TLS 1.3 für Traffic in Richtung Norden konfigurieren

Auf dieser Seite wird erläutert, wie Sie TLS 1.3 in Apigee-Routern für Northbound-Traffic (Traffic zwischen einem Client und dem Router) konfigurieren.

Weitere Informationen zu virtuellen Hosts finden Sie unter Virtuelle Hosts.

TLS 1.3 für alle TLS-basierten virtuellen Hosts in einem Router aktivieren

So aktivieren Sie TLS 1.3 für alle TLS-basierten virtuellen Hosts in einem Router:

  1. Öffnen Sie auf dem Router die folgende Attributdatei in einem Editor. 
    /opt/apigee/customer/application/router.properties

    Wenn die Datei nicht vorhanden ist, erstellen Sie sie.

  2. Fügen Sie der Attributdatei die folgende Zeile hinzu: 
    conf_load_balancing_load.balancing.driver.server.ssl.protocols=TLSv1 TLSv1.1 TLSv1.2 TLSv1.3

    Fügen Sie alle TLS-Protokolle hinzu, die Sie unterstützen möchten. Beachten Sie, dass die Protokolle durch Leerzeichen getrennt sind und zwischen Groß- und Kleinschreibung unterschieden wird.

  3. Speichern Sie die Datei.
  4. Achten Sie darauf, dass die Datei dem Apigee-Nutzer gehört: 
    chown apigee:apigee /opt/apigee/customer/application/router.properties
  5. Router neu starten: 
    /opt/apigee/apigee-service/bin/apigee-service edge-router restart
  6. Wiederholen Sie die obigen Schritte nacheinander auf allen Routerknoten.

TLS 1.3 nur für bestimmte virtuelle Hosts aktivieren

In diesem Abschnitt wird erläutert, wie Sie TLS 1.3 für bestimmte virtuelle Hosts aktivieren. Führen Sie die folgenden Schritte auf den Management Server-Knoten aus, um TLS 1.3 zu aktivieren:

  1. Bearbeiten Sie auf jedem Management Server-Knoten die Datei /opt/apigee/customer/application/management-server.properties und fügen Sie die folgende Zeile hinzu. (Wenn die Datei nicht vorhanden ist, erstellen Sie sie.) 
    conf_virtualhost_virtual.host.allowed.protocol.list=TLSv1,TLSv1.1,TLSv1.2,TLSv1.3

    In dieser Datei sind die Protokolle kommagetrennt (und die Groß-/Kleinschreibung wird berücksichtigt).

  2. Speichern Sie die Datei.
  3. Achten Sie darauf, dass die Datei dem Apigee-Nutzer gehört: 
    chown apigee:apigee /opt/apigee/customer/application/management-server.properties
  4. Starten Sie den Verwaltungsserver neu: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
  5. Wiederholen Sie die obigen Schritte nacheinander auf allen Verwaltungsserverknoten.
  6. Erstellen Sie einen virtuellen Host (oder aktualisieren Sie einen vorhandenen) mit dem folgenden Attribut. Die Protokolle sind durch Leerzeichen getrennt und die Groß-/Kleinschreibung wird berücksichtigt. 
    "properties": {
    "property": [
      {
        "name": "ssl_protocols",
        "value": "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"
      }
    ]
}

    Hier ein Beispiel für einen vhost mit diesem Attribut:

    {
  "hostAliases": [
    "api.myCompany,com",
  ],
  "interfaces": [],
  "listenOptions": [],
  "name": "secure",
  "port": "443",
  "retryOptions": [],
  "properties": {
    "property": [
      {
        "name": "ssl_protocols",
        "value": "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"
      }
    ]
  },
  "sSLInfo": {
    "ciphers": [],
    "clientAuthEnabled": "false",
    "enabled": "true",
    "ignoreValidationErrors": false,
    "keyAlias": "myCompanyKeyAlias",
    "keyStore": "ref://myCompanyKeystoreref",
    "protocols": []
  },
  "useBuiltInFreeTrialCert": false
}

    TLS 1.3 testen

    Geben Sie den folgenden Befehl ein, um TLS 1.3 zu testen:

    curl -v --tlsv1.3 "https://api.myCompany,com/testproxy"

    TLS 1.3 kann nur auf Clients getestet werden, die dieses Protokoll unterstützen. Wenn TLS 1.3 nicht aktiviert ist, wird eine Fehlermeldung wie die folgende angezeigt: 

    sslv3 alert handshake failure