ข้อกําหนดของพอร์ต

ความจำเป็นในการจัดการไฟร์วอลล์เป็นมากกว่าแค่โฮสต์เสมือน ทั้ง VM และโฮสต์จริง ไฟร์วอลล์ต้องอนุญาตการรับส่งข้อมูลสำหรับพอร์ตที่คอมโพเนนต์จำเป็นต้องใช้เพื่อสื่อสารกับแต่ละพอร์ต อื่นๆ

แผนภาพพอร์ต

รูปภาพต่อไปนี้แสดงข้อกำหนดของพอร์ตสำหรับทั้งศูนย์ข้อมูลเดียวและศูนย์ข้อมูลหลายแห่ง การกำหนดค่าศูนย์ข้อมูล

ศูนย์ข้อมูลเดียว

รูปภาพต่อไปนี้แสดงข้อกำหนดของพอร์ตสำหรับคอมโพเนนต์ Edge แต่ละรายการในข้อมูลเดียว การกำหนดค่าศูนย์:

ข้อกำหนดของพอร์ตสำหรับคอมโพเนนต์ Edge แต่ละรายการในการกำหนดค่าศูนย์ข้อมูลรายการเดียว

หมายเหตุในแผนภาพนี้

  • พอร์ตที่มี "M" นำหน้า เป็นพอร์ตที่ใช้จัดการคอมโพเนนต์และต้องเปิด สำหรับเข้าถึงโดยเซิร์ฟเวอร์การจัดการ
  • Edge UI ต้องมีสิทธิ์เข้าถึงเราเตอร์ในพอร์ตที่พร็อกซี API แสดงเพื่อสนับสนุน ปุ่มส่งในเครื่องมือติดตาม
  • กำหนดค่าการเข้าถึงพอร์ต JMX ให้ต้องใช้ชื่อผู้ใช้/รหัสผ่านได้ โปรดดู วิธีตรวจสอบเพื่อดูข้อมูลเพิ่มเติม
  • คุณสามารถเลือกกำหนดค่าการเข้าถึง TLS/SSL สำหรับการเชื่อมต่อบางอย่าง ซึ่งสามารถใช้ พอร์ตต่างๆ โปรดดู TLS/SSL สำหรับ และอีกมากมาย
  • คุณกำหนดค่าเซิร์ฟเวอร์การจัดการและ Edge UI ให้ส่งอีเมลผ่าน SMTP ภายนอกได้ เซิร์ฟเวอร์ คุณต้องตรวจสอบให้แน่ใจว่าเซิร์ฟเวอร์การจัดการและ UI สามารถเข้าถึง ของเซิร์ฟเวอร์ SMTP (ไม่แสดง) สำหรับ SMTP ที่ไม่ใช้ TLS หมายเลขพอร์ตโดยทั่วไปจะเป็น 25 สำหรับ SMTP ที่เปิดใช้ TLS มักจะเป็นแบบ 465 โปรดตรวจสอบกับผู้ให้บริการ SMTP ของคุณ

ศูนย์ข้อมูลหลายแห่ง

ถ้าคุณติดตั้งโหนด 12 โหนด การกำหนดค่าแบบคลัสเตอร์ที่มีศูนย์ข้อมูล 2 แห่ง ตรวจสอบว่าโหนดในศูนย์ข้อมูลทั้ง 2 แห่ง สามารถสื่อสารผ่านพอร์ตที่แสดงด้านล่าง

