إعداد بروتوكول بروتوكول أمان طبقة النقل (TLS) لجهاز التوجيه ومعالج الرسائل

يتوافق "الموجّه" و"معالج الرسائل" تلقائيًا مع الإصدارات 1.0 و1.1 و1.2 من بروتوكول أمان طبقة النقل (TLS). ومع ذلك، قد ترغب في تحديد البروتوكولات التي يدعمها جهاز التوجيه ومعالج الرسائل. يوضّح هذا المستند كيفية ضبط البروتوكول على مستوى العالم على جهاز التوجيه ومعالج الرسائل.

بالنسبة إلى "الموجّه"، يمكنك أيضًا ضبط البروتوكول للمضيفين الافتراضيين الفرديين. لمزيد من المعلومات، يُرجى الاطّلاع على ضبط وصول بروتوكول أمان طبقة النقل (TLS) إلى واجهة برمجة تطبيقات لـ Private Cloud.

بالنسبة إلى معالج الرسائل، يمكنك ضبط البروتوكول لنقطة نهاية مستهدفة فردية. لمزيد من المعلومات، يُرجى الاطّلاع على ضبط بروتوكول أمان طبقة النقل (TLS) من Edge إلى الخلفية (Cloud وPrivate Cloud).

ضبط بروتوكول أمان طبقة النقل (TLS) على جهاز التوجيه

لضبط بروتوكول TLS على جهاز التوجيه، اضبط السمات في ملف router.properties:

1. افتح ملف router.properties في محرِّر. إذا لم يكن الملف متوفّرًا، أنشِئه:

   vi /opt/apigee/customer/application/router.properties

2. اضبط السمات على النحو المطلوب:

   # Possible values are space-delimited list of: TLSv1 TLSv1.1 TLSv1.2
   conf_load_balancing_load.balancing.driver.server.ssl.protocols=TLSv1.2

3. احفظ التغييرات.
4. تأكَّد من أنّ ملف المواقع يملكه مستخدم "apigee":

    chown apigee:apigee /opt/apigee/customer/application/router.properties

5. أعِد تشغيل جهاز التوجيه:

   /opt/apigee/apigee-service/bin/apigee-service edge-router restart

6. تأكَّد من تعديل البروتوكول بشكل صحيح من خلال فحص ملف NGINX /opt/nginx/conf.d/0-default.conf:

   cat /opt/nginx/conf.d/0-default.conf

   تأكَّد من أنّ قيمة ssl_protocols هي TLSv1.2.

7. في حال استخدام بروتوكول أمان طبقة النقل (TLS) الثنائي الاتجاه مع مضيف افتراضي، يجب أيضًا ضبط بروتوكول أمان طبقة النقل (TLS) في المضيف الافتراضي كما هو موضّح في ضبط وصول بروتوكول أمان طبقة النقل (TLS) إلى واجهة برمجة تطبيقات لـ Private Cloud.

ضبط بروتوكول أمان طبقة النقل (TLS) على معالج الرسائل

لضبط بروتوكول TLS على "معالج الرسائل"، اضبط السمات في ملف message-processor.properties:

1. افتح ملف message-processor.properties في أحد برامج التحرير. إذا لم يكن الملف متوفّرًا، أنشِئه:

   vi /opt/apigee/customer/application/message-processor.properties

2. اضبط السمات باستخدام البنية التالية:

   # Possible values are a comma-delimited list of TLSv1, TLSv1.1, and TLSv1.2
   conf/system.properties+https.protocols=[TLSv1][,TLSv1.1][,TLSv1.2]
   # Possible values are a comma-delimited list of SSLv3, TLSv1, TLSv1.1, TLSv1.2
   # SSLv3 is required
   conf_jvmsecurity_jdk.tls.disabledAlgorithms=SSLv3[,TLSv1][,TLSv1.1][,TLSv1.2]
   
   # Specify the ciphers that the Message Processor supports. (You must separate ciphers with a comma.):
   conf_message-processor-communication_local.http.ssl.ciphers=cipher[,...]

   القيم المحتمَلة لـ conf_message-processor-communication_local.http.ssl.ciphers هي:

   • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
   • TLS_RSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384
   • TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

   على سبيل المثال:

   conf/system.properties+https.protocols=TLSv1.2
   conf_jvmsecurity_jdk.tls.disabledAlgorithms=SSLv3, TLSv1, TLSv1.1
   conf_message-processor-communication_local.http.ssl.ciphers=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

   للحصول على قائمة كاملة بالسمات ذات الصلة، يُرجى الاطّلاع على ضبط بروتوكول أمان طبقة النقل (TLS) بين جهاز توجيه ومعالج رسائل.

3. احفظ التغييرات.
4. تأكَّد من أنّ ملف المواقع يملكه مستخدم "apigee":

   chown apigee:apigee /opt/apigee/customer/application/message-processor.properties

5. أعِد تشغيل معالج الرسائل:

   /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

6. إذا كنت تستخدم بروتوكول أمان طبقة النقل (TLS) الثنائي الاتجاه مع الخلفية، اضبط بروتوكول أمان طبقة النقل (TLS) في المضيف الافتراضي كما هو موضّح في ضبط بروتوكول أمان طبقة النقل (TLS) من Edge إلى الخلفية (Cloud وPrivate Cloud).