Configurer TLS 1.3 pour le trafic vers le nord

Cette page explique comment configurer TLS 1.3 dans les routeurs Apigee pour le trafic northbound (trafic entre un client et le routeur).

Pour en savoir plus sur les hôtes virtuels, consultez Hôtes virtuels.

Activer TLS 1.3 pour tous les hôtes virtuels basés sur TLS dans un routeur

Suivez la procédure ci-dessous pour activer TLS 1.3 pour tous les hôtes virtuels basés sur TLS dans un routeur :

1. Sur le routeur, ouvrez le fichier de propriétés suivant dans un éditeur.

   /opt/apigee/customer/application/router.properties

   Si le fichier n'existe pas, créez-le.

2. Ajoutez la ligne suivante au fichier de propriétés :

   conf_load_balancing_load.balancing.driver.server.ssl.protocols=TLSv1 TLSv1.1 TLSv1.2 TLSv1.3

   Ajoutez tous les protocoles TLS que vous souhaitez accepter. Notez que les protocoles sont séparés par des espaces et sont sensibles à la casse.

3. Enregistrez le fichier.
4. Assurez-vous que le fichier appartient à l'utilisateur apigee :

   chown apigee:apigee /opt/apigee/customer/application/router.properties

5. Redémarrez le routeur :

   /opt/apigee/apigee-service/bin/apigee-service edge-router restart

6. Répétez les étapes ci-dessus sur tous les nœuds de routeur, un par un.

Activer TLS 1.3 pour des hôtes virtuels spécifiques uniquement

Cette section explique comment activer TLS 1.3 pour des hôtes virtuels spécifiques. Pour activer TLS 1.3, procédez comme suit sur les nœuds du serveur de gestion :

1. Sur chaque nœud du serveur de gestion, modifiez le fichier /opt/apigee/customer/application/management-server.properties et ajoutez la ligne suivante. (Si le fichier n'existe pas, créez-le.)

   conf_virtualhost_virtual.host.allowed.protocol.list=TLSv1,TLSv1.1,TLSv1.2,TLSv1.3

   Pour ce fichier, les protocoles sont séparés par une virgule (et sensibles à la casse).

2. Enregistrez le fichier.
3. Assurez-vous que le fichier appartient à l'utilisateur apigee :

   chown apigee:apigee /opt/apigee/customer/application/management-server.properties

4. Redémarrez le serveur de gestion :

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

5. Répétez les étapes ci-dessus sur tous les nœuds du serveur de gestion, un par un.
6. Créez (ou mettez à jour) un hôte virtuel avec la propriété suivante. Notez que les protocoles sont séparés par des espaces et sont sensibles à la casse.

   "properties": {
       "property": [
         {
           "name": "ssl_protocols",
           "value": "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"
         }
       ]
   }

   Vous trouverez ci-dessous un exemple d'hôte virtuel avec cette propriété :

   {
     "hostAliases": [
       "api.myCompany,com",
     ],
     "interfaces": [],
     "listenOptions": [],
     "name": "secure",
     "port": "443",
     "retryOptions": [],
     "properties": {
       "property": [
         {
           "name": "ssl_protocols",
           "value": "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"
         }
       ]
     },
     "sSLInfo": {
       "ciphers": [],
       "clientAuthEnabled": "false",
       "enabled": "true",
       "ignoreValidationErrors": false,
       "keyAlias": "myCompanyKeyAlias",
       "keyStore": "ref://myCompanyKeystoreref",
       "protocols": []
     },
     "useBuiltInFreeTrialCert": false
   }

   Tester TLS 1.3

   Pour tester TLS 1.3, saisissez la commande suivante :

   curl -v --tlsv1.3 "https://api.myCompany,com/testproxy"

   Notez que TLS 1.3 ne peut être testé que sur les clients compatibles avec ce protocole. Si TLS 1.3 n'est pas activé, un message d'erreur semblable à celui-ci s'affiche :

   sslv3 alert handshake failure