מתן גישה לכתובות IP מקומיות בממשק המשתמש החדש של Edge

יש כמה מקומות שבהם ממשק המשתמש החדש של Edge עשוי לנסות לגשת לכתובת IP מקומית. כתובות ה-IP המקומיות האלה עשויות להתאים למשאבים פרטיים או מוגנים אחרים שלא אמורים להיות חשופים למשתמשים חיצוניים:

• הכלי Trace בממשק המשתמש החדש של Edge יכול לשלוח ולקבל בקשות API לכל כתובת URL שצוינה. בתרחישי פריסה מסוימים שבהם רכיבי Edge מתארחים יחד עם שירותים פנימיים אחרים, משתמש זדוני עשוי לנצל לרעה את הכוח של כלי המעקב על ידי שליחת בקשות לכתובות IP פרטיות.
• כשיוצרים שרת proxy ל-API ממפרט OpenAPI, המפרט מתאר רכיבים של API כמו נתיב הבסיס, הנתיבים והפעלים, הכותרות ועוד. כחלק מהמפרט, משתמש זדוני יכול לציין נתיב בסיס של שרת ה-proxy שמפנה לכתובת IP פרטית.
• כשיוצרים שרת proxy ל-API מקובץ WSDL שנמצא בכתובת IP פרטית או ברשת מקומית.

מטעמי אבטחה, כברירת מחדל, ממשק המשתמש החדש של Edge לא יכול להפנות לכתובות IP פרטיות. רשימת כתובות ה-IP הפרטיות כוללת:

• כתובת לולאה חוזרת (loopback) ‏(127.0.0.1 או localhost)
• כתובות מקומיות באתר (ל-IPv4‏ – 10.0.0.0/8, ‏ 172.16.0.0/12, ‏ 192.168.0.0/16)
• כל כתובת מקומית (כל כתובת שמובילה ל-localhost).

כדי לאפשר לממשק המשתמש החדש של Edge לגשת לכתובות IP פרטיות, צריך להגדיר את האסימונים הבאים:

• בכלי Trace, המאפיין conf_uebe_trace_for_internal_addresses מושבת (false) כברירת מחדל. מגדירים את הערך true כדי לאפשר לכלי Trace גישה לכתובות IP פרטיות.
• במפרטים של OpenAPI, המאפיין conf_uebe_openapi_for_internal_addresses מושבת (false) כברירת מחדל. מגדירים את הערך true כדי להפעיל גישת OpenAPI לכתובות IP פרטיות.
• בקובצי WSDL, המאפיין conf_uebe_wsdl_for_internal_addresses מושבת (false) כברירת מחדל. צריך להגדיר את המדיניות לערך true כדי לאפשר אחזור של קובץ WSDL מכתובות IP פרטיות.

כדי להגדיר את המאפיינים האלה בתור true:

1. פותחים את הקובץ management-ui.properties בכלי עריכה. אם הקובץ לא קיים, יוצרים אותו:

   vi /opt/apigee/customer/application/management-ui.properties

2. מגדירים את המאפיינים הבאים לערך true:

   conf_uebe_trace_for_internal_addresses=true
   conf_uebe_openapi_for_internal_addresses=true
   conf_uebe_wsdl_for_internal_addresses=true

3. שומרים את השינויים ב-management-ui.properties.
4. מוודאים שהקובץ properties נמצא בבעלות המשתמש apigee:

   chown apigee:apigee /opt/apigee/customer/application/management-ui.properties

5. מפעילים מחדש את ממשק המשתמש החדש של Edge:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-ui restart

עכשיו לממשק המשתמש החדש של Edge יש גישה לכתובות IP מקומיות.