Konfigurowanie protokołu TLS 1.3 dla ruchu z północy

Na tej stronie wyjaśniono, jak skonfigurować TLS 1.3 w routerach Apigee na potrzeby ruchu northbound (ruchu między klientem a routerem).

Więcej informacji o hostach wirtualnych znajdziesz w artykule Hosty wirtualne.

Włączanie protokołu TLS 1.3 dla wszystkich hostów wirtualnych opartych na protokole TLS w routerze

Aby włączyć protokół TLS 1.3 dla wszystkich hostów wirtualnych opartych na protokole TLS w routerze, wykonaj te czynności:

  1. Na routerze otwórz w edytorze ten plik właściwości. 
    /opt/apigee/customer/application/router.properties

    Jeśli plik nie istnieje, utwórz go.

  2. Dodaj do pliku właściwości ten wiersz: 
    conf_load_balancing_load.balancing.driver.server.ssl.protocols=TLSv1 TLSv1.1 TLSv1.2 TLSv1.3

    Dodaj wszystkie protokoły TLS, które chcesz obsługiwać. Pamiętaj, że protokoły są rozdzielone spacjami i rozróżniana jest wielkość liter.

  3. Zapisz plik.
  4. Upewnij się, że plik należy do użytkownika apigee: 
    chown apigee:apigee /opt/apigee/customer/application/router.properties
  5. Ponowne uruchamianie routera: 
    /opt/apigee/apigee-service/bin/apigee-service edge-router restart
  6. Powtórz powyższe kroki na wszystkich węzłach routera, jeden po drugim.

Włączanie protokołu TLS 1.3 tylko dla określonych hostów wirtualnych

W tej sekcji dowiesz się, jak włączyć TLS 1.3 dla konkretnych hostów wirtualnych. Aby włączyć TLS 1.3, wykonaj te czynności na węzłach serwera zarządzania:

  1. Na każdym węźle serwera zarządzania zmodyfikuj plik /opt/apigee/customer/application/management-server.properties i dodaj następujący wiersz. (Jeśli plik nie istnieje, utwórz go). 
    conf_virtualhost_virtual.host.allowed.protocol.list=TLSv1,TLSv1.1,TLSv1.2,TLSv1.3

    W tym pliku protokoły są rozdzielone przecinkami (i rozróżniana jest wielkość liter).

  2. Zapisz plik.
  3. Upewnij się, że plik należy do użytkownika apigee: 
    chown apigee:apigee /opt/apigee/customer/application/management-server.properties
  4. Ponownie uruchom serwer zarządzania: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
  5. Powtórz powyższe kroki na wszystkich węzłach serwera zarządzania, jeden po drugim.
  6. Utwórz (lub zaktualizuj istniejący) host wirtualny z tą właściwością. Pamiętaj, że protokoły są rozdzielone spacjami i rozróżniana jest wielkość liter. 
    "properties": {
    "property": [
      {
        "name": "ssl_protocols",
        "value": "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"
      }
    ]
}

    Poniżej znajduje się przykładowy host wirtualny z tą właściwością:

    {
  "hostAliases": [
    "api.myCompany,com",
  ],
  "interfaces": [],
  "listenOptions": [],
  "name": "secure",
  "port": "443",
  "retryOptions": [],
  "properties": {
    "property": [
      {
        "name": "ssl_protocols",
        "value": "TLSv1 TLSv1.1 TLSv1.2 TLSv1.3"
      }
    ]
  },
  "sSLInfo": {
    "ciphers": [],
    "clientAuthEnabled": "false",
    "enabled": "true",
    "ignoreValidationErrors": false,
    "keyAlias": "myCompanyKeyAlias",
    "keyStore": "ref://myCompanyKeystoreref",
    "protocols": []
  },
  "useBuiltInFreeTrialCert": false
}

    Testowanie TLS 1.3

    Aby przetestować TLS 1.3, wpisz to polecenie:

    curl -v --tlsv1.3 "https://api.myCompany,com/testproxy"

    Pamiętaj, że protokół TLS 1.3 można testować tylko na klientach, które go obsługują. Jeśli protokół TLS 1.3 nie jest włączony, zobaczysz komunikat o błędzie podobny do tego: 

    sslv3 alert handshake failure