Microgateway 4.8
Der neue Release bringt mehrere sicherheitsrelevante Erweiterungen: mutual TLS (mTLS) zwischen Client und Microgateway mit fein granularer Autorisierung, mTLS zwischen Microgateway und Backend sowie DoS-Schutz für den Session Store. Anpassbare Fehlerseiten verbessern zusätzlich das Benutzererlebnis.
Kubernetes hat die Retirement-Phase des weit verbreiteten Ingress NGINX Controllers bis März 2026 angekündigt. Mit Support für den Nachfolger, Kubernetes Gateway API, und umfassenden Funktionalitäten ist Airlock Microgateway bereits heute die zukunftssichere Alternative.
Kubernetes Ingress ist eingefroren und Ingress NGINX läuft aus – Microgateway ist bereit
Die Kubernetes SIG Network und das Security Response Committee haben die Einstellung des Ingress NGINX Controllers bis März 2026 angekündigt (Quelle: Kubernetes-Blog).
Die Zukunft heisst Kubernetes Gateway API.
Airlock Microgateway hat die offiziellen Conformance-Tests bereits mit Version 4.4 bestanden und seither sein Funktionsspektrum deutlich ausgebaut. Wir beteiligen uns aktiv an der Weiterentwicklung des Standards. Gemeinsam mit Herstellern wie Google, Microsoft, Red Hat und Isovalent bringen wir unsere Expertise ein, unter anderem beim neuen BackendTLSPolicy-Feature in Gateway API 1.4 (siehe Gateway API 1.4 Release Ankündigung).
Airlock Microgateway ist die bisher einzige Kubernetes-native WAAP-Lösung mit:
- Gateway-API-Support
- nativer OIDC-RP-Integration
- starken Deny Rules
- Red Hat OpenShift Zertifizierung
Kurz: eine zukunftssichere Plattform für API- und Microservice-Security.
Client Certificate Authentication and Authorization (mTLS)
Der Zugriff von und zu Microgateway kann mit einem Client Zertifikat abgesichert werden. Das bedeutet, dass sich nicht nur der Server ausweisen muss, sondern auch der Client.
Client-Verbindungen
- Clients können neu im TLS Handshake aufgefordert werden, sich mit einem Zertifikat auszuweisen.
- Zugriffe lassen sich Pfad-spezifisch anhand von Zertifikatsinformationen gewähren.
- Zertifikatsattribute (z. B. E-Mail-Adressen) können extrahiert und sicher an die Backend-Server weitergegeben werden.
Backend-Verbindungen
- Microgateway kann sich gegenüber Backends mittels hinterlegtem Client-Zertifikat ausweisen.
- Backends können so sicherstellen, dass Zugriffe ausschliesslich über Microgateway erfolgen.
Damit ist die Verbindung von Client bis zum geschützten Dienst mit Zertifikaten abgesichert
DoS-Schutz für Session Handling
Ein neuer Schutzmechanismus verhindert, dass ein Client eine übermässige Anzahl Sessions erzeugt und so legitime Nutzer beeinträchtigt. Der Schutz greift in folgenden Situationen:
- fehlerhafte Clients, die Sessions nicht korrekt verwalten und dadurch viele Sessions erstellen
- ungeduldige Anwender, die durch ihr Browser-Verhalten viele Sessions generieren
- DoS-Angriffe, die gezielt zu viele Sessions erstellen
Die Limite kann individuell konfiguriert werden und ausgewählte IP-Adressen lassen sich bei Bedarf ausnehmen.
Custom Responses
Local Reply neu anpassbar
Microgateway verarbeitet HTTP-Anfragen, zu welchen im Normalfall das entsprechende Backend eine Antwort liefert. Das Microgateway liefert die Antworten selbst aus, wenn:
- Anfragen blockiert werden
- das Backend nicht erreichbar ist
- die HTTP-Anfrage aufgrund einer ungültigen Konfiguration nicht verarbeitet werden kann.
Mit Version 4.8 können diese Antworten angepasst werden. Die Fehlerseite lässt sich um Support-Informationen wie Telefonnummer und E-Mail-Adresse anreichern und auch das Look & Feel kann den eigenen Bedürfnissen angepasst werden.
Schutz vor data leakage
Empfangene HTTP-Anfragen werden von Microgateway gefiltert und nach erfolgreicher Prüfung an das Backend weitergeleitet. Um zu verhindern, dass Backends sensitive Informationen in Fehlermeldungen preisgeben, können definierte HTTP-Antworten ersetzt werden. Dies erhöht die Sicherheit und bewahrt ein konsistentes Erscheinungsbild.
HTTP/3-Unterstützung für Frontend-Verbindungen
Mit Airlock Microgateway 4.8 führen wir Unterstützung für HTTP/3 für Frontend-Verbindungen ein. Ihre Anwendungen profitieren damit von moderner QUIC-Transporttechnologie mit geringerer Latenz, stabileren Verbindungen und einer verbesserten Benutzererfahrung, insbesondere in mobilen und hochdynamischen Netzwerken.
Die HTTP/3-Unterstützung ist in dieser Version experimentell. Das bedeutet:
- HTTP/3 kann getestet werden
- Anpassungen in kommenden Releases sind möglich
- Wir freuen uns auf Ihre Erfahrungen und Ihr Feedback.
News aus der Airlock Academy – mit ersten Vor-Ort-Trainings!
Die letzten Monate haben wir intensiv an unserem Airlock-Academy-Angebot gearbeitet. Wir freuen uns, Ihnen zwei Highlights vorstellen zu dürfen, die den Einstieg in Airlock Microgateway noch einfacher machen:
Neue Self-Study Labs: In 7 praxisnahen Labs können Sie die Funktionen von Airlock Microgateway Schritt für Schritt kennenlernen. Probieren Sie es aus!
On-Site Training 2026: Wir planen erste Vor-Ort-Trainings im Jahr 2026! Melden Sie sich hier an, um auf dem Laufenden zu bleiben.
Abkündigung des Sidecar-Modus
Der Sidecar-Modus wird mit Version 4.8 abgekündigt. Dazu haben wir uns entschieden, da wir auf den in Version 4.4 eingeführten Gateway-API-basierten Sidecarless-Modus sehr positive Rückmeldung von Kunden und Partnern erhalten haben und diesen in den Folgeversionen weiter verbessern konnten.
Das bedeutet:
- 4.8.0 ist der letzte Release mit Sidecar-Unterstützung
- 4.8.0 wird ab Release 9 Monate lang supportet
- Wir empfehlen, auf die Gateway-API-basierte Sidecarless-Variante zu wechseln.
Mit diesem Schritt reduzieren wir Komplexität, straffen die Produktentwicklung und fokussieren vollständig auf das Kubernetes-native Betriebsmodell.
Das neue Release bietet eine Vielzahl von Verbesserungen für mehr Sicherheit, Flexibilität und einfache Integration. Wir freuen uns auf Ihre Anregungen und Ihr Feedback, um die Entwicklung des Microgateways voranzutreiben!
Airlock Microgateway 4.8 Release-Video
In unserem Release-Video erhalten Sie alle Details zu Airlock Microgateway 4.8.