本部分介绍验证 Apigee mTLS 安装是否成功的各种方法。 在排查集群问题时,您还可以使用本部分中介绍的方法。
验证 iptables 配置
您可以通过检查 iptables
路由是否正常运行以及规则是否有效来验证 apigee-mtls
安装是否成功。
验证 iptables
配置之前,请确保:
- 您已从节点卸载了防火墙规则,并将其替换为 iptables,如替换默认防火墙中所述。
- 您已停止节点上的所有 Apigee 组件,包括
apigee-mtls
。
如需使用 iptables 验证 apigee-mtls 配置,请执行以下操作:
- 登录到集群中的节点。执行上述操作的顺序并不重要。
- 停止节点上的所有组件,如以下示例所示:
/opt/apigee/apigee-service/bin/apigee-all stop
- 执行
validate
命令,如以下示例所示:/opt/apigee/apigee-mtls/lib/actions/iptables.sh validate
iptables
将消息发送到 Consul 或本地 Apigee 服务使用的每个端口。如果脚本遇到无效规则或失败路由,会显示错误。如果任何 Apigee 服务或 Consul 服务器在节点上运行,则此命令将失败。
- 通过执行以下命令,在节点上的所有其他组件之前启动
apigee-mtls
组件:/opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
- 按照启动顺序启动节点上的其余 Apigee 组件,如以下示例所示:
/opt/apigee/apigee-service/bin/apigee-service component_name start
- 对集群中的所有节点重复上述步骤。理想情况下,您应在第一个节点启动后的 5 分钟内在所有节点上执行此操作。
验证远程代理状态
您可以在 ZooKeeper 节点上使用 Consul 检查所有节点上的入站和出站代理服务是否处于活动状态、运行状况良好,以及已加入服务网格。
如需检查节点的代理状态,请执行以下操作:
- 登录到运行 ZooKeeper 的节点。
- 执行以下命令:
systemctl status consul_server
验证仲裁状态
mTLS 安装包括将 Consul 代理服务添加到所有节点。因此,您应验证所有 ZooKeeper 节点的仲裁状态。
如需检查仲裁状态,请登录每个运行 ZooKeeper 的节点并执行以下命令:
/opt/apigee/apigee-mtls-consul/bin/consul operator raft list-peers
此命令会显示 Consul 实例及其状态的列表,如以下示例所示:
Node ID Address State Voter RaftProtocol prc-test-0-1619 b59c1f44-6eb0-81d4-42 10.126.0.98:8300 leader true 3 prc-test-1-1619 a4372a6e-8044-e587-43 10.126.0.146:8300 follower true 3 prc-test-2-1619 71eb181f-4242-5353-44 10.126.0.100:8300 follower true 3
详情请参阅以下内容:
此外,您还可以获取有关集群运行状况的信息,包括集群的仲裁是否已形成以及远程成员是否正在影响功能。为此,请使用以下命令:
/opt/apigee/apigee-service/bin/apigee-service apigee-mtls status