Die Verwaltung der Firewall geht über die virtuellen Hosts hinaus. Sowohl VM- als auch physische Host-Firewalls müssen Traffic für die Ports zulassen, die die Komponenten für die Kommunikation untereinander benötigen.
Anschlussdiagramme
Die folgenden Abbildungen zeigen die Portanforderungen für eine Konfiguration mit einem einzelnen Rechenzentrum und mit mehreren Rechenzentren:
Einzelnes Rechenzentrum
Die folgende Abbildung zeigt die Portanforderungen für jede Edge-Komponente in einer Konfiguration mit einem einzelnen Rechenzentrum:
Hinweise zu diesem Diagramm:
- Die Ports mit dem Präfix „M“ werden zur Verwaltung der Komponente verwendet und müssen auf der Komponente für den Zugriff durch den Management Server geöffnet sein.
- Die Edge-Benutzeroberfläche benötigt Zugriff auf den Router über die von API-Proxys bereitgestellten Ports, um die Schaltfläche Senden im Trace-Tool zu unterstützen.
- Der Zugriff auf JMX-Ports kann so konfiguriert werden, dass ein Nutzername und ein Passwort erforderlich sind. Weitere Informationen finden Sie unter Monitoring.
- Sie können optional den TLS/SSL-Zugriff für bestimmte Verbindungen konfigurieren, die unterschiedliche Ports verwenden können. Weitere Informationen finden Sie unter TLS/SSL.
- Sie können den Management Server und die Edge-Benutzeroberfläche so konfigurieren, dass E-Mails über einen externen SMTP-Server gesendet werden. In diesem Fall müssen Sie dafür sorgen, dass der Management Server und die Benutzeroberfläche auf den erforderlichen Port auf dem SMTP-Server (nicht dargestellt) zugreifen können. Bei SMTP ohne TLS ist die Portnummer in der Regel 25. Bei TLS-fähigem SMTP ist es oft 465. Erkundigen Sie sich aber bei Ihrem SMTP-Anbieter.
Mehrere Rechenzentren
Wenn Sie die Clusterkonfiguration mit 12 Knoten und zwei Rechenzentren installieren, müssen die Knoten in den beiden Rechenzentren über die unten aufgeführten Ports kommunizieren können:
Hinweise:
- Alle Management Server müssen auf alle Cassandra-Knoten in allen anderen Rechenzentren zugreifen können.
- Alle Message Processors in allen Rechenzentren müssen über Port 4528 aufeinander zugreifen können.
- Der Management Server muss über Port 8082 auf alle Message Processors zugreifen können.
- Alle Management Server und alle Qpid-Knoten müssen in allen anderen Rechenzentren auf Postgres zugreifen können.
- Aus Sicherheitsgründen sollten zwischen den Rechenzentren keine anderen Ports als die oben gezeigten und die von Ihren eigenen Netzwerkanforderungen benötigten Ports geöffnet sein.
Standardmäßig ist die Kommunikation zwischen Komponenten nicht verschlüsselt. Sie können eine Verschlüsselung hinzufügen, indem Sie Apigee mTLS installieren. Weitere Informationen finden Sie unter Einführung in Apigee mTLS.
