Configurar la conexión avanzada para AEM as a Cloud Service

Este artículo tiene como objetivo presentarle las diferentes funciones de red avanzadas de AEM as a Cloud Service, incluido el aprovisionamiento de autoservicio de VPN, puertos no estándar y direcciones IP de salida dedicadas.

Información general

AEM as a Cloud Service ofrece varios tipos de funciones de red avanzadas, que los clientes pueden configurar mediante las API de Cloud Manager. Entre estas características se incluyen:

• Salida de puerto flexible: configure AEM as a Cloud Service para permitir el tráfico saliente desde puertos no estándar
• Dirección IP de salida dedicada: configure el tráfico de AEM as a Cloud Service para que se origine desde una IP única
• Red privada virtual (VPN): haga seguro el tráfico entre la infraestructura de un cliente y AEM as a Cloud Service, para clientes que tienen tecnología VPN

Este artículo describe cada una de estas opciones en detalle, incluido cómo se pueden configurar. Como estrategia de configuración general, el punto de conexión de API /networkInfrastructures se invoca en el nivel de programa para declarar el tipo deseado de red avanzada, seguido de una llamada a la función /advancedNetworking para cada entorno para habilitar la infraestructura y configurar parámetros específicos del entorno. Consulte los puntos de conexión adecuados en la documentación de la API de Cloud Manager para cada sintaxis formal, así como las solicitudes y respuestas de ejemplo.

Un programa puede proporcionar una única variación avanzada de red. Al decidir entre una salida de puerto flexible y una dirección IP de salida dedicada, se recomienda elegir una salida de puerto flexible si no se requiere una dirección IP específica, ya que Adobe puede optimizar el rendimiento del tráfico de salida de puerto flexible.

Salida de puerto flexible

Esta función de red avanzada le permite configurar AEM as a Cloud Service para recibir tráfico a través de puertos que no sean HTTP (puerto 80) y HTTPS (puerto 443), que están abiertos de forma predeterminada.

Consideraciones

La salida de puerto flexible es la opción recomendada si no necesita VPN ni una dirección IP de salida dedicada, ya que el tráfico que no depende de una salida dedicada puede obtener un mayor rendimiento.

Configuración

Una vez por programa, el punto final de POST /program/<programId>/networkInfrastructures se invoca, pasando simplemente el valor de flexiblePortEgress para el parámetro kind y la región. El punto final responde con la variable network_id, así como otra información, incluido el estado. Se puede hacer referencia en los documentos de API al conjunto completo de parámetros y la sintaxis exacta, así como a información importante como los parámetros que no se pueden cambiar posteriormente.

Una vez realizada la llamada, la infraestructura de red tarda aproximadamente 15 minutos en aprovisionarse. Una llamada al punto de conexión de GET de infraestructura de red de Cloud Manager mostraría el estado “listo”.

Si la configuración de salida de puerto flexible con alcance de programa está lista, el punto final PUT /program/<program_id>/environment/<environment_id>/advancedNetworking debe invocarse por entorno para habilitar la red en el nivel de entorno y para declarar opcionalmente cualquier regla de reenvío de puerto. Los parámetros se pueden configurar por entorno para ofrecer flexibilidad.

Las reglas de reenvío de puertos deben declararse para cualquier puerto de destino que no sea 80/443, pero solo si no utiliza el protocolo http o https,
especificando el conjunto de hosts de destino (nombres o IP, y con puertos). Para cada host de destino, los clientes deben asignar el puerto de destino deseado a un puerto desde 30000 hasta 30999.

La API debe responder en solo unos segundos e indicar un estado de actualización y, después de unos 10 minutos, el método GET del punto de conexión debe indicar que la red avanzada está habilitada.

Actualizaciones

La configuración de nivel de programa se puede actualizar invocando el punto de conexión PUT /api/program/<program_id>/network/<network_id> y surte efecto en unos minutos.

Las reglas de reenvío de puertos por entorno se pueden actualizar invocando de nuevo el punto de conexión PUT /program/{programId}/environment/{environmentId}/advancedNetworking. Asegúrese de incluir el conjunto completo de parámetros de configuración en lugar de un subconjunto.

Desactivación de salida de puerto flexible

Para desactivar la salida de puerto flexible desde un entorno particular, invoque DELETE [/program/{programId}/environment/{environmentId}/advancedNetworking]().

Para obtener más información sobre las API, consulte la Documentación de la API de Cloud Manager.

