การตั้งค่าโปรโตคอล TLS สําหรับเราเตอร์และผู้ประมวลผลข้อความ

โดยค่าเริ่มต้น เราเตอร์และ Message Processor จะรองรับ TLS เวอร์ชัน 1.0, 1.1, 1.2 อย่างไรก็ตาม คุณอาจต้องการจำกัดโปรโตคอลที่ Router และ Message Processor รองรับ เอกสารนี้อธิบายวิธีตั้งค่าโปรโตคอลทั่วโลกในเราเตอร์และ Message Processor

สำหรับเราเตอร์ คุณยังตั้งค่าโปรโตคอลสำหรับโฮสต์เสมือนแต่ละรายการได้ด้วย ดูข้อมูลเพิ่มเติมได้ที่หัวข้อการกำหนดค่าการเข้าถึง TLS ไปยัง API สำหรับ Private Cloud

สำหรับ Message Processor คุณสามารถตั้งค่าโปรโตคอลสำหรับ TargetEndpoint แต่ละรายการได้ ดูข้อมูลเพิ่มเติมได้ที่การกำหนดค่า TLS จาก Edge ไปยังแบ็กเอนด์ (Cloud และ Private Cloud)

ตั้งค่าโปรโตคอล TLS บนเราเตอร์

หากต้องการตั้งค่าโปรโตคอล TLS ในเราเตอร์ ให้ตั้งค่าพร็อพเพอร์ตี้ในไฟล์ router.properties ดังนี้

1. เปิดไฟล์ router.properties ในเครื่องมือแก้ไข หากไม่มีไฟล์ ให้สร้างไฟล์โดยทำดังนี้

   vi /opt/apigee/customer/application/router.properties

2. ตั้งค่าพร็อพเพอร์ตี้ตามต้องการ ดังนี้

   # Possible values are space-delimited list of: TLSv1 TLSv1.1 TLSv1.2
   conf_load_balancing_load.balancing.driver.server.ssl.protocols=TLSv1.2

3. บันทึกการเปลี่ยนแปลง
4. ตรวจสอบว่าไฟล์พร็อพเพอร์ตี้เป็นของผู้ใช้ "apigee" โดยทำดังนี้

    chown apigee:apigee /opt/apigee/customer/application/router.properties

5. รีสตาร์ทเราเตอร์

   /opt/apigee/apigee-service/bin/apigee-service edge-router restart

6. ตรวจสอบว่าโปรโตคอลได้รับการอัปเดตอย่างถูกต้องโดยตรวจสอบไฟล์ NGINX /opt/nginx/conf.d/0-default.conf ดังนี้

   cat /opt/nginx/conf.d/0-default.conf

   ตรวจสอบว่าค่าของ ssl_protocols คือ TLSv1.2

7. หากใช้ TLS แบบ 2 ทางกับโฮสต์เสมือน คุณต้องตั้งค่าโปรโตคอล TLS ในโฮสต์เสมือนตามที่อธิบายไว้ในหัวข้อการกำหนดค่าการเข้าถึง TLS ไปยัง API สำหรับ Private Cloud ด้วย

ตั้งค่าโปรโตคอล TLS ใน Message Processor

หากต้องการตั้งค่าโปรโตคอล TLS ใน Message Processor ให้ตั้งค่าพร็อพเพอร์ตี้ในไฟล์ message-processor.properties ดังนี้

1. เปิดไฟล์ message-processor.properties ในเครื่องมือแก้ไข หากไม่มีไฟล์ ให้สร้างไฟล์โดยทำดังนี้

   vi /opt/apigee/customer/application/message-processor.properties

2. กำหนดค่าพร็อพเพอร์ตี้โดยใช้ไวยากรณ์ต่อไปนี้

   # Possible values are a comma-delimited list of TLSv1, TLSv1.1, and TLSv1.2
   conf/system.properties+https.protocols=[TLSv1][,TLSv1.1][,TLSv1.2]
   # Possible values are a comma-delimited list of SSLv3, TLSv1, TLSv1.1, TLSv1.2
   # SSLv3 is required
   conf_jvmsecurity_jdk.tls.disabledAlgorithms=SSLv3[,TLSv1][,TLSv1.1][,TLSv1.2]
   
   # Specify the ciphers that the Message Processor supports. (You must separate ciphers with a comma.):
   conf_message-processor-communication_local.http.ssl.ciphers=cipher[,...]

   ค่าที่เป็นไปได้สำหรับ conf_message-processor-communication_local.http.ssl.ciphers มีดังนี้

   • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
   • TLS_RSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384
   • TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

   เช่น

   conf/system.properties+https.protocols=TLSv1.2
   conf_jvmsecurity_jdk.tls.disabledAlgorithms=SSLv3, TLSv1, TLSv1.1
   conf_message-processor-communication_local.http.ssl.ciphers=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

   ดูรายการพร็อพเพอร์ตี้ที่เกี่ยวข้องทั้งหมดได้ที่การกำหนดค่า TLS ระหว่างเราเตอร์กับ Message Processor

3. บันทึกการเปลี่ยนแปลง
4. ตรวจสอบว่าไฟล์พร็อพเพอร์ตี้เป็นของผู้ใช้ "apigee" โดยทำดังนี้

   chown apigee:apigee /opt/apigee/customer/application/message-processor.properties

5. รีสตาร์ท Message Processor โดยทำดังนี้

   /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

6. หากคุณใช้ TLS แบบ 2 ทางกับแบ็กเอนด์ ให้ตั้งค่าโปรโตคอล TLS ในโฮสต์เสมือนตามที่อธิบายไว้ในการกำหนดค่า TLS จาก Edge ไปยังแบ็กเอนด์ (ระบบคลาวด์และระบบคลาวด์ส่วนตัว)