Details zur Rufnummernmitnahme
In der folgenden Tabelle werden die Ports beschrieben, die in Firewalls geöffnet werden müssen, nach Edge-Komponente:
| Komponente | Port | Beschreibung |
|---|---|---|
| Standard-HTTP-Ports | 80, 443 | HTTP und alle anderen Ports, die Sie für virtuelle Hosts verwenden |
| Apigee-SSO | 9099 | Verbindungen von externen IDPs, dem Verwaltungsserver und Browsern zur Authentifizierung. |
| Cassandra | 7000, 9042, 9160 | Apache Cassandra-Ports für die Kommunikation zwischen Cassandra-Knoten und für den Zugriff durch andere Edge-Komponenten. |
| 7199 | JMX-Port. Muss für den Zugriff durch den Verwaltungsserver geöffnet sein. | |
| LDAP | 10389 | OpenLDAP |
| Verwaltungsserver | 1099 | JMX-Port |
| 4526 | Port für verteilten Cache und Verwaltungsaufrufe. Dieser Port ist konfigurierbar. | |
| 5636 | Port für Benachrichtigungen zu Monetarisierungs-Commits. | |
| 8080 | Port für Edge Management API-Aufrufe. Diese Komponenten benötigen Zugriff auf Port 8080 auf dem Management Server: Router, Message Processor, UI, Postgres, Apigee-SSO (falls aktiviert) und Qpid. | |
| Verwaltungs-UI | 9.000 | Port für Browserzugriff auf die Verwaltungs-UI |
| Message Processor | 1101 | JMX-Port |
| 4528 | Für verteilte Cache- und Verwaltungsaufrufe zwischen Message Processors und für die Kommunikation vom Router und Management Server.
Ein Message Processor muss Port 4528 als Verwaltungsport öffnen. Wenn Sie mehrere Message Processors haben, müssen diese alle über Port 4528 aufeinander zugreifen können (gekennzeichnet durch den Schleifenpfeil im Diagramm oben für Port 4528 auf dem Message Processor). Wenn Sie mehrere Rechenzentren haben, muss der Port von allen Message Processors in allen Rechenzentren zugänglich sein. |
|
| 8082 |
Standardmäßiger Verwaltungsport für den Message Processor. Er muss auf der Komponente für den Zugriff durch den Management Server geöffnet sein. Wenn Sie TLS/SSL zwischen dem Router und dem Message Processor konfigurieren, wird dies vom Router für Systemdiagnosen des Message Processors verwendet. Port 8082 auf dem Message Processor muss nur für den Zugriff durch den Router geöffnet sein, wenn Sie TLS/SSL zwischen dem Router und dem Message Processor konfigurieren. Wenn Sie TLS/SSL nicht zwischen dem Router und dem Message Processor konfigurieren, muss die Standardkonfiguration, Port 8082, weiterhin auf dem Message Processor geöffnet sein, um die Komponente zu verwalten. Der Router benötigt jedoch keinen Zugriff darauf. |
|
| 8443 | Wenn TLS zwischen dem Router und dem Message Processor aktiviert ist, müssen Sie Port 8443 auf dem Message Processor für den Zugriff durch den Router öffnen. | |
| 8998 | Message Processor-Port für die Kommunikation vom Router | |
| Postgres | 22 | Wenn Sie zwei Postgres-Knoten für die Master-Standby-Replikation konfigurieren, müssen Sie Port 22 auf jedem Knoten für den SSH-Zugriff öffnen. |
| 1103 | JMX-Port | |
| 4530 | Für verteilte Cache- und Verwaltungsaufrufe | |
| 5432 | Wird für die Kommunikation von Qpid/Management Server zu Postgres verwendet | |
| 8084 | Standardmäßiger Verwaltungsport auf dem Postgres-Server; muss auf der Komponente für den Zugriff durch den Management Server geöffnet sein. | |
| Qpid | 1102 | JMX-Port |
| 4529 | Für verteilte Cache- und Verwaltungsaufrufe | |
| 5672 |
Wird auch für die Kommunikation zwischen dem Qpid-Server und den Broker-Komponenten auf demselben Knoten verwendet. In Topologien mit mehreren Qpid-Knoten muss der Server eine Verbindung zu allen Brokern über Port 5672 herstellen können. |
|
| 8083 | Standardmäßiger Verwaltungsport auf dem Qpid-Server, der auf der Komponente für den Zugriff durch den Management Server geöffnet sein muss. | |
| Router | 4527 | Für verteilte Cache- und Verwaltungsaufrufe.
