Nowy interfejs Edge może próbować uzyskać dostęp do lokalnego adresu IP w kilku miejscach. Te lokalne adresy IP mogą odpowiadać zasobom prywatnym lub w inny sposób chronionym, które nie powinny być udostępniane użytkownikom zewnętrznym:
- Narzędzie Trace w nowym interfejsie Edge może wysyłać i odbierać żądania do interfejsu API do dowolnego określonego adresu URL. W niektórych scenariuszach wdrożenia, w których komponenty Edge są współużytkowane z innymi usługami wewnętrznymi, złośliwy użytkownik może nadużyć możliwości narzędzia Trace, wysyłając żądania do prywatnych adresów IP.
- Podczas tworzenia proxy interfejsu API na podstawie specyfikacji OpenAPI specyfikacja opisuje takie elementy interfejsu API jak ścieżka podstawowa, ścieżki i czasowniki, nagłówki i inne. W ramach specyfikacji złośliwy użytkownik może określić ścieżkę podstawową serwera proxy, która odnosi się do prywatnego adresu IP.
- Podczas tworzenia proxy interfejsu API na podstawie pliku WSDL znajdującego się na prywatnym adresie IP lub w sieci lokalnej.
Ze względów bezpieczeństwa nowy interfejs Edge domyślnie nie może odwoływać się do prywatnych adresów IP. Lista prywatnych adresów IP obejmuje:
- Adres typu loopback (127.0.0.1 lub localhost)
- Adresy lokalne witryny (w przypadku IPv4 – 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16)
- Dowolny adres lokalny (dowolny adres rozpoznawany jako localhost).
Jeśli chcesz zezwolić nowemu interfejsowi Edge na dostęp do prywatnych adresów IP, ustaw te tokeny:
- W przypadku narzędzia Trace właściwość
conf_uebe_trace_for_internal_addressesjest domyślnie wyłączona (false). Ustaw ją natrue, aby włączyć dostęp narzędzia Trace do prywatnych adresów IP. - W przypadku specyfikacji OpenAPI właściwość
conf_uebe_openapi_for_internal_addressesjest domyślnie wyłączona (false). Ustaw ją natrue, aby włączyć dostęp OpenAPI do prywatnych adresów IP. - W przypadku plików WSDL właściwość
conf_uebe_wsdl_for_internal_addressesjest domyślnie wyłączona (false). Ustaw ją natrue, aby włączyć pobieranie pliku WSDL z prywatnych adresów IP.
Aby ustawić te właściwości na true:
- Otwórz plik
management-ui.propertiesw edytorze. Jeśli plik nie istnieje, utwórz go:vi /opt/apigee/customer/application/management-ui.properties
- Ustaw te właściwości na
true:conf_uebe_trace_for_internal_addresses=true conf_uebe_openapi_for_internal_addresses=true conf_uebe_wsdl_for_internal_addresses=true
- Zapisz zmiany w pliku
management-ui.properties. - Upewnij się, że właścicielem pliku właściwości jest użytkownik
apigee:chown apigee:apigee /opt/apigee/customer/application/management-ui.properties
- Ponownie uruchom nowy interfejs Edge:
/opt/apigee/apigee-service/bin/apigee-service edge-management-ui restart
Nowy interfejs Edge może teraz uzyskiwać dostęp do lokalnych adresów IP.