ข้อกําหนดของพอร์ต

ความจำเป็นในการจัดการไฟร์วอลล์ไม่ได้จำกัดอยู่เพียงโฮสต์เสมือนเท่านั้น ทั้งไฟร์วอลล์ VM และไฟร์วอลล์โฮสต์จริงต้องอนุญาตให้มีการรับส่งข้อมูลสำหรับพอร์ตที่คอมโพเนนต์ต้องใช้เพื่อสื่อสารกัน

แผนภาพพอร์ต

รูปภาพต่อไปนี้แสดงข้อกำหนดพอร์ตสำหรับการกำหนดค่าทั้งศูนย์ข้อมูลเดียวและศูนย์ข้อมูลหลายแห่ง

ศูนย์ข้อมูลเดียว

รูปภาพต่อไปนี้แสดงข้อกำหนดพอร์ตสำหรับคอมโพเนนต์ Edge แต่ละรายการในการกำหนดค่าศูนย์ข้อมูลเดียว

ข้อกำหนดพอร์ตสำหรับคอมโพเนนต์ Edge แต่ละรายการในการกำหนดค่าศูนย์ข้อมูลเดียว

หมายเหตุเกี่ยวกับแผนภาพนี้

  • พอร์ตที่มีคำนำหน้าว่า "M" คือพอร์ตที่ใช้จัดการคอมโพเนนต์และต้องเปิดในคอมโพเนนต์เพื่อให้เซิร์ฟเวอร์การจัดการเข้าถึงได้
  • Edge UI ต้องเข้าถึงเราเตอร์ในพอร์ตที่แสดงโดยพร็อกซี API เพื่อรองรับปุ่มส่งในเครื่องมือติดตาม
  • คุณสามารถกำหนดค่าการเข้าถึงพอร์ต JMX ให้ต้องใช้ชื่อผู้ใช้/รหัสผ่านได้ ดูข้อมูลเพิ่มเติมได้ที่วิธีตรวจสอบ
  • คุณสามารถกำหนดค่าการเข้าถึง TLS/SSL สำหรับการเชื่อมต่อบางรายการซึ่งใช้พอร์ตที่แตกต่างกันได้ (ไม่บังคับ) ดูข้อมูลเพิ่มเติมได้ที่ TLS/SSL
  • คุณสามารถกำหนดค่า Management Server และ Edge UI ให้ส่งอีเมลผ่านเซิร์ฟเวอร์ SMTP ภายนอกได้ หากใช้ คุณต้องตรวจสอบว่าเซิร์ฟเวอร์การจัดการและ UI สามารถเข้าถึงพอร์ตที่จำเป็นในเซิร์ฟเวอร์ SMTP ได้ (ไม่แสดง) สำหรับ SMTP ที่ไม่ใช่ TLS หมายเลขพอร์ตมักจะเป็น 25 สำหรับ SMTP ที่เปิดใช้ TLS มักจะเป็น 465 แต่โปรดตรวจสอบกับผู้ให้บริการ SMTP ของคุณ

ศูนย์ข้อมูลหลายแห่ง

หากคุณติดตั้งการกำหนดค่าแบบคลัสเตอร์ 12 โหนดที่มีศูนย์ข้อมูล 2 แห่ง ให้ตรวจสอบว่าโหนดในศูนย์ข้อมูลทั้ง 2 แห่งสามารถสื่อสารผ่านพอร์ตที่แสดงด้านล่างได้

ข้อกำหนดของพอร์ตสำหรับแต่ละโหนดในการกำหนดค่าแบบคลัสเตอร์ 12 โหนด

โปรดทราบว่า

  • เซิร์ฟเวอร์การจัดการทั้งหมดต้องเข้าถึงโหนด Cassandra ทั้งหมดในศูนย์ข้อมูลอื่นๆ ทั้งหมดได้
  • Message Processor ทั้งหมดในศูนย์ข้อมูลทั้งหมดต้องเข้าถึงกันและกันได้ผ่านพอร์ต 4528
  • Management Server ต้องเข้าถึง Message Processor ทั้งหมดผ่านพอร์ต 8082 ได้
  • เซิร์ฟเวอร์การจัดการทั้งหมดและโหนด Qpid ทั้งหมดต้องเข้าถึง Postgres ในศูนย์ข้อมูลอื่นๆ ทั้งหมดได้
  • เพื่อความปลอดภัย ไม่ควรเปิดพอร์ตอื่นๆ ระหว่างศูนย์ข้อมูล นอกเหนือจากพอร์ตที่แสดงด้านบนและพอร์ตอื่นๆ ที่จำเป็นตามข้อกำหนดของเครือข่ายของคุณเอง