Enrutamiento del tráfico

Para el tráfico HTTP o HTTPS que va a puertos que no sean 80 o 443, un proxy debe configurarse mediante las siguientes variables de entorno de host y puerto:

• para HTTP: AEM_PROXY_HOST / AEM_HTTP_PROXY_PORT (de forma predeterminada, proxy.tunnel:3128 en versiones de AEM < 6094)
• para HTTPS: AEM_PROXY_HOST / AEM_HTTPS_PROXY_PORT (de forma predeterminada, proxy.tunnel:3128 en versiones de AEM < 6094)

Por ejemplo, este es un ejemplo de código para enviar una solicitud a www.example.com:8443:

String url = "www.example.com:8443"
String proxyHost = System.getenv().getOrDefault("AEM_PROXY_HOST", "proxy.tunnel");
int proxyPort = Integer.parseInt(System.getenv().getOrDefault("AEM_HTTPS_PROXY_PORT", "3128"));
HttpClient client = HttpClient.newBuilder()
      .proxy(ProxySelector.of(new InetSocketAddress(proxyHost, proxyPort)))
      .build();

HttpRequest request = HttpRequest.newBuilder().uri(URI.create(url)).build();
HttpResponse<String> response = client.send(request, BodyHandlers.ofString());

Si utiliza bibliotecas de red Java no estándar, configure los proxies con las propiedades anteriores para todo el tráfico.

El tráfico no HTTP/S con destinos a través de puertos declarados en el parámetro portForwards debe hacer referencia a una propiedad denominada AEM_PROXY_HOST, junto con el puerto asignado. Por ejemplo:

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

La siguiente tabla describe el enrutamiento de tráfico:

Configuración de Apache/Dispatcher

La directiva del nivel de AEM Cloud Service Apache/Dispatcher mod_proxy puede configurarse con las propiedades descritas anteriormente.

ProxyRemote "http://example.com:8080" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "http://example.com:8080"
ProxyPassReverse "/somepath" "http://example.com:8080"

SSLProxyEngine on //needed for https backends

ProxyRemote "https://example.com:8443" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "https://example.com:8443"
ProxyPassReverse "/somepath" "https://example.com:8443"

Dirección IP de salida dedicada

Ventajas

Esta dirección IP dedicada puede mejorar la seguridad al integrarse con proveedores de SaaS (como un proveedor CRM) u otras integraciones fuera de AEM as a Cloud Service que ofrecen una lista de permitidos de direcciones IP. Al añadir la dirección IP dedicada a la lista de permitidos, se garantiza que solo el tráfico de AEM Cloud Service del cliente pueda fluir al servicio externo. Esto se suma al tráfico de cualquier otra IP permitida.

Sin la función de dirección IP dedicada habilitada, el tráfico proveniente de AEM as a Cloud Service fluye a través de un conjunto de IP compartidas con otros clientes.

Configuración

La configuración de la dirección IP de salida dedicada es idéntica a la salida de puerto flexible.

La principal diferencia es que el tráfico siempre saldrá de una IP única y dedicada. Para encontrar esa IP, utilice una resolución DNS para identificar la dirección IP asociada a p{PROGRAM_ID}.external.adobeaemcloud.com. No se espera que la dirección IP cambie, pero si necesita cambiarla en el futuro, se proporcionará una notificación avanzada.

Además de las reglas de enrutamiento admitidas por la salida de puerto flexible en el punto final PUT /program/<program_id>/environment/<environment_id>/advancedNetworking, la dirección IP de salida dedicada admite un parámetro nonProxyHosts. Esto le permite declarar un conjunto de hosts que deben enrutarse a través de un intervalo de direcciones IP compartidas en lugar de la IP dedicada, lo que puede resultar útil, ya que la salida de tráfico a través de direcciones IP compartidas puede optimizarse aún más. Las direcciones URL nonProxyHost pueden seguir los patrones de example.com o *.example.com, donde el comodín solo se admite al inicio del dominio.

Al decidir entre una salida de puerto flexible y una dirección IP de salida dedicada, los clientes deben elegir una salida de puerto flexible si no se requiere una dirección IP específica, ya que Adobe puede optimizar el rendimiento del tráfico de salida de puerto flexible.

Desactivación de la dirección IP de salida dedicada

Para desactivar la dirección IP de salida dedicada de un entorno en particular, invocar DELETE [/program/{programId}/environment/{environmentId}/advancedNetworking]().

Para obtener más información sobre las API, consulte la Documentación de la API de Cloud Manager.

