clientAuthEnabled": "false",
       "enabled": "true",
       "ignoreValidationErrors": false,
       "keyAlias": "myCompanyKeyAlias",
       "keyStore": "ref://myCompanyKeystoreref",
       "protocols": []
     },
     "useBuiltInFreeTrialCert": false
   }

   Тестирование TLS 1.3

   Чтобы протестировать TLS 1.3, введите следующую команду:

   curl -v --tlsv1.3 "https://api.myCompany,com/testproxy"

   Обратите внимание, что TLS 1.3 можно протестировать только на клиентах, поддерживающих этот протокол. Если TLS 1.3 не включен, вы увидите сообщение об ошибке, похожее на следующее:

   sslv3 alert handshake failure