ข้อกำหนดของพอร์ตสำหรับแต่ละโหนดในการกำหนดค่าคลัสเตอร์ 12 โหนด

โปรดทราบว่า

  • เซิร์ฟเวอร์การจัดการทั้งหมดต้องเข้าถึงโหนด Cassandra ทั้งหมดในข้อมูลอื่นๆ ได้ สำหรับศูนย์ข้อมูลของเรา
  • ตัวประมวลผลข้อความทั้งหมดในศูนย์ข้อมูลทุกแห่งจะต้องเข้าถึงกันและกันผ่าน พอร์ต 4528
  • เซิร์ฟเวอร์การจัดการต้องสามารถเข้าถึง Message Processor ทั้งหมดผ่านพอร์ต 8082 ได้
  • เซิร์ฟเวอร์การจัดการทั้งหมดและโหนด Qpid ทั้งหมดต้องเข้าถึง Postgres ในอุปกรณ์อื่นๆ ได้ ศูนย์ข้อมูลของเรา
  • เพื่อความปลอดภัย นอกเหนือจากพอร์ตที่แสดงด้านบนและอื่นๆ ตามข้อกำหนดด้านเครือข่ายของคุณเอง ไม่ควรมีพอร์ตอื่นใดเปิดระหว่างข้อมูล สำหรับศูนย์ข้อมูลของเรา

โดยค่าเริ่มต้น การสื่อสารระหว่างคอมโพเนนต์ต่างๆ จะไม่มีการเข้ารหัส คุณสามารถเพิ่มการเข้ารหัสได้โดย การติดตั้ง Apigee mTLS โปรดดูข้อมูลเพิ่มเติมในข้อมูลเบื้องต้นเกี่ยวกับ Apigee mTLS

รายละเอียดพอร์ต

ตารางด้านล่างอธิบายพอร์ตที่ต้องเปิดในไฟร์วอลล์ตามคอมโพเนนต์ Edge

ส่วนประกอบ พอร์ต คำอธิบาย
พอร์ต HTTP มาตรฐาน 80, 443 HTTP และพอร์ตอื่นๆ ที่คุณใช้สำหรับโฮสต์เสมือน
SSO ของ Apigee 9099 การเชื่อมต่อจาก IdP ภายนอก เซิร์ฟเวอร์การจัดการ และเบราว์เซอร์สำหรับ การตรวจสอบสิทธิ์
Cassandra 7000, 9042, 9160 พอร์ต Apache Cassandra สำหรับการสื่อสารระหว่างโหนด Cassandra และสำหรับการเข้าถึงโดย คอมโพเนนต์ Edge อื่นๆ
7199 พอร์ต JMX เซิร์ฟเวอร์การจัดการต้องเปิดจึงจะเข้าถึงได้
LDAP 10389 OpenLDAP
เซิร์ฟเวอร์การจัดการ 1099 พอร์ต JMX
4526 พอร์ตสำหรับแคชแบบกระจายและการเรียกใช้การจัดการ พอร์ตนี้กำหนดค่าได้
5636 พอร์ตสำหรับการแจ้งเตือนสัญญาผูกมัดการสร้างรายได้
8080 พอร์ตสำหรับการเรียก API การจัดการ Edge คอมโพเนนต์เหล่านี้ต้องมีสิทธิ์เข้าถึงพอร์ต 8080 บน เซิร์ฟเวอร์การจัดการ ได้แก่ เราเตอร์, Message Processor, UI, Postgres, Apigee SSO (หากเปิดใช้อยู่) และ Qpid
UI การจัดการ 9,000 พอร์ตสำหรับการเข้าถึง UI การจัดการของเบราว์เซอร์
Message Processor 1101 พอร์ต JMX
4528 สำหรับแคชแบบกระจายและการเรียกใช้การจัดการระหว่างตัวประมวลผลข้อความ และสำหรับ การสื่อสารจากเราเตอร์และเซิร์ฟเวอร์การจัดการ

ตัวประมวลผลข้อความต้องเปิดพอร์ต 4528 เป็นพอร์ตการจัดการ หากคุณมี โปรเซสเซอร์ข้อความจะต้องเข้าถึงกันและกันผ่านพอร์ต 4528 (ระบุโดย ลูกศรวนซ้ำในแผนภาพด้านบนสำหรับพอร์ต 4528 บนตัวประมวลผลข้อความ) หากคุณมี ศูนย์ข้อมูลหลายศูนย์ พอร์ตต้องเข้าถึงได้จากตัวประมวลผลข้อความทั้งหมดในข้อมูลทั้งหมด สำหรับศูนย์ข้อมูลของเรา
8082