Enrutamiento del tráfico

El tráfico HTTP o HTTPS pasará a través de un proxy preconfigurado, siempre que utilicen propiedades estándar del sistema Java para las configuraciones de proxy.

El tráfico no HTTP/S con destinos a través de puertos declarados en el parámetro portForwards debe hacer referencia a una propiedad denominada AEM_PROXY_HOST, junto con el puerto asignado. Por ejemplo:

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

Uso de las funciones

La función es compatible con el código Java o las bibliotecas que resultan en tráfico saliente, siempre que utilicen propiedades estándar del sistema Java para las configuraciones de proxy. En la práctica, esto debería incluir las bibliotecas más comunes.

A continuación se muestra un ejemplo de código:

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();
  URLConnection connection = finalUrl.openConnection();
  connection.addRequestProperty("Accept", "application/json");
  connection.addRequestProperty("X-API-KEY", apiKey);

  try (InputStream responseStream = connection.getInputStream(); Reader responseReader = new BufferedReader(new InputStreamReader(responseStream, Charsets.UTF_8))) {
    return new JSONObject(new JSONTokener(responseReader));
  }
}

Algunas bibliotecas requieren una configuración explícita para utilizar las propiedades estándar del sistema Java en las configuraciones de proxy.

Ejemplo con Apache HttpClient, que requiere llamadas explícitas a
HttpClientBuilder.useSystemProperties() o usar
HttpClients.createSystem():

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();

  HttpClient httpClient = HttpClientBuilder.create().useSystemProperties().build();
  HttpGet request = new HttpGet(finalUrl.toURI());
  request.setHeader("Accept", "application/json");
  request.setHeader("X-API-KEY", apiKey);
  HttpResponse response = httpClient.execute(request);
  String result = EntityUtils.toString(response.getEntity());
}

La misma IP dedicada se aplica a todos los programas de un cliente en su organización de Adobe y a todos los entornos de cada uno de sus programas. Se aplica tanto a los servicios de creación como de publicación.

Consideraciones sobre la depuración

Para validar que el tráfico es realmente saliente en la dirección IP dedicada esperada, compruebe los registros en el servicio de destino, si está disponible. De lo contrario, puede resultar útil llamar a un servicio de depuración como https://ifconfig.me/IP, que devolverá la dirección IP que realiza la llamada.

Clientes de direcciones de salida dedicadas heredadas

Si se le ha aprovisionado con una IP de salida dedicada antes del 30 de septiembre de 2021, su función de IP de salida dedicada solo admite puertos HTTP y HTTPS.
Esto incluye HTTP/1.1 y HTTP/2 cuando se cifran. Además, un extremo de salida dedicado puede hablar con cualquier destino solo a través de HTTP/HTTPS en los puertos 80/443 respectivamente.

Red privada virtual (VPN)

Una VPN permite conectarse a una infraestructura o centro de datos local desde la creación, publicación o previsualización. Por ejemplo, para los medios de acceso a una base de datos.

También permite conectarse a proveedores de SaaS, como un proveedor CRM que admite VPN o conectarse desde una red corporativa a AEM as a Cloud Service para crear, previsualizar o publicar.

La mayoría de los dispositivos VPN con tecnología IPSec son compatibles. Consulte la lista de dispositivos en esta página, según la información de la columna Instrucciones de configuración de RouteBased. Configure el dispositivo como se describe en la tabla.

Consideraciones generales

• La compatibilidad se limita a una única conexión VPN
• La capacidad de reenvío de Splunk no es posible a través de una conexión VPN.

Creación

Una vez por programa, el punto final POST /program/<programId>/networkInfrastructures se invoca, pasando una carga útil de información de configuración que incluye: el valor de “vpn” para el parámetro kind, región, espacio de dirección (lista de CIDR; tenga en cuenta que esto no se puede modificar más adelante), resolución de DNS (para resolver nombres en la red del cliente) e información de conexión VPN, como configuración de puerta de enlace, clave VPN compartida y política de seguridad IP. El punto final responde con network_id, así como otra información, incluido el estado. Se debe hacer referencia al conjunto completo de parámetros y a la sintaxis exacta en la Documentación de la API.

Una vez realizada la llamada, la infraestructura de red tarda normalmente entre 45 y 60 minutos en aprovisionarse. Se puede llamar al método GET de la API para devolver el estado actual, que finalmente cambiará de creating a ready. Consulte la documentación de la API para todos los estados.

