ข้อกําหนดของพอร์ต

ความจำเป็นในการจัดการไฟร์วอลล์ไม่ได้จำกัดอยู่แค่โฮสต์เสมือนเท่านั้น แต่ไฟร์วอลล์ของทั้ง VM และโฮสต์จริงต้องอนุญาตการรับส่งข้อมูลสำหรับพอร์ตที่คอมโพเนนต์ต่างๆ ต้องใช้ในการสื่อสารกัน

แผนภาพพอร์ต

รูปภาพต่อไปนี้แสดงข้อกำหนดของพอร์ตสำหรับทั้งการกำหนดค่าศูนย์ข้อมูลเดียวและการกำหนดค่าศูนย์ข้อมูลหลายแห่ง

ศูนย์ข้อมูลเดียว

รูปภาพต่อไปนี้แสดงข้อกำหนดของพอร์ตสำหรับคอมโพเนนต์ Edge แต่ละรายการในการกำหนดค่าศูนย์ข้อมูลเดียว

ข้อกำหนดของพอร์ตสำหรับคอมโพเนนต์ Edge แต่ละรายการในการกำหนดค่าศูนย์ข้อมูลเดียว

หมายเหตุเกี่ยวกับแผนภาพนี้

  • พอร์ตที่ขึ้นต้นด้วย "M" คือพอร์ตที่ใช้จัดการคอมโพเนนต์และต้องเปิดในคอมโพเนนต์เพื่อให้เซิร์ฟเวอร์การจัดการเข้าถึงได้
  • UI ของ Edge ต้องมีสิทธิ์เข้าถึงเราเตอร์ในพอร์ตที่พร็อกซี API แสดงเพื่อรองรับปุ่มส่งในเครื่องมือติดตาม
  • คุณกำหนดค่าการเข้าถึงพอร์ต JMX ให้ต้องใช้ชื่อผู้ใช้/รหัสผ่านได้ ดูข้อมูลเพิ่มเติมได้ที่ วิธีตรวจสอบ
  • คุณเลือกกำหนดค่าการเข้าถึง TLS/SSL สำหรับการเชื่อมต่อบางอย่างได้ ซึ่งอาจใช้พอร์ตที่แตกต่างกัน ดูข้อมูลเพิ่มเติมได้ที่ TLS/SSL
  • คุณสามารถกำหนดค่า Management Server และ Edge UI ให้ส่งอีเมลผ่านเซิร์ฟเวอร์ SMTP ภายนอกได้ หากทำเช่นนั้น คุณต้องตรวจสอบว่าเซิร์ฟเวอร์การจัดการและ UI สามารถเข้าถึงพอร์ตที่จำเป็นในเซิร์ฟเวอร์ SMTP (ไม่ได้แสดง) ได้ สำหรับ SMTP ที่ไม่ใช่ TLS โดยทั่วไปหมายเลขพอร์ตคือ 25 สำหรับ SMTP ที่เปิดใช้ TLS มักจะเป็น 465 แต่โปรดตรวจสอบกับผู้ให้บริการ SMTP

ศูนย์ข้อมูลหลายแห่ง

หากติดตั้งการกำหนดค่าคลัสเตอร์แบบ 12 โหนด ที่มีศูนย์ข้อมูล 2 แห่ง โปรดตรวจสอบว่าโหนดในศูนย์ข้อมูลทั้ง 2 แห่ง สื่อสารผ่านพอร์ตที่แสดงด้านล่างได้

ข้อกำหนดของพอร์ตสำหรับแต่ละโหนดในการกำหนดค่าคลัสเตอร์แบบ 12 โหนด

โปรดทราบว่า

  • เซิร์ฟเวอร์การจัดการทั้งหมดต้องเข้าถึงโหนด Cassandra ทั้งหมดในศูนย์ข้อมูลอื่นๆ ทั้งหมดได้
  • Message Processor ทั้งหมดในศูนย์ข้อมูลทั้งหมดต้องเข้าถึงกันได้ผ่าน พอร์ต 4528
  • เซิร์ฟเวอร์การจัดการต้องเข้าถึง Message Processor ทั้งหมดผ่านพอร์ต 8082 ได้
  • เซิร์ฟเวอร์การจัดการและโหนด Qpid ทั้งหมดต้องเข้าถึง Postgres ในศูนย์ข้อมูลอื่นๆ ทั้งหมดได้
  • เพื่อเหตุผลด้านความปลอดภัย พอร์ตอื่นๆ นอกเหนือจากพอร์ตที่แสดงด้านบนและพอร์ตอื่นๆ ที่จำเป็นตามข้อกำหนดของเครือข่ายของคุณเอง ไม่ควรเปิดระหว่างศูนย์ข้อมูล