พอร์ตการจัดการเริ่มต้นสำหรับตัวประมวลผลข้อความและจะต้องเปิดบนคอมโพเนนต์เพื่อ โดยเซิร์ฟเวอร์การจัดการ

ถ้าคุณกำหนดค่า TLS/SSL ระหว่างเราเตอร์และตัวประมวลผลข้อความซึ่งใช้โดยเราเตอร์ เพื่อตรวจสอบประสิทธิภาพการทำงานของโปรแกรมประมวลผลข้อความ

พอร์ต 8082 บน Message Processor จะต้องเปิดให้เราเตอร์เข้าถึงเท่านั้นเมื่อคุณ กำหนดค่า TLS/SSL ระหว่างเราเตอร์และ Message Processor หากคุณไม่กำหนดค่า TLS/SSL ระหว่างเราเตอร์และ Message Processor การกำหนดค่าเริ่มต้น พอร์ต 8082 ยังคงต้อง บนตัวประมวลผลข้อความเพื่อจัดการคอมโพเนนต์ แต่เราเตอร์ไม่จำเป็นต้องใช้ เข้าถึงได้
8443 เมื่อเปิดใช้ TLS ระหว่างเราเตอร์และโปรแกรมประมวลผลข้อความ คุณต้องเปิดพอร์ต 8443 Message Processor สำหรับการเข้าถึงโดย Router
8998 พอร์ตตัวประมวลผลข้อความสำหรับการสื่อสารจากเราเตอร์
Postgres 22 หากกำหนดค่าโหนด Postgres 2 โหนดให้ใช้การจำลองสแตนด์บายต้นแบบ คุณต้องเปิด พอร์ต 22 ในแต่ละโหนดสำหรับการเข้าถึง SSH
1103 พอร์ต JMX
4530 สำหรับแคชแบบกระจายและการเรียกใช้การจัดการ
5432 ใช้สำหรับการสื่อสารจากเซิร์ฟเวอร์ Qpid/การจัดการไปยัง Postgres
8084 พอร์ตการจัดการเริ่มต้นในเซิร์ฟเวอร์ Postgres ต้องเปิดในคอมโพเนนต์จึงจะเข้าถึงได้ โดยเซิร์ฟเวอร์การจัดการ
Qpid 1102 พอร์ต JMX
4529 สำหรับแคชแบบกระจายและการเรียกใช้การจัดการ
5,672
  • ศูนย์ข้อมูลเดียว: ใช้สำหรับส่งข้อมูลวิเคราะห์จากเราเตอร์และ ตัวประมวลผลข้อความไปยัง Qpid
  • ศูนย์ข้อมูลหลายแห่ง: ใช้สำหรับการสื่อสารระหว่างโหนด Qpid ในศูนย์ข้อมูลต่างๆ

และยังใช้สำหรับการสื่อสารระหว่างเซิร์ฟเวอร์ Qpid และองค์ประกอบของโบรกเกอร์ ในโทโพโลยีที่มีโหนด Qpid หลายโหนด เซิร์ฟเวอร์จะต้องเชื่อมต่อกับโหนดได้ บนพอร์ต 5672
8083 พอร์ตการจัดการเริ่มต้นบนเซิร์ฟเวอร์ Qpid และต้องเปิดบนคอมโพเนนต์เพื่อ โดยเซิร์ฟเวอร์การจัดการ
เราเตอร์ 4527 สำหรับแคชแบบกระจายและการเรียกใช้การจัดการ

เราเตอร์ต้องเปิดพอร์ต 4527 เป็นพอร์ตการจัดการ หากคุณมีเราเตอร์หลายตัว ต้องสามารถเข้าถึงกันและกันผ่านพอร์ต 4527 (ระบุด้วยลูกศรวนซ้ำใน แผนภาพด้านบนสำหรับพอร์ต 4527 บนเราเตอร์)

