تنظیم پروتکل TLS برای «مسیریاب» و «پردازشگر پیام»

به‌طور پیش‌فرض، «مسیریاب» و «پردازشگر پیام» از پروتکل‌های «امنیت لایه انتقال» نسخه ۱.۰، ۱.۱، ۱.۲ پشتیبانی می‌کنند. براساس سیستم‌عامل و نسخه Java، مسیریاب و پردازشگر پیام شما ممکن است از پروتکل TLS نسخه 1.3 نیز پشتیبانی کنند. بااین‌حال، ممکن است بخواهید برخی‌از پروتکل‌های پایین‌تر را براساس نیازها و رویه‌های امنیتی خود محدود کنید. این سند نحوه تنظیم پروتکل به‌صورت جهانی در «رهیاب» و «پردازشگر پیام» را شرح می‌دهد.

برای «مسیریاب»، می‌توانید پروتکل را برای میزبان‌های مجازی جداگانه نیز تنظیم کنید. برای اطلاعات بیشتر، پیکربندی دسترسی «امنیت لایه انتقال» به میانای برنامه‌سازی کاربردی برای «ابر خصوصی» را ببینید.

برای «پردازشگر پیام»، می‌توانید پروتکل را برای هر TargetEndpoint به‌طور جداگانه تنظیم کنید. برای اطلاعات بیشتر، پیکربندی TLS از Edge تا زیرینه (Cloud و Cloud خصوصی) را ببینید.

پروتکل TLS را در «مسیریاب» تنظیم کنید

برای تنظیم پروتکل TLS در «رهیاب»، ویژگی‌ها را در فایل router.properties تنظیم کنید:

1. فایل router.properties را در ویرایشگر باز کنید. اگر فایل وجود ندارد، آن را ایجاد کنید:

   vi /opt/apigee/customer/application/router.properties

2. خصوصیت‌ها را به دلخواه تنظیم کنید:

   # Possible values are space-delimited list of: TLSv1 TLSv1.1 TLSv1.2
   conf_load_balancing_load.balancing.driver.server.ssl.protocols=TLSv1.2

3. تغییرات را ذخیره کنید.
4. مطمئن شوید که فایل خصوصیات متعلق به کاربر «apigee» است:

    chown apigee:apigee /opt/apigee/customer/application/router.properties

5. بازراه‌اندازی رهیاب:

   /opt/apigee/apigee-service/bin/apigee-service edge-router restart

6. با بررسی فایل Nginx، تأیید کنید که پروتکل به‌درستی به‌روز شده است /opt/nginx/conf.d/0-default.conf:

   cat /opt/nginx/conf.d/0-default.conf

   مطمئن شوید که مقدار ssl_protocols روی TLSv1.2 تنظیم شده باشد.

7. اگر از «امنیت لایه انتقال» دوطرفه با میزبان مجازی استفاده می‌کنید، باید پروتکل «امنیت لایه انتقال» را نیز در میزبان مجازی تنظیم کنید، همان‌طور که در پیکربندی دسترسی «امنیت لایه انتقال» به میانای برنامه‌سازی کاربردی برای «ابر خصوصی» توضیح داده شده است.

پروتکل TLS را در «پردازنده پیام» تنظیم کنید

برای تنظیم پروتکل TLS در «پردازشگر پیام»، ویژگی‌ها را در فایل message-processor.properties تنظیم کنید:

1. فایل message-processor.properties را در ویرایشگر باز کنید. اگر فایل وجود ندارد، آن را ایجاد کنید:

   vi /opt/apigee/customer/application/message-processor.properties

2. خصوصیات را بااستفاده از نحو زیر پیکربندی کنید:

   # Possible values are a comma-delimited list of TLSv1, TLSv1.1, and TLSv1.2
   conf/system.properties+https.protocols=[TLSv1][,TLSv1.1][,TLSv1.2]
   # Possible values are a comma-delimited list of SSLv3, TLSv1, TLSv1.1, TLSv1.2
   # SSLv3 is required
   conf_jvmsecurity_jdk.tls.disabledAlgorithms=SSLv3[,TLSv1][,TLSv1.1][,TLSv1.2]
   
   # Specify the ciphers that the Message Processor supports. (You must separate ciphers with a comma.):
   conf_message-processor-communication_local.http.ssl.ciphers=cipher[,...]

   مقادیر ممکن برای conf_message-processor-communication_local.http.ssl.ciphers عبارت‌اند از:

   • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
   • TLS_RSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384
   • TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

   برای مثال:

   conf/system.properties+https.protocols=TLSv1.2
   conf_jvmsecurity_jdk.tls.disabledAlgorithms=SSLv3, TLSv1, TLSv1.1
   conf_message-processor-communication_local.http.ssl.ciphers=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

   برای فهرست کامل دارایی‌های مرتبط، به پیکربندی «امنیت لایه انتقال» بین «مسیریاب» و «پردازشگر پیام» مراجعه کنید.

3. تغییرات را ذخیره کنید.
4. مطمئن شوید که فایل خصوصیات متعلق به کاربر «apigee» است:

   chown apigee:apigee /opt/apigee/customer/application/message-processor.properties

5. بازراه‌اندازی «پردازشگر پیام»:

   /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

6. اگر از «امنیت لایه انتقال» دوطرفه با زیرینه استفاده می‌کنید، پروتکل «امنیت لایه انتقال» را در میزبان مجازی همان‌طور که در پیکربندی «امنیت لایه انتقال» از Edge تا زیرینه (Cloud و Private Cloud) توضیح داده شده است تنظیم کنید.