โดยค่าเริ่มต้น การสื่อสารระหว่างคอมโพเนนต์จะไม่ได้รับการเข้ารหัส คุณสามารถเพิ่มการเข้ารหัสได้โดยติดตั้ง Apigee mTLS ดูข้อมูลเพิ่มเติมได้ที่ข้อมูลเบื้องต้นเกี่ยวกับ mTLS ของ Apigee

รายละเอียดพอร์ต

ตารางด้านล่างอธิบายพอร์ตที่ต้องเปิดในไฟร์วอลล์ตามคอมโพเนนต์ Edge

ส่วนประกอบ พอร์ต คำอธิบาย
พอร์ต HTTP มาตรฐาน 80, 443 HTTP และพอร์ตอื่นๆ ที่คุณใช้สำหรับโฮสต์เสมือน
Apigee SSO 9099 การเชื่อมต่อจาก IDP ภายนอก, Management Server และเบราว์เซอร์สำหรับการตรวจสอบสิทธิ์
Cassandra 7000, 9042, 9160 พอร์ต Apache Cassandra สำหรับการสื่อสารระหว่างโหนด Cassandra และสำหรับการเข้าถึงโดยคอมโพเนนต์ Edge อื่นๆ
7199 พอร์ต JMX ต้องเปิดให้เซิร์ฟเวอร์การจัดการเข้าถึงได้
LDAP 10389 OpenLDAP
เซิร์ฟเวอร์การจัดการ 1099 พอร์ต JMX
4526 พอร์ตสำหรับการเรียกใช้แคชและการจัดการแบบกระจาย พอร์ตนี้กำหนดค่าได้
5636 พอร์ตสำหรับการแจ้งเตือนการคอมมิตการสร้างรายได้
8080 พอร์ตสำหรับการเรียก API การจัดการ Edge คอมโพเนนต์เหล่านี้ต้องมีสิทธิ์เข้าถึงพอร์ต 8080 ในเซิร์ฟเวอร์การจัดการ ได้แก่ เราเตอร์, Message Processor, UI, Postgres, Apigee SSO (หากเปิดใช้) และ Qpid
UI การจัดการ 9000 พอร์ตสำหรับการเข้าถึง UI การจัดการของเบราว์เซอร์
Message Processor 1101 พอร์ต JMX
4528 สำหรับการเรียกใช้แคชและการจัดการแบบกระจายระหว่าง Message Processor และสำหรับการสื่อสารจากเราเตอร์และเซิร์ฟเวอร์การจัดการ

Message Processor ต้องเปิดพอร์ต 4528 เป็นพอร์ตการจัดการ หากคุณมี Message Processor หลายรายการ ทั้งหมดจะต้องเข้าถึงกันและกันได้ผ่านพอร์ต 4528 (ระบุด้วยลูกศรวนซ้ำในแผนภาพด้านบนสำหรับพอร์ต 4528 ใน Message Processor) หากคุณมีศูนย์ข้อมูลหลายแห่ง Message Processor ทั้งหมดในศูนย์ข้อมูลทุกแห่งต้องเข้าถึงพอร์ตได้
8082

พอร์ตการจัดการเริ่มต้นสำหรับ Message Processor และต้องเปิดอยู่ในคอมโพเนนต์เพื่อให้ Management Server เข้าถึงได้

หากคุณกำหนดค่า TLS/SSL ระหว่างเราเตอร์และ Message Processor ซึ่งเราเตอร์ใช้เพื่อตรวจสอบประสิทธิภาพการทำงานใน Message Processor