แม้ว่าจะไม่จำเป็น คุณสามารถเปิดพอร์ต 4527 บนเราเตอร์เพื่อเข้าถึง Message Processor มิฉะนั้น คุณอาจพบข้อความแสดงข้อผิดพลาดในตัวประมวลผลข้อความ ไฟล์บันทึก
8081 พอร์ตการจัดการเริ่มต้นสำหรับเราเตอร์และต้องเปิดบนคอมโพเนนต์เพื่อเข้าถึง โดยเซิร์ฟเวอร์การจัดการ
15,999

พอร์ตการตรวจสอบประสิทธิภาพการทำงาน ตัวจัดสรรภาระงานใช้พอร์ตนี้ในการพิจารณาว่าเราเตอร์คือ พร้อมใช้งาน

หากต้องการดูสถานะเราเตอร์ ตัวจัดสรรภาระงานจะส่งคำขอไปยังพอร์ต 15999 บน เราเตอร์:

curl -v http://routerIP:15999/v1/servers/self/reachable

หากเข้าถึงเราเตอร์ได้ คำขอจะแสดง HTTP 200
59001 พอร์ตที่ใช้ทดสอบการติดตั้ง Edge โดยยูทิลิตี apigee-validate ยูทิลิตีนี้ต้องมีสิทธิ์เข้าถึงพอร์ต 59001 บนเราเตอร์ โปรดดู ทดสอบการติดตั้งสำหรับพอร์ต 59001 เพิ่มเติม
SmartDocs 59002 พอร์ตในเราเตอร์ Edge ที่ส่งคำขอหน้า SmartDocument
ZooKeeper 2181 ใช้โดยคอมโพเนนต์อื่นๆ เช่น เซิร์ฟเวอร์การจัดการ, เราเตอร์, ตัวประมวลผลข้อความ เป็นต้น
2888, 3888 ใช้ภายในโดย ZooKeeper สำหรับคลัสเตอร์ ZooKeeper (หรือที่เรียกว่าชุด ZooKeeper) การสื่อสาร

ตารางถัดไปจะแสดงพอร์ตเดียวกัน ซึ่งแสดงเป็นตัวเลข พร้อมกับต้นทางและปลายทาง คอมโพเนนต์