Ein Router muss Port 4527 als Verwaltungsport öffnen. Wenn Sie mehrere Router haben, müssen diese alle über Port 4527 aufeinander zugreifen können (gekennzeichnet durch den Schleifenpfeil im obigen Diagramm für Port 4527 auf dem Router). Es ist nicht erforderlich, aber Sie können Port 4527 auf dem Router für den Zugriff durch einen beliebigen Message Processor öffnen. Andernfalls werden möglicherweise Fehlermeldungen in den Message Processor-Logdateien angezeigt. |
| 8081 | Standardmäßiger Verwaltungsport für den Router, der auf der Komponente für den Zugriff durch den Management Server geöffnet sein muss. | |
| 15999 |
Systemdiagnose-Port. Ein Load Balancer verwendet diesen Port, um festzustellen, ob der Router verfügbar ist. Um den Status eines Routers abzurufen, sendet der Load Balancer eine Anfrage an Port 15999 auf dem Router: curl -v http://routerIP:15999/v1/servers/self/reachable Wenn der Router erreichbar ist, gibt die Anfrage HTTP 200 zurück. |
|
| 59001 | Port, der vom Dienstprogramm apigee-validate zum Testen der Edge-Installation verwendet wird.
Dieses Dienstprogramm benötigt Zugriff auf Port 59001 auf dem Router. Weitere Informationen zu Port 59001 finden Sie unter Installation testen. |
|
| SmartDocs | 59002 | Der Port auf dem Edge-Router, an den SmartDocs-Seitenanfragen gesendet werden. |
| ZooKeeper | 2181 | Wird von anderen Komponenten wie Management Server, Router, Message Processor usw. verwendet |
| 2888, 3888 | Wird intern von ZooKeeper für die Kommunikation im ZooKeeper-Cluster (auch als ZooKeeper-Ensemble bezeichnet) verwendet |
In der folgenden Tabelle sind dieselben Ports numerisch aufgeführt, zusammen mit den Quell- und Zielkomponenten:
| Portnummer | Zweck | Quellkomponente | Zielkomponente |
|---|---|---|---|
| virtual_host_port | HTTP und alle anderen Ports, die Sie für den API-Aufruftraffic des virtuellen Hosts verwenden. Die Ports 80 und 443 werden am häufigsten verwendet. Der Message Router kann TLS/SSL-Verbindungen beenden. | Externer Client (oder Load Balancer) | Listener auf Nachrichtenrouter |
| 1099 bis 1103 | JMX-Verwaltung | JMX-Client | Management Server (1099) Message Processor (1101) Qpid Server (1102) Postgres Server (1103) |
| 2181 | Zookeeper-Client-Kommunikation | Management Server Router Message Processor Qpid Server Postgres Server |
Zookeeper |
| 2888 und 3888 | Zookeeper-Internode-Verwaltung | Zookeeper | Zookeeper |
| 4526 | RPC-Verwaltungsport | Verwaltungsserver | Verwaltungsserver |
| 4527 | RPC-Verwaltungsport für verteilte Cache- und Verwaltungsaufrufe sowie für die Kommunikation zwischen Routern | Verwaltungsserver Router |
Router |
| 4528 | Für verteilte Cache-Aufrufe zwischen Message Processors und für die Kommunikation vom Router | Management Server Router Message Processor |
Message Processor |
| 4529 | RPC-Verwaltungsport für verteilten Cache und Verwaltungsaufrufe | Verwaltungsserver | Qpid-Server |
| 4530 | RPC-Verwaltungsport für verteilten Cache und Verwaltungsaufrufe | Verwaltungsserver | Postgres-Server |
| 5432 | Postgres-Client | Qpid-Server | Postgres |
| 5636 | Monetarisierung | Externe JMS-Komponente | Verwaltungsserver |
| 5672 |
Wird auch für die Kommunikation zwischen dem Qpid-Server und den Broker-Komponenten auf demselben Knoten verwendet. In Topologien mit mehreren Qpid-Knoten muss der Server eine Verbindung zu allen Brokern über Port 5672 herstellen können. |
Qpid-Server | Qpid-Server |