โดยค่าเริ่มต้น การสื่อสารระหว่างคอมโพเนนต์จะไม่ได้เข้ารหัส คุณเพิ่มการเข้ารหัสได้โดย ติดตั้ง Apigee mTLS ดูข้อมูลเพิ่มเติมได้ที่ข้อมูลเบื้องต้นเกี่ยวกับ Apigee mTLS

รายละเอียดการโอน

ตารางด้านล่างอธิบายพอร์ตที่ต้องเปิดในไฟร์วอลล์ตามคอมโพเนนต์ Edge

ส่วนประกอบ พอร์ต คำอธิบาย
พอร์ต HTTP มาตรฐาน 80, 443 HTTP และพอร์ตอื่นๆ ที่คุณใช้สำหรับโฮสต์เสมือน
Apigee SSO 9099 การเชื่อมต่อจาก IdP ภายนอก เซิร์ฟเวอร์การจัดการ และเบราว์เซอร์สำหรับการ ตรวจสอบสิทธิ์
Cassandra 7000, 9042 พอร์ต Apache Cassandra สำหรับการสื่อสารระหว่างโหนด Cassandra และสำหรับการเข้าถึงโดย คอมโพเนนต์ Edge อื่นๆ
7199 พอร์ต JMX ต้องเปิดเพื่อให้เซิร์ฟเวอร์การจัดการเข้าถึงได้
LDAP 10389 SymasLDAP
เซิร์ฟเวอร์การจัดการ 1099 พอร์ต JMX
4526 พอร์ตสำหรับการเรียกแคชและการจัดการแบบกระจาย พอร์ตนี้สามารถกำหนดค่าได้
5636 พอร์ตสำหรับการแจ้งเตือนการคอมมิตการสร้างรายได้
8080 พอร์ตสำหรับการเรียก API การจัดการ Edge คอมโพเนนต์เหล่านี้ต้องมีสิทธิ์เข้าถึงพอร์ต 8080 ในเซิร์ฟเวอร์การจัดการ ได้แก่ เราเตอร์, Message Processor, UI, Postgres, Apigee SSO (หากเปิดใช้) และ Qpid
UI การจัดการ 9000 พอร์ตสำหรับการเข้าถึง UI การจัดการของเบราว์เซอร์
Message Processor 1101 พอร์ต JMX
4528 สำหรับการเรียกแคชและการจัดการแบบกระจายระหว่างตัวประมวลผลข้อความ และสำหรับการ สื่อสารจากเราเตอร์และเซิร์ฟเวอร์การจัดการ

Message Processor ต้องเปิดพอร์ต 4528 เป็นพอร์ตการจัดการ หากคุณมี Message Processor หลายตัว ทุกตัวจะต้องเข้าถึงกันได้ผ่านพอร์ต 4528 (ระบุด้วย ลูกศรวนในไดอะแกรมด้านบนสำหรับพอร์ต 4528 ใน Message Processor) หากคุณมีศูนย์ข้อมูลหลายแห่ง พอร์ตต้องเข้าถึงได้จาก Message Processor ทั้งหมดในศูนย์ข้อมูลทั้งหมด
8082

พอร์ตการจัดการเริ่มต้นสำหรับ Message Processor และต้องเปิดในคอมโพเนนต์เพื่อให้เซิร์ฟเวอร์การจัดการเข้าถึงได้

หากคุณกำหนดค่า TLS/SSL ระหว่างเราเตอร์และตัวประมวลผลข้อความ ซึ่งเราเตอร์ใช้เพื่อทำการตรวจสอบสถานะในตัวประมวลผลข้อความ

