הגדרה של TLS 1.3 לתנועה לכיוון צפון

בדף הזה מוסבר איך להגדיר את TLS 1.3 בנתבי Apigee לתנועה צפונה (תנועה בין לקוח לנתב).

מידע נוסף על מארחים וירטואליים זמין במאמר מארחים וירטואליים.

הפעלת TLS 1.3 לכל המארחים הווירטואליים שמבוססים על TLS בנתב

כדי להפעיל את TLS 1.3 לכל המארחים הווירטואליים שמבוססים על TLS בנתב:

1. ב-Router, פותחים את קובץ המאפיינים הבא בכלי לעריכת טקסט.

   /opt/apigee/customer/application/router.properties

   אם הקובץ לא קיים, יוצרים אותו.

2. מוסיפים את השורה הבאה לקובץ המאפיינים:

   conf_load_balancing_load.balancing.driver.server.ssl.protocols=TLSv1 TLSv1.1 TLSv1.2 TLSv1.3

   מוסיפים את כל פרוטוקולי ה-TLS שרוצים לתמוך בהם. חשוב לזכור שהפרוטוקולים מופרדים ברווחים והם תלויי אותיות רישיות.

3. שומרים את הקובץ.
4. מוודאים שהקובץ נמצא בבעלות של משתמש apigee:

   chown apigee:apigee /opt/apigee/customer/application/router.properties

5. מפעילים מחדש את הנתב:

   /opt/apigee/apigee-service/bin/apigee-service edge-router restart

6. חוזרים על השלבים שלמעלה בכל צומתי הנתב, אחד אחרי השני.

הפעלת TLS 1.3 רק למארחים וירטואליים ספציפיים

בקטע הזה מוסבר איך להפעיל את TLS 1.3 למארחים וירטואליים ספציפיים. כדי להפעיל את TLS 1.3, מבצעים את השלבים הבאים בצומתי שרת הניהול:

1. בכל צומת של שרת ניהול, עורכים את הקובץ /opt/apigee/customer/application/management-server.properties ומוסיפים את השורה הבאה. (אם הקובץ לא קיים, צריך ליצור אותו).

   conf_virtualhost_virtual.host.allowed.protocol.list=TLSv1,TLSv1.1,TLSv1.2,TLSv1.3

   בקובץ הזה, הפרוטוקולים מופרדים בפסיקים (ותלויי אותיות רישיות).

2. שומרים את הקובץ.
3. מוודאים שהקובץ נמצא בבעלות של משתמש apigee:

   chown apigee:apigee /opt/apigee/customer/application/management-server.properties

4. מפעילים מחדש את שרת הניהול:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

5. חוזרים על השלבים שלמעלה בכל אחד מצומתי שרת הניהול, אחד אחרי השני.
6. יוצרים מארח וירטואלי (או מעדכנים מארח וירטואלי קיים) עם המאפיין הבא. חשוב לזכור שהפרוטוקולים מופרדים ברווחים והם תלויי אותיות רישיות.

   "properties": {
       "property": [
         {
           "name": "ssl_protocols",
           "value": "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"
         }
       ]
   }

   בהמשך מוצג מארח וירטואלי לדוגמה עם המאפיין הזה:

   {
     "hostAliases": [
       "api.myCompany,com",
     ],
     "interfaces": [],
     "listenOptions": [],
     "name": "secure",
     "port": "443",
     "retryOptions": [],
     "properties": {
       "property": [
         {
           "name": "ssl_protocols",
           "value": "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"
         }
       ]
     },
     "sSLInfo": {
       "ciphers": [],
       "clientAuthEnabled": "false",
       "enabled": "true",
       "ignoreValidationErrors": false,
       "keyAlias": "myCompanyKeyAlias",
       "keyStore": "ref://myCompanyKeystoreref",
       "protocols": []
     },
     "useBuiltInFreeTrialCert": false
   }

   בדיקת TLS 1.3

   כדי לבדוק את TLS 1.3, מזינים את הפקודה הבאה:

   curl -v --tlsv1.3 "https://api.myCompany,com/testproxy"

   חשוב לזכור שאפשר לבדוק את TLS 1.3 רק בלקוחות שתומכים בפרוטוקול הזה. אם TLS 1.3 לא מופעל, תופיע הודעת שגיאה כמו זו:

   sslv3 alert handshake failure