Si la configuración de VPN con alcance de programa está lista, el PUT /program/<program_id>/environment/<environment_id>/advancedNetworking punto de conexión debe invocarse por entorno para habilitar la red en el nivel de entorno y para declarar cualquier regla de reenvío de puerto. Los parámetros se pueden configurar por entorno para ofrecer flexibilidad.

Consulte la Documentación de la API para obtener más información.

Las reglas de reenvío de puertos deben declararse para cualquier tráfico TCP de protocolo no HTTP/S que deba enrutarse a través de la VPN especificando el conjunto de hosts de destino (nombres o IP, y con puertos). Para cada host de destino, los clientes deben asignar el puerto de destino deseado a un puerto entre 30000 y 30999, donde los valores deben ser únicos en los entornos del programa. Los clientes también pueden enumerar un conjunto de direcciones URL en el parámetro nonProxyHosts, que declara la dirección URL para la que el tráfico debe evitar el enrutamiento VPN, pero en su lugar a través de un intervalo IP compartido. Sigue los patrones de example.com o *.example.com, donde el carácter comodín solo se admite al principio del dominio.

La API debe responder en solo unos segundos, indicando un estado de updating y después de unos 10 minutos, una llamada al punto de conexión GET de entorno de Cloud Manager mostraría un estado de ready, con lo que indica que se ha aplicado la actualización al entorno.

Tenga en cuenta que aunque no haya reglas de enrutamiento de tráfico de entorno (hosts o bypass), PUT /program/<program_id>/environment/<environment_id>/advancedNetworking debe llamarse, solo con una carga útil vacía.

Actualización de la VPN

La configuración de VPN en el nivel de programa se puede actualizar invocando el punto de conexión PUT /api/program/<program_id>/network/<network_id>.

Tenga en cuenta que el espacio de direcciones no se puede cambiar después del aprovisionamiento de VPN inicial. Si es necesario, póngase en contacto con Asistencia al cliente. Además, el parámetro kind (flexiblePortEgress, dedicatedEgressIP o VPN) no se puede modificar. Póngase en contacto con la asistencia al cliente para obtener ayuda; describa lo que ya se ha creado y el motivo del cambio.

Las reglas de enrutamiento por entorno se pueden actualizar invocando de nuevo el punto de conexión PUT /program/{programId}/environment/{environmentId}/advancedNetworking. Asegúrese de incluir el conjunto completo de parámetros de configuración en lugar de un subconjunto. Las actualizaciones de entorno suelen tardar entre 5 y 10 minutos en aplicarse.

Desactivación de la VPN

Para desactivar la VPN para un entorno en particular, invoque DELETE /program/{programId}/environment/{environmentId}/advancedNetworking. Más detalles en la Documentación de la API.

Enrutamiento del tráfico

La siguiente tabla describe el enrutamiento de tráfico.

Dominios útiles para la configuración

El diagrama siguiente proporciona una representación visual de un conjunto de dominios e IP asociadas que son útiles para la configuración y el desarrollo. La tabla siguiente debajo del diagrama describe esos dominios y direcciones IP.

Restricción de VPN a conexiones de ingesta

Si desea permitir solo el acceso VPN a AEM, las listas de permitidos de entorno se pueden configurar en Cloud Manager para que solo la IP definida por p{PROGRAM_ID}.external.adobeaemcloud.com pueda hablar con el entorno. Esto se puede hacer de la misma manera que cualquier otra lista de permitidos basada en IP en Cloud Manager.

Si las reglas deben basarse en rutas, utilice directivas HTTP estándar en el nivel de Dispatcher para denegar o permitir determinadas IP. Deben asegurarse de que las rutas deseadas no se puedan almacenar en caché en la CDN para que la solicitud siempre llegue al origen.

Ejemplo de configuración Httpd

Order deny,allow
Deny from all
Allow from 192.168.0.1
Header always set Cache-Control private

Eliminación de la infraestructura de red de un programa

Hasta eliminar la infraestructura de red de un programa, invocar DELETE /program/{program ID}/networkinfrastructure/{networkinfrastructureID}.

Transición entre tipos de redes avanzadas

Es posible migrar entre tipos de red avanzados siguiendo el siguiente procedimiento:

• deshabilitar las redes avanzadas en todos los entornos
• elimine la infraestructura de red avanzada
• volver a crear las infraestructuras de red avanzadas con los valores correctos
• reactivar redes avanzadas de nivel de entorno

Si el tiempo de inactividad puede causar un impacto comercial significativo, póngase en contacto con el servicio de atención al cliente para obtener ayuda, describiendo lo que ya se ha creado y el motivo del cambio.

Recursos de Business.Adobe.com