พอร์ต 8082 ใน Message Processor ต้องเปิดไว้เพื่อให้เราเตอร์เข้าถึงได้เท่านั้นเมื่อคุณกำหนดค่า TLS/SSL ระหว่างเราเตอร์กับ Message Processor หากคุณไม่ได้กำหนดค่า TLS/SSL ระหว่างเราเตอร์กับ Message Processor การกำหนดค่าเริ่มต้น พอร์ต 8082 จะยังคงต้องเปิดอยู่ใน Message Processor เพื่อจัดการคอมโพเนนต์ แต่เราเตอร์ไม่จำเป็นต้องเข้าถึงพอร์ตดังกล่าว
8443 เมื่อเปิดใช้ TLS ระหว่างเราเตอร์และ Message Processor คุณต้องเปิดพอร์ต 8443 ใน Message Processor เพื่อให้เราเตอร์เข้าถึงได้
8998 พอร์ต Message Processor สำหรับการสื่อสารจากเราเตอร์
Postgres 22 หากกำหนดค่าโหนด Postgres 2 โหนดให้ใช้การจำลองแบบ Master-Standby คุณต้องเปิดพอร์ต 22 ในแต่ละโหนดสำหรับการเข้าถึง SSH
1103 พอร์ต JMX
4530 สำหรับการเรียกใช้แคชและการจัดการแบบกระจาย
5432 ใช้สำหรับการสื่อสารจาก Qpid/เซิร์ฟเวอร์การจัดการไปยัง Postgres
8084 พอร์ตการจัดการเริ่มต้นบนเซิร์ฟเวอร์ Postgres ต้องเปิดอยู่ในคอมโพเนนต์เพื่อให้ Management Server เข้าถึงได้
Qpid 1102 พอร์ต JMX
4529 สำหรับการเรียกใช้แคชและการจัดการแบบกระจาย
5672
  • ศูนย์ข้อมูลเดียว: ใช้สำหรับส่งข้อมูลวิเคราะห์จากเราเตอร์และ Message Processor ไปยัง Qpid
  • ศูนย์ข้อมูลหลายแห่ง: ใช้สำหรับการสื่อสารระหว่างโหนด Qpid ในศูนย์ข้อมูลต่างๆ

และยังใช้สำหรับการสื่อสารระหว่างเซิร์ฟเวอร์ Qpid กับคอมโพเนนต์โบรกเกอร์ในโหนดเดียวกันด้วย ในโทโพโลยีที่มีโหนด Qpid หลายโหนด เซิร์ฟเวอร์ต้องเชื่อมต่อกับโบรกเกอร์ทั้งหมดในพอร์ต 5672 ได้
8083 พอร์ตการจัดการเริ่มต้นบนเซิร์ฟเวอร์ Qpid และต้องเปิดในคอมโพเนนต์เพื่อให้ Management Server เข้าถึงได้
เราเตอร์ 4527 สำหรับการเรียกใช้แคชและการจัดการแบบกระจาย

เราเตอร์ต้องเปิดพอร์ต 4527 เป็นพอร์ตการจัดการ หากคุณมีเราเตอร์หลายตัว เราเตอร์ทั้งหมดต้องเข้าถึงกันและกันได้ผ่านพอร์ต 4527 (ระบุด้วยลูกศรวนซ้ำในแผนภาพด้านบนสำหรับพอร์ต 4527 บนเราเตอร์)

แม้ว่าจะไม่จำเป็น แต่คุณสามารถเปิดพอร์ต 4527 บนเราเตอร์เพื่อเข้าถึงโดย Message Processor ใดก็ได้ ไม่เช่นนั้น คุณอาจเห็นข้อความแสดงข้อผิดพลาดในไฟล์บันทึกของ Message Processor
8081 พอร์ตการจัดการเริ่มต้นสำหรับเราเตอร์และต้องเปิดในคอมโพเนนต์เพื่อให้เซิร์ฟเวอร์การจัดการเข้าถึงได้
15999

พอร์ตการตรวจสอบประสิทธิภาพการทำงาน ตัวจัดสรรภาระงานจะใช้พอร์ตนี้เพื่อพิจารณาว่าเราเตอร์พร้อมใช้งานหรือไม่

หากต้องการดูสถานะของเราเตอร์ ตัวจัดสรรภาระงานจะส่งคำขอไปยังพอร์ต 15999 บนเราเตอร์ ดังนี้

curl -v http://routerIP:15999/v1/servers/self/reachable

หากเข้าถึงเราเตอร์ได้ คำขอจะแสดงผล HTTP 200
59001 พอร์ตที่ใช้ทดสอบการติดตั้ง Edge โดยยูทิลิตี apigee-validate ยูทิลิตีนี้ต้องใช้สิทธิ์เข้าถึงพอร์ต 59001 บนเราเตอร์ ดูข้อมูลเพิ่มเติมเกี่ยวกับพอร์ต 59001 ได้ที่ทดสอบการติดตั้ง
SmartDocs 59002 พอร์ตบนเราเตอร์ Edge ที่ส่งคำขอหน้า SmartDocs
ZooKeeper 2181 ใช้โดยคอมโพเนนต์อื่นๆ เช่น Management Server, Router, Message Processor และอื่นๆ
2888, 3888 ใช้ภายในโดย ZooKeeper สำหรับการสื่อสารคลัสเตอร์ ZooKeeper (เรียกว่า ZooKeeper ensemble)