พอร์ต 8082 ใน Message Processor จะต้องเปิดให้เราเตอร์เข้าถึงได้เมื่อคุณ กำหนดค่า TLS/SSL ระหว่างเราเตอร์กับ Message Processor หากคุณไม่ได้กำหนดค่า TLS/SSL ระหว่างเราเตอร์กับตัวประมวลผลข้อความ การกำหนดค่าเริ่มต้น พอร์ต 8082 จะยังคงต้อง เปิดในตัวประมวลผลข้อความเพื่อจัดการคอมโพเนนต์ แต่เราเตอร์ไม่จำเป็นต้อง เข้าถึง
8443 เมื่อเปิดใช้ TLS ระหว่างเราเตอร์และตัวประมวลผลข้อความ คุณต้องเปิดพอร์ต 8443 ใน ตัวประมวลผลข้อความเพื่อให้เราเตอร์เข้าถึงได้
8998 พอร์ต Message Processor สำหรับการสื่อสารจากเราเตอร์
Postgres 22 หากกำหนดค่าโหนด Postgres 2 โหนดให้ใช้การจำลองแบบมาสเตอร์-สแตนด์บาย คุณต้องเปิด พอร์ต 22 ในแต่ละโหนดสำหรับการเข้าถึง SSH
1103 พอร์ต JMX
4530 สำหรับการเรียกแคชแบบกระจายและการจัดการ
5432 ใช้สำหรับการสื่อสารจาก Qpid/Management Server ไปยัง Postgres
8084 พอร์ตการจัดการเริ่มต้นในเซิร์ฟเวอร์ Postgres ต้องเปิดในคอมโพเนนต์เพื่อให้เซิร์ฟเวอร์การจัดการเข้าถึงได้
Qpid 1102 พอร์ต JMX
4529 สำหรับการเรียกแคชแบบกระจายและการจัดการ
5672
  • ศูนย์ข้อมูลเดียว: ใช้สำหรับส่งข้อมูลวิเคราะห์จากเราเตอร์และ Message Processor ไปยัง Qpid
  • ศูนย์ข้อมูลหลายแห่ง: ใช้สำหรับการสื่อสารระหว่างโหนด Qpid ในศูนย์ข้อมูลต่างๆ

นอกจากนี้ยังใช้สำหรับการสื่อสารระหว่างเซิร์ฟเวอร์ Qpid กับคอมโพเนนต์ Broker ในโหนดเดียวกันด้วย ในโทโพโลยีที่มีโหนด Qpid หลายโหนด เซิร์ฟเวอร์ต้องเชื่อมต่อกับโบรกเกอร์ทั้งหมด ในพอร์ต 5672 ได้
8083 พอร์ตการจัดการเริ่มต้นในเซิร์ฟเวอร์ Qpid และต้องเปิดในคอมโพเนนต์เพื่อให้เซิร์ฟเวอร์การจัดการเข้าถึงได้
8090 พอร์ตเริ่มต้นสำหรับ Broker ของ Qpid ต้องเปิดเพื่อเข้าถึงคอนโซลการจัดการหรือ API การจัดการของ Broker เพื่อวัตถุประสงค์ในการตรวจสอบ
เราเตอร์ 4527 สำหรับการเรียกแคชและการจัดการแบบกระจาย

เราเตอร์ต้องเปิดพอร์ต 4527 เป็นพอร์ตการจัดการ หากมีเราเตอร์หลายตัว เราเตอร์ทั้งหมด ต้องเข้าถึงกันได้ผ่านพอร์ต 4527 (ระบุด้วยลูกศรวนใน แผนภาพด้านบนสำหรับพอร์ต 4527 ในเราเตอร์)

แม้ว่าจะไม่จำเป็น แต่คุณสามารถเปิดพอร์ต 4527 ในเราเตอร์เพื่อให้Message Processor ใดก็ได้ เข้าถึงได้ ไม่เช่นนั้น คุณอาจเห็นข้อความแสดงข้อผิดพลาดในไฟล์บันทึกของ Message Processor

8081 พอร์ตการจัดการเริ่มต้นสำหรับเราเตอร์และต้องเปิดในคอมโพเนนต์เพื่อให้เซิร์ฟเวอร์การจัดการเข้าถึงได้
15999

พอร์ตการตรวจสอบประสิทธิภาพการทำงาน ตัวจัดสรรภาระงานใช้พอร์ตนี้เพื่อพิจารณาว่าเราเตอร์พร้อมใช้งานหรือไม่

หากต้องการดูสถานะของเราเตอร์ ตัวจัดสรรภาระงานจะส่งคำขอไปยังพอร์ต 15999 ใน เราเตอร์

curl -v http://routerIP:15999/v1/servers/self/reachable

หากเข้าถึงเราเตอร์ได้ คำขอจะแสดง HTTP 200
59001 พอร์ตที่ใช้สำหรับการทดสอบการติดตั้ง Edge โดยยูทิลิตี apigee-validate ยูทิลิตีนี้ต้องมีสิทธิ์เข้าถึงพอร์ต 59001 ในเราเตอร์ ดูข้อมูลเพิ่มเติมเกี่ยวกับพอร์ต 59001 ได้ที่ ทดสอบการติดตั้ง
SmartDocs 59002 พอร์ตในเราเตอร์ Edge ที่ส่