Управлять брандмауэром нужно не только для виртуальных хостов. Брандмауэры как виртуальных машин, так и физических хостов должны разрешать трафик для портов, необходимых компонентам для связи друг с другом.
Схемы портов
На изображениях ниже показаны требования к портам для конфигураций с одним и несколькими центрами обработки данных.
Один центр обработки данных
На следующем изображении показаны требования к портам для каждого компонента Edge в конфигурации с одним центром обработки данных:
Примечания к диаграмме:
- Порты с префиксом "M" используются для управления компонентом и должны быть открыты на компоненте для доступа со стороны сервера управления.
- Чтобы в инструменте отслеживания работала кнопка Отправить, Edge UI требуется доступ к маршрутизатору через порты, открытые прокси-серверами API.
- Для доступа к портам JMX можно настроить требование имени пользователя и пароля. Подробнее о том, как отслеживать данные…
- При необходимости вы можете настроить доступ по протоколу TLS/SSL для определенных подключений, которые могут использовать разные порты. Подробнее о TLS/SSL…
- Вы можете настроить сервер управления и Edge UI для отправки электронных писем через внешний SMTP-сервер. Если вы это сделаете, убедитесь, что сервер управления и пользовательский интерфейс могут получить доступ к необходимому порту на SMTP-сервере (не показан). Для SMTP без TLS обычно используется порт 25. Для SMTP с поддержкой TLS часто используется порт 465, но лучше уточнить у поставщика SMTP.
Несколько центров обработки данных
Если вы устанавливаете кластерную конфигурацию с 12 узлами и двумя центрами обработки данных, убедитесь, что узлы в двух центрах обработки данных могут обмениваться данными через порты, указанные ниже.
Обратите внимание на следующее:
- Все серверы управления должны иметь доступ ко всем узлам Cassandra во всех остальных центрах обработки данных.
- Все процессоры сообщений во всех центрах обработки данных должны иметь доступ друг к другу через порт 4528.
- У Management Server должен быть доступ ко всем Message Processor через порт 8082.
- Все серверы управления и все узлы Qpid должны иметь доступ к Postgres во всех остальных центрах обработки данных.
- В целях безопасности между центрами обработки данных не должны быть открыты никакие другие порты, кроме указанных выше и необходимых для работы вашей сети.
По умолчанию обмен данными между компонентами не шифруется. Вы можете добавить шифрование, установив Apigee mTLS. Дополнительную информацию можно найти в статье Введение в Apigee mTLS.
Сведения о переносе
В таблице ниже описаны порты, которые необходимо открыть в брандмауэрах, по компонентам Edge:
| Компонент | Порт | Описание |
|---|---|---|
| Стандартные порты HTTP | 80, 443 | HTTP и любые другие порты, которые вы используете для виртуальных хостов. |
| Система единого входа Apigee | 9099 | Подключения от внешних поставщиков идентификационной информации, сервера управления и браузеров для аутентификации. |
| Cassandra | 7000, 9042, 9160 | Порты Apache Cassandra для связи между узлами Cassandra и для доступа со стороны других компонентов Edge. |
| 7199 | Порт JMX. Должен быть открыт для доступа со стороны сервера управления. | |
| LDAP | 10389 | OpenLDAP |
| Сервер управления | 1099 | Порт JMX |
| 4526 | Порт для распределенного кеша и вызовов управления. Этот порт можно настроить. | |
| 5636 | Порт для уведомлений о фиксации монетизации. | |
| 8080 | Порт для вызовов API управления Edge. Доступ к порту 8080 на сервере управления требуется следующим компонентам: Router, Message Processor, UI, Postgres, Apigee SSO (если включен) и Qpid. | |
| Интерфейс управления | 9000 | Порт для доступа браузера к интерфейсу управления |
| Message Processor | 1101 | Порт JMX |
| 4528 | Для распределенного кеша и вызовов управления между Message Processor, а также для связи с Router и Management Server.