ตารางถัดไปแสดงพอร์ตเดียวกัน โดยแสดงตามตัวเลข พร้อมด้วยคอมโพเนนต์ต้นทางและปลายทาง

หมายเลขพอร์ต วัตถุประสงค์ คอมโพเนนต์ต้นทาง องค์ประกอบปลายทาง
virtual_host_port HTTP และพอร์ตอื่นๆ ที่คุณใช้สำหรับการเข้าชมการเรียก API ของโฮสต์เสมือน พอร์ต 80 และ 443 เป็นพอร์ตที่ใช้กันโดยทั่วไป โดย Message Router สามารถสิ้นสุดการเชื่อมต่อ TLS/SSL ได้ ไคลเอ็นต์ภายนอก (หรือตัวจัดสรรภาระงาน) Listener ในเราเตอร์ข้อความ
1099 ถึง 1103 การจัดการ JMX ไคลเอ็นต์ JMX Management Server (1099)
Message Processor (1101)
Qpid Server (1102)
Postgres Server (1103)
2181 การสื่อสารของไคลเอ็นต์ Zookeeper Management Server
Router
Message Processor
Qpid Server
Postgres Server 		ผู้ดูแลสวนสัตว์
2888 และ 3888 การจัดการโหนดภายในของ Zookeeper ผู้ดูแลสวนสัตว์ ผู้ดูแลสวนสัตว์
4526 พอร์ตการจัดการ RPC เซิร์ฟเวอร์การจัดการ เซิร์ฟเวอร์การจัดการ
4527 พอร์ตการจัดการ RPC สำหรับการเรียกใช้แคชและการจัดการแบบกระจาย และสำหรับการสื่อสารระหว่างเราเตอร์ เซิร์ฟเวอร์การจัดการ
เราเตอร์		 เราเตอร์
4528 สำหรับการเรียกใช้แคชแบบกระจายระหว่าง Message Processor และสำหรับการสื่อสารจากเราเตอร์ Management Server
Router
Message Processor 		Message Processor
4529 พอร์ตการจัดการ RPC สำหรับการเรียกใช้แคชและการจัดการแบบกระจาย เซิร์ฟเวอร์การจัดการ เซิร์ฟเวอร์ Qpid
4530 พอร์ตการจัดการ RPC สำหรับการเรียกใช้แคชและการจัดการแบบกระจาย เซิร์ฟเวอร์การจัดการ เซิร์ฟเวอร์ Postgres
5432 ไคลเอ็นต์ Postgres เซิร์ฟเวอร์ Qpid Postgres
5636 การสร้างรายได้ คอมโพเนนต์ JMS ภายนอก เซิร์ฟเวอร์การจัดการ
5672
  • ศูนย์ข้อมูลเดียว: ใช้สำหรับส่งข้อมูลวิเคราะห์จากเราเตอร์และ Message Processor ไปยัง Qpid
  • ศูนย์ข้อมูลหลายแห่ง: ใช้สำหรับการสื่อสารระหว่างโหนด Qpid ในศูนย์ข้อมูลต่างๆ

และยังใช้สำหรับการสื่อสารระหว่างเซิร์ฟเวอร์ Qpid กับคอมโพเนนต์โบรกเกอร์ในโหนดเดียวกันด้วย ในโทโพโลยีที่มีโหนด Qpid หลายโหนด เซิร์ฟเวอร์ต้องเชื่อมต่อกับโบรกเกอร์ทั้งหมดในพอร์ต 5672 ได้

 เซิร์ฟเวอร์ Qpid เซิร์ฟเวอร์ Qpid
7000 การสื่อสารระหว่างโหนดของ Cassandra Cassandra โหนด Cassandra อื่นๆ
7199 การจัดการ JMX ต้องเปิดให้เข้าถึงในโหนด Cassandra โดยเซิร์ฟเวอร์การจัดการ ไคลเอ็นต์ JMX Cassandra
8080 พอร์ต Management API ไคลเอ็นต์ Management API เซิร์ฟเวอร์การจัดการ
8081 ถึง 8084

พอร์ต API ของคอมโพเนนต์ ซึ่งใช้สำหรับส่งคำขอ API ไปยังคอมโพเนนต์แต่ละรายการโดยตรง แต่ละคอมโพเนนต์จะเปิดพอร์ตที่แตกต่างกัน โดยพอร์ตที่ใช้จริงจะขึ้นอยู่กับการกำหนดค่า แต่ต้องเปิดในคอมโพเนนต์เพื่อให้เซิร์ฟเวอร์การจัดการเข้าถึงได้