| 7000 | Cassandra-Kommunikation zwischen Knoten | Cassandra | Anderer Cassandra-Knoten |
| 7199 | JMX-Verwaltung. Muss für den Zugriff auf den Cassandra-Knoten durch den Management Server geöffnet sein. | JMX-Client | Cassandra |
| 8080 | Management API-Port | Management API-Clients | Verwaltungsserver |
| 8081 bis 8084 |
Komponenten-API-Ports, die zum Senden von API-Anfragen direkt an einzelne Komponenten verwendet werden. Jede Komponente öffnet einen anderen Port. Der genaue Port hängt von der Konfiguration ab, muss aber auf der Komponente für den Zugriff durch den Management Server geöffnet sein. |
Management API-Clients | Router (8081) Message Processor (8082) Qpid Server (8083) Postgres Server (8084) |
| 8443 | Kommunikation zwischen Router und Message Processor, wenn TLS aktiviert ist | Router | Message Processor |
| 8998 | Kommunikation zwischen Router und Message Processor | Router | Message Processor |
| 9000 | Standardport der Edge-Verwaltungs-UI | Browser | Management UI Server |
| 9042 | Nativer CQL-Transport | Router Message Processor Management Server |
Cassandra |
| 9099 | Authentifizierung über externen IdP | IDP, Browser und Verwaltungsserver | Apigee-SSO |
| 9160 | Cassandra-Thrift-Client | Router Message Processor Management Server |
Cassandra |
| 10389 | LDAP-Port | Verwaltungsserver | OpenLDAP |
| 15999 | Systemdiagnose-Port. Ein Load Balancer verwendet diesen Port, um festzustellen, ob der Router verfügbar ist. | Load-Balancer | Router |
| 59001 | Port, der vom Dienstprogramm apigee-validate zum Testen der Edge-Installation verwendet wird |
apigee-validate | Router |
| 59002 | Der Router-Port, an den SmartDocs-Seitenanfragen gesendet werden | SmartDocs | Router |
Ein Message Processor hält einen dedizierten Verbindungspool zu Cassandra offen, der so konfiguriert ist, dass es nie zu einer Zeitüberschreitung kommt. Wenn sich eine Firewall zwischen einem Message Processor und einem Cassandra-Server befindet, kann die Firewall die Verbindung beenden. Der Message Processor ist jedoch nicht dafür ausgelegt, Verbindungen zu Cassandra wiederherzustellen.
Um diese Situation zu vermeiden, empfiehlt Apigee, dass sich der Cassandra-Server, der Message Processor und die Router im selben Subnetz befinden, damit keine Firewall an der Bereitstellung dieser Komponenten beteiligt ist.
Wenn sich zwischen dem Router und den Message Processors eine Firewall befindet und ein TCP-Zeitlimit für Inaktivität festgelegt ist, empfehlen wir Folgendes:
- Legen Sie
net.ipv4.tcp_keepalive_time = 1800in den sysctl-Einstellungen unter Linux fest, wobei 1800 kleiner als das TCP-Zeitlimit für inaktive Firewalls sein sollte. Mit dieser Einstellung sollte die Verbindung in einem hergestellten Zustand bleiben, damit die Firewall die Verbindung nicht trennt. - Bearbeiten Sie auf allen Message Processors
/opt/apigee/customer/application/message-processor.properties, um das folgende Attribut hinzuzufügen. Wenn die Datei nicht vorhanden ist, erstellen Sie sie.conf_system_cassandra.maxconnecttimeinmillis=-1
- Starten Sie den Message Processor neu:
/opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
- Bearbeiten Sie auf allen Routern
/opt/apigee/customer/application/router.properties, um das folgende Attribut hinzuzufügen. Wenn die Datei nicht vorhanden ist, erstellen Sie sie.conf_system_cassandra.maxconnecttimeinmillis=-1
- Router neu starten:
/opt/apigee/apigee-service/bin/apigee-service edge-router restart