Для Message Processor необходимо открыть порт 4528 в качестве порта управления. Если у вас несколько Message Processor, они должны иметь доступ друг к другу через порт 4528 (на схеме выше это показано стрелкой, указывающей на порт 4528 в Message Processor). Если у вас несколько центров обработки данных, порт должен быть доступен для всех Message Processor во всех центрах обработки данных. |
|
| 8082 |
Порт управления по умолчанию для Message Processor. Должен быть открыт в компоненте для доступа со стороны Management Server. Если вы настроите TLS/SSL между маршрутизатором и обработчиком сообщений, маршрутизатор будет использовать этот порт для проверки работоспособности обработчика сообщений. Порт 8082 на Message Processor должен быть открыт для доступа со стороны Router только в том случае, если вы настраиваете TLS/SSL между Router и Message Processor. Если вы не настроите TLS/SSL между маршрутизатором и Message Processor (конфигурация по умолчанию), порт 8082 все равно должен быть открыт на Message Processor для управления компонентом, но маршрутизатору не требуется доступ к нему. |
|
| 8443 | Если между Router и Message Processor включен протокол TLS, необходимо открыть порт 8443 на Message Processor для доступа со стороны Router. | |
| 8998 | Порт Message Processor для связи с Router | |
| Postgres | 22 | Если вы настраиваете два узла Postgres для использования репликации master-standby, необходимо открыть порт 22 на каждом узле для доступа по SSH. |
| 1103 | Порт JMX | |
| 4530 | Для распределенного кеша и вызовов управления | |
| 5432 | Используется для связи между Qpid/сервером управления и Postgres. | |
| 8084 | Порт управления по умолчанию на сервере Postgres. Должен быть открыт на компоненте для доступа со стороны сервера управления. | |
| Qpid | 1102 | Порт JMX |
| 4529 | Для распределенного кеша и вызовов управления | |
| 5672 |
Также используется для связи между сервером Qpid и компонентами брокера на одном узле. В топологиях с несколькими узлами Qpid сервер должен иметь возможность подключаться ко всем брокерам через порт 5672. |
|
| 8083 | Порт управления по умолчанию на сервере Qpid. Должен быть открыт на компоненте для доступа с сервера управления. | |
| Маршрутизатор | 4527 | Для распределенного кеша и вызовов управления.
Маршрутизатор должен открыть порт 4527 в качестве порта управления. Если у вас несколько маршрутизаторов, они должны иметь доступ друг к другу через порт 4527 (на схеме выше это показано круговой стрелкой для порта 4527 на маршрутизаторе). При необходимости вы можете открыть порт 4527 на маршрутизаторе для доступа любого процессора сообщений. В противном случае в файлах журнала Message Processor могут появиться сообщения об ошибках. |
| 8081 | Порт управления по умолчанию для маршрутизатора. Должен быть открыт на компоненте для доступа со стороны сервера управления. | |
| 15999 |
Порт проверки состояния. Балансировщик нагрузки использует этот порт, чтобы определить, доступен ли маршрутизатор. Чтобы получить статус маршрутизатора, балансировщик нагрузки отправляет запрос на порт 15999 маршрутизатора: curl -v http://routerIP:15999/v1/servers/self/reachable Если маршрутизатор доступен, запрос возвращает HTTP 200. |
|
| 59001 | Порт, используемый утилитой apigee-validate для тестирования установки Edge.
Для работы утилиты требуется доступ к порту 59001 на маршрутизаторе. Подробнее о тестировании установки… |
|
| SmartDocs | 59002 | Порт на маршрутизаторе Edge, на который отправляются запросы страниц SmartDocs. |
| ZooKeeper | 2181 | Используется другими компонентами, такими как Management Server, Router, Message Processor и т. д. |
| 2888, 3888 | Используется внутри ZooKeeper для связи с кластером ZooKeeper (известным как ансамбль ZooKeeper). |
В следующей таблице приведены те же порты в числовом порядке с указанием исходных и целевых компонентов.