 ไคลเอ็นต์ Management API Router (8081)
Message Processor (8082)
Qpid Server (8083)
Postgres Server (8084)
8443 การสื่อสารระหว่างเราเตอร์และ Message Processor เมื่อเปิดใช้ TLS เราเตอร์ Message Processor
8998 การสื่อสารระหว่างเราเตอร์กับ Message Processor เราเตอร์ Message Processor
9000 พอร์ต UI การจัดการ Edge เริ่มต้น เบราว์เซอร์ เซิร์ฟเวอร์ UI การจัดการ
9042 การส่งข้อมูลแบบเนทีฟของ CQL เราเตอร์
Message Processor
Management Server 		Cassandra
9099 การตรวจสอบสิทธิ์ IDP ภายนอก IDP, เบราว์เซอร์ และเซิร์ฟเวอร์การจัดการ Apigee SSO
9160 ไคลเอ็นต์ Cassandra Thrift เราเตอร์
Message Processor
Management Server 		Cassandra
10389 พอร์ต LDAP เซิร์ฟเวอร์การจัดการ OpenLDAP
15999 พอร์ตการตรวจสอบประสิทธิภาพการทำงาน ตัวจัดสรรภาระงานจะใช้พอร์ตนี้เพื่อพิจารณาว่าเราเตอร์พร้อมใช้งานหรือไม่ ตัวจัดสรรภาระงาน เราเตอร์
59001 พอร์ตที่ยูทิลิตี apigee-validate ใช้เพื่อทดสอบการติดตั้ง Edge apigee-validate เราเตอร์
59002 พอร์ตเราเตอร์ที่ส่งคำขอหน้าเว็บ SmartDocs SmartDocs เราเตอร์

Message Processor จะเปิดพูลการเชื่อมต่อเฉพาะไว้สำหรับ Cassandra ซึ่งกำหนดค่าไว้ไม่ให้หมดเวลา เมื่อไฟร์วอลล์อยู่ระหว่าง Message Processor กับเซิร์ฟเวอร์ Cassandra ไฟร์วอลล์อาจหมดเวลาการเชื่อมต่อ อย่างไรก็ตาม Message Processor ไม่ได้ออกแบบมาเพื่อสร้างการเชื่อมต่อกับ Cassandra อีกครั้ง

เพื่อป้องกันสถานการณ์นี้ Apigee ขอแนะนำให้เซิร์ฟเวอร์ Cassandra, Message Processor และเราเตอร์อยู่ในซับเน็ตเดียวกัน เพื่อไม่ให้ไฟร์วอลล์เกี่ยวข้องกับการติดตั้งใช้งานคอมโพเนนต์เหล่านี้

หากมีไฟร์วอลล์อยู่ระหว่างเราเตอร์กับ Message Processor และมีการตั้งค่าการหมดเวลา TCP ที่ไม่มีการใช้งาน เราขอแนะนำให้ทำดังนี้

  1. ตั้งค่า net.ipv4.tcp_keepalive_time = 1800 ในการตั้งค่า sysctl บนระบบปฏิบัติการ Linux โดยที่ 1800 ควรต่ำกว่าระยะหมดเวลา TCP ที่ไม่มีการใช้งานของไฟร์วอลล์ การตั้งค่านี้จะช่วยให้การเชื่อมต่ออยู่ในสถานะที่สร้างขึ้นเพื่อให้ไฟร์วอลล์ไม่ยกเลิกการเชื่อมต่อ
  2. ใน Message Processor ทั้งหมด ให้แก้ไข /opt/apigee/customer/application/message-processor.properties เพื่อเพิ่มพร็อพเพอร์ตี้ต่อไปนี้ หากไม่มีไฟล์ ให้สร้างไฟล์ 
    conf_system_cassandra.maxconnecttimeinmillis=-1
  3. รีสตาร์ท Message Processor โดยทำดังนี้ 
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
  4. ในเราเตอร์ทั้งหมด ให้แก้ไข /opt/apigee/customer/application/router.properties เพื่อเพิ่มพร็อพเพอร์ตี้ต่อไปนี้ หากไม่มีไฟล์ ให้สร้างไฟล์ 
    conf_system_cassandra.maxconnecttimeinmillis=-1
  5. รีสตาร์ทเราเตอร์ 
    /opt/apigee/apigee-service/bin/apigee-service edge-router restart