Apigee mTLS-Installation prüfen

Edge for Private Cloud v4.19.01

In diesem Abschnitt werden verschiedene Möglichkeiten beschrieben, die erfolgreiche Installation von mTLS in Apigee zu prüfen. Sie können die in diesem Abschnitt beschriebenen Methoden auch bei der Fehlerbehebung von Problemen mit dem Cluster verwenden.

iptables-Konfiguration prüfen

Sie können prüfen, ob die apigee-mtls-Installation erfolgreich war, indem Sie prüfen, ob die iptables-Routen funktionieren und die Regeln gültig sind.

Bevor Sie eine iptables-Konfiguration validieren, müssen folgende Voraussetzungen erfüllt sein:

  • Sie haben firewalld vom Knoten deinstalliert und durch iptables ersetzt, wie unter Standard-Firewall ersetzen beschrieben.
  • Sie haben alle Apigee-Komponenten auf dem Knoten angehalten, einschließlich apigee-mtls.

So prüfen Sie mit iptables, ob die apigee-mtls-Konfiguration erfolgreich war:

  1. Melden Sie sich bei einem Knoten in Ihrem Cluster an. Die Reihenfolge spielt dabei keine Rolle.
  2. Beenden Sie alle Komponenten auf dem Knoten, wie im folgenden Beispiel gezeigt: 
    /opt/apigee/apigee-service/bin/apigee-all stop
  3. Führen Sie den Befehl validate aus, wie im folgenden Beispiel gezeigt: 
    /opt/apigee/apigee-mtls/lib/actions/iptables.sh validate

    iptables sendet Nachrichten an jeden Port, der entweder von Consul oder den lokalen Apigee-Diensten verwendet wird. Wenn das Script auf eine ungültige Regel oder eine fehlgeschlagene Route stößt, wird ein Fehler angezeigt.

    Wenn auf dem Knoten Apigee-Dienste oder Consul-Server ausgeführt werden, schlägt dieser Befehl fehl.

  4. Starten Sie die apigee-mtls-Komponente vor allen anderen Komponenten auf dem Knoten mit dem folgenden Befehl: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  5. Starten Sie die verbleibenden Apigee-Komponenten auf dem Knoten in der Startreihenfolge, wie im folgenden Beispiel gezeigt: 
    /opt/apigee/apigee-service/bin/apigee-service component_name start
  6. Wiederholen Sie diese Schritte auf allen Knoten im Cluster. Idealerweise sollten Sie dies auf allen Knoten innerhalb von 5 Minuten nach dem Start am ersten Knoten tun.

Remote-Proxy-Status prüfen

Sie können Consul auf ZooKeeper-Knoten verwenden, um zu prüfen, ob die eingehenden und ausgehenden Proxy-Dienste auf allen Knoten aktiv, fehlerfrei sind und dem Service Mesh beigetreten sind.

So prüfen Sie den Proxystatus Ihrer Knoten:

  1. Melden Sie sich auf einem Knoten an, auf dem ZooKeeper ausgeführt wird.
  2. Führen Sie folgenden Befehl aus: 
    systemctl status consul_server

Quorumstatus prüfen

Bei der mTLS-Installation werden allen Knoten die Consul-Proxy-Dienste hinzugefügt. Daher sollten Sie den Quorumstatus aller ZooKeeper-Knoten überprüfen.

Um den Quorum-Status zu prüfen, melden Sie sich auf jedem Knoten an, auf dem ZooKeeper ausgeführt wird, und führen Sie den folgenden Befehl aus:

/opt/apigee/apigee-mtls-consul/bin/consul operator raft list-peers

Dieser Befehl zeigt eine Liste der Consul-Instanzen und deren Status an, wie im folgenden Beispiel gezeigt:

Node             ID                     Address            State     Voter  RaftProtocol
prc-test-0-1619  b59c1f44-6eb0-81d4-42  10.126.0.98:8300   leader    true   3
prc-test-1-1619  a4372a6e-8044-e587-43  10.126.0.146:8300  follower  true   3
prc-test-2-1619  71eb181f-4242-5353-44  10.126.0.100:8300  follower  true   3

Hier finden Sie weitere Informationen:

Außerdem erhalten Sie Informationen zum Status des Clusters, z. B. ob das Quorum des Clusters erreicht wurde und ob Remote-Mitglieder die Funktionalität beeinträchtigen. Verwenden Sie dazu den folgenden Befehl:

/opt/apigee/apigee-service/bin/apigee-service apigee-mtls status