配置安全网关 ip 表以允许来自 api connect 的连接答案

【问题标题】：configure the secure gateway ip tables to allow connections from api connect配置安全网关 ip 表以允许来自 api connect 的连接
【发布时间】：2016-08-05 05:39:15
【问题描述】：

我想使用 API Connect 和 Secure Gateway 从我的数据中心公开 Bluemix 中的一些 API，但我需要只有 API Connect 可以调用这些 API，因为我将使用这个服务来保护它们。我一直在尝试使用 Secure Gateway 目的地的 IP 表配置来执行此操作，但我不知道调用其他 API 的 IP 地址，有什么办法吗？

【问题讨论】：

Secure Gateway 有一个 API 可以动态确定和管理这些地址。您还应该考虑使用令牌，以便只有预期的各方才能使用通信渠道。您能否为您的问题添加详细信息？
我为数据库场景编写了一个教程，而不是 API Connect，但它可能会有所帮助github.com/data-henrik/Bluemix-onprem-data
我能够使用 Secure Gateway 的 API 动态创建 ip 表规则，但我的问题是我不知道 API Connect 调用后端时的 IP 地址服务。

标签： ibm-cloud secure-gateway api-management apiconnect

【解决方案1】：

您正在寻找实际处理每个 API 调用的 API 网关的 IP。但是，这不是一个好的访问控制机制，因为这些 IP 可能随时更改。

相反，为什么不在您的目标上启用 Mutual TLS，然后只需将证书和密钥上传到 API Connect 中的 TLS 配置文件？将该配置文件应用于您的策略程序集将有效地限制对安全网关的访问。

【讨论】：

谢谢，您有如何执行此操作的链接吗？这样做，网关客户端是否只接受来自 API Connect 的连接，我不希望第三方或其他应用程序调用我公开的后端服务。
您可能需要参考两个文档页面。这里：console.ng.bluemix.net/docs/services/SecureGateway/… 和这里 ibm.com/support/knowledgecenter/SSMNED_5.0.0/…。基本上，使用 HTTPS 创建您的 SG 目标：Mutual TLS，然后下载密钥 + 证书并将其上传到 API Connect 的 TLS 配置文件部分（通过第二个链接）。