| Номер порта | Цель | Исходный компонент | Компонент Destination |
|---|---|---|---|
| virtual_host_port | HTTP и любые другие порты, которые вы используете для трафика вызовов API виртуального хоста. Чаще всего используются порты 80 и 443. Маршрутизатор сообщений может завершать подключения TLS/SSL. | Внешний клиент (или балансировщик нагрузки) | Прослушиватель на маршрутизаторе сообщений |
| 1099–1103 | Управление JMX | Клиент JMX | Management Server (1099) Message Processor (1101) Qpid Server (1102) Postgres Server (1103) |
| 2181 | Обмен данными с клиентом Zookeeper | Management Server Router Message Processor Qpid Server Postgres Server |
Смотритель зоопарка |
| 2888 и 3888 | Управление межсерверным взаимодействием в Zookeeper | Смотритель зоопарка | Смотритель зоопарка |
| 4526 | Порт RPC Management | Сервер управления | Сервер управления |
| 4527 | Порт управления RPC для распределенного кеша и вызовов управления, а также для связи между маршрутизаторами. | Сервер управления Маршрутизатор |
Маршрутизатор |
| 4528 | Для вызовов распределенного кеша между Message Processor и для связи с Router. | Management Server Router Message Processor |
Message Processor |
| 4529 | Порт управления RPC для распределенного кеша и вызовов управления | Сервер управления | Сервер Qpid |
| 4530 | Порт управления RPC для распределенного кеша и вызовов управления | Сервер управления | Сервер Postgres |
| 5432 | Клиент Postgres | Сервер Qpid | Postgres |
| 5636 | Монетизация | Внешний компонент JMS | Сервер управления |
| 5672 |
Также используется для связи между сервером Qpid и компонентами брокера на одном узле. В топологиях с несколькими узлами Qpid сервер должен иметь возможность подключаться ко всем брокерам через порт 5672. |
Сервер Qpid | Сервер Qpid |
| 7000 | Обмен данными между узлами Cassandra | Cassandra | Другой узел Cassandra |
| 7199 | Управление JMX. Должен быть открыт для доступа на узле Cassandra со стороны сервера управления. | Клиент JMX | Cassandra |
| 8080 | Порт Management API | Клиенты Management API | Сервер управления |
| 8081–8084 |
Порты API компонентов, используемые для отправки запросов к API непосредственно отдельным компонентам. Каждый компонент открывает отдельный порт. Точный номер порта зависит от конфигурации, но он должен быть открыт на компоненте для доступа со стороны сервера управления. |
Клиенты Management API | Router (8081) Message Processor (8082) Qpid Server (8083) Postgres Server (8084) |
| 8443 | Обмен данными между маршрутизатором и обработчиком сообщений, когда включен протокол TLS | Маршрутизатор | Message Processor |
| 8998 | Обмен данными между Router и Message Processor | Маршрутизатор | Message Processor |
| 9000 | Порт по умолчанию для интерфейса управления Edge | Браузер | Сервер интерфейса управления |
| 9042 | Собственный транспорт CQL | Router Message Processor Management Server |
Cassandra |
| 9099 | Аутентификация с помощью внешнего поставщика идентификационной информации | Поставщик идентификационной информации, браузер и сервер управления | Система единого входа Apigee |
| 9160 | Клиент Cassandra Thrift | Router Message Processor Management Server |
Cassandra |
| 10389 | Порт LDAP | Сервер управления | OpenLDAP |
| 15999 | Порт проверки состояния. Балансировщик нагрузки использует этот порт, чтобы определить, доступен ли маршрутизатор. | Балансировщик нагрузки | Маршрутизатор |
| 59001 | Порт, используемый утилитой apigee-validate для тестирования установки Edge. |
apigee-validate | Маршрутизатор |
| 59002 | Порт маршрутизатора, на который отправляются запросы страниц SmartDocs. | SmartDocs | Маршрутизатор |
Message Processor поддерживает открытым выделенный пул подключений к Cassandra, для которого настроено отсутствие тайм-аута. Если между Message Processor и сервером Cassandra есть брандмауэр, он может прервать подключение по тайм-ауту. Однако Message Processor не предназначен для повторного установления подключений к Cassandra.
Чтобы избежать этой ситуации, Apigee рекомендует разместить сервер Cassandra, Message Processor и маршрутизаторы в одной подсети, чтобы брандмауэр не участвовал в развертывании этих компонентов.
Если между маршрутизатором и обработчиками сообщений есть брандмауэр и для него задано время ожидания TCP, рекомендуем сделать следующее:
- Задайте значение
net.ipv4.tcp_keepalive_time = 1800в настройках sysctl в ОС Linux, где 1800 должно быть меньше времени ожидания TCP брандмауэра. Это позволит поддерживать соединение, чтобы брандмауэр не прерывал его. - На всех процессорах сообщений измените
/opt/apigee/customer/application/message-processor.properties, чтобы добавить следующее свойство. Если файла нет, создайте его.conf_system_cassandra.maxconnecttimeinmillis=-1
- Перезапустите Message Processor:
/opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
- На всех маршрутизаторах отредактируйте файл
/opt/apigee/customer/application/router.properties, добавив в него следующее свойство: Если файла нет, создайте его.conf_system_cassandra.maxconnecttimeinmillis=-1
- Перезапустите маршрутизатор
/opt/apigee/apigee-service/bin/apigee-service edge-router restart