หมายเลขพอร์ต วัตถุประสงค์ คอมโพเนนต์ต้นทาง คอมโพเนนต์ปลายทาง
virtual_host_port HTTP รวมถึงพอร์ตอื่นๆ ที่คุณใช้สำหรับการรับส่งข้อมูลการเรียก API ของโฮสต์เสมือน พอร์ต 80 และ 443 ใช้กันโดยทั่วไป เราเตอร์ข้อความสามารถยุติการเชื่อมต่อ TLS/SSL ไคลเอ็นต์ภายนอก (หรือตัวจัดสรรภาระงาน) Listener บนเราเตอร์ข้อความ
1099 ถึง 1103 การจัดการ JMX ไคลเอ็นต์ JMX เซิร์ฟเวอร์การจัดการ (1099)
ตัวประมวลผลข้อความ (1101)
เซิร์ฟเวอร์ Qpid (1102)
เซิร์ฟเวอร์ Postgres (1103)
2181 การสื่อสารกับลูกค้าผ่านทาง Zookeeper เซิร์ฟเวอร์การจัดการ
เราเตอร์
ตัวประมวลผลข้อความ
เซิร์ฟเวอร์ Qpid
เซิร์ฟเวอร์ Postgres 		ผู้ดูแลสวนสัตว์
2888 และ 3888 การจัดการโหนดของผู้ดูแลสวนสัตว์ ผู้ดูแลสวนสัตว์ ผู้ดูแลสวนสัตว์
4526 พอร์ตการจัดการ RPC เซิร์ฟเวอร์การจัดการ เซิร์ฟเวอร์การจัดการ
4527 พอร์ตการจัดการ RPC สำหรับแคชแบบกระจายและการเรียกใช้การจัดการ และสำหรับการสื่อสาร ระหว่างเราเตอร์ เราเตอร์
เซิร์ฟเวอร์การจัดการ		 เราเตอร์
4528 สำหรับการเรียกแคชแบบกระจายระหว่างตัวประมวลผลข้อความ และสำหรับการสื่อสาร จากเราเตอร์ เซิร์ฟเวอร์การจัดการ
เราเตอร์
ตัวประมวลผลข้อความ 		Message Processor
4529 พอร์ตการจัดการ RPC สำหรับแคชแบบกระจายและการเรียกใช้การจัดการ เซิร์ฟเวอร์การจัดการ เซิร์ฟเวอร์ Qpid
4530 พอร์ตการจัดการ RPC สำหรับแคชแบบกระจายและการเรียกใช้การจัดการ เซิร์ฟเวอร์การจัดการ เซิร์ฟเวอร์ Postgres
5432 ไคลเอ็นต์ Postgres เซิร์ฟเวอร์ Qpid Postgres
5636 การสร้างรายได้ คอมโพเนนต์ JMS ภายนอก เซิร์ฟเวอร์การจัดการ
5672
  • ศูนย์ข้อมูลเดียว: ใช้สำหรับส่งข้อมูลวิเคราะห์จากเราเตอร์และ ตัวประมวลผลข้อความไปยัง Qpid
  • ศูนย์ข้อมูลหลายแห่ง: ใช้สำหรับการสื่อสารระหว่างโหนด Qpid ในศูนย์ข้อมูลต่างๆ

และยังใช้สำหรับการสื่อสารระหว่างเซิร์ฟเวอร์ Qpid และองค์ประกอบของโบรกเกอร์ ในโทโพโลยีที่มีโหนด Qpid หลายโหนด เซิร์ฟเวอร์จะต้องเชื่อมต่อกับโหนดได้ บนพอร์ต 5672

 เซิร์ฟเวอร์ Qpid เซิร์ฟเวอร์ Qpid
7000 การสื่อสารระหว่างโหนด Cassandra Cassandra โหนด Cassandra อื่นๆ
7199 การจัดการ JMX ต้องเปิดเพื่อให้เข้าถึงโหนด Cassandra โดยฝ่ายบริหาร เซิร์ฟเวอร์ ไคลเอ็นต์ JMX Cassandra
8080 พอร์ต API การจัดการ ไคลเอ็นต์ API การจัดการ เซิร์ฟเวอร์การจัดการ
8081 ถึง 8084

พอร์ต API คอมโพเนนต์ ซึ่งใช้สำหรับการออกคำขอ API ไปยังแต่ละคอมโพเนนต์โดยตรง คอมโพเนนต์แต่ละรายการจะเปิดพอร์ตที่ต่างกัน พอร์ตที่ใช้จะขึ้นอยู่กับการกำหนดค่า แต่ต้องเปิดในคอมโพเนนต์เพื่อให้เซิร์ฟเวอร์การจัดการเข้าถึงได้

 ไคลเอ็นต์ API การจัดการ เราเตอร์ (8081)
ตัวประมวลผลข้อความ (8082)
เซิร์ฟเวอร์ Qpid (8083)
เซิร์ฟเวอร์ Postgres (8084)
8443 การสื่อสารระหว่างเราเตอร์และโปรแกรมประมวลผลข้อความเมื่อเปิดใช้ TLS เราเตอร์ Message Processor
8998 การสื่อสารระหว่างเราเตอร์และโปรแกรมประมวลผลข้อความ เราเตอร์ Message Processor
9000 พอร์ต UI การจัดการ Edge เริ่มต้น เบราว์เซอร์ เซิร์ฟเวอร์ UI การจัดการ
9042 การส่งแบบเนทีฟของ CQL เราเตอร์
ตัวประมวลผลข้อความ
เซิร์ฟเวอร์การจัดการ 		Cassandra
9099 การตรวจสอบสิทธิ์ IDP ภายนอก IDP, เบราว์เซอร์ และเซิร์ฟเวอร์การจัดการ SSO ของ Apigee
9160 ลูกค้ารถขายของ Cassandra เราเตอร์
ตัวประมวลผลข้อความ
เซิร์ฟเวอร์การจัดการ 		Cassandra
10389 พอร์ต LDAP เซิร์ฟเวอร์การจัดการ OpenLDAP
15999 พอร์ตการตรวจสอบประสิทธิภาพการทำงาน ตัวจัดสรรภาระงานใช้พอร์ตนี้ในการพิจารณาว่าเราเตอร์คือ พร้อมใช้งาน ตัวจัดสรรภาระงาน เราเตอร์
59001 พอร์ตที่ยูทิลิตี apigee-validate ใช้เพื่อทดสอบการติดตั้ง Edge apigee-validate เราเตอร์
59002 พอร์ตของเราเตอร์ที่มีการส่งคำขอหน้า Smartเอกสาร SmartDocs เราเตอร์

ตัวประมวลผลข้อความจะเปิดพูลการเชื่อมต่อเฉพาะให้กับ Cassandra ซึ่งได้รับการกำหนดค่า ให้ไม่มีระยะหมดเวลา เมื่อไฟร์วอลล์อยู่ระหว่างเซิร์ฟเวอร์ Message Processor และ Cassandra ไฟร์วอลล์อาจหมดเวลาการเชื่อมต่อ อย่างไรก็ตาม เครื่องมือประมวลผลข้อความไม่ได้ออกแบบมาให้ ได้เชื่อมต่อกับ Cassandra อีกครั้ง

เพื่อป้องกันปัญหานี้ Apigee จึงขอแนะนำให้เซิร์ฟเวอร์ Cassandra, Message Processor และ เราเตอร์อยู่ในซับเน็ตเดียวกันเพื่อให้ไฟร์วอลล์ไม่มีส่วนร่วมในการทำให้ใช้งานได้ของเราเตอร์ คอมโพเนนต์

หากไฟร์วอลล์อยู่ระหว่างเราเตอร์และตัวประมวลผลข้อความ และมีการตั้งค่าระยะหมดเวลา TCP ที่ไม่มีการใช้งาน คำแนะนำของเราคือการทำสิ่งต่อไปนี้

  1. ตั้งค่า net.ipv4.tcp_keepalive_time = 1800 ในการตั้งค่า sysctl ใน Linux OS โดยที่ 1800 ควรต่ำกว่าระยะหมดเวลา tcp ที่ไม่มีการใช้งานไฟร์วอลล์ การตั้งค่านี้ควรจะเก็บ ในสถานะที่สร้างขึ้นเพื่อให้ไฟร์วอลล์ไม่ตัดการเชื่อมต่อ
  2. ในตัวประมวลผลข้อความทั้งหมด ให้แก้ไข /opt/apigee/customer/application/message-processor.properties เพื่อเพิ่มพร็อพเพอร์ตี้ต่อไปนี้ หากไม่มีไฟล์ ให้สร้างขึ้นมา 
    conf_system_cassandra.maxconnecttimeinmillis=-1
  3. รีสตาร์ทโปรแกรมประมวลผลข้อความ 
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
  4. ในเราเตอร์ทั้งหมด แก้ไข /opt/apigee/customer/application/router.properties เพื่อเพิ่มพร็อพเพอร์ตี้ต่อไปนี้ หากไม่มีไฟล์ ให้สร้างขึ้นมา 
    conf_system_cassandra.maxconnecttimeinmillis=-1
  5. รีสตาร์ทเราเตอร์ดังนี้ 
    /opt/apigee/apigee-service/bin/apigee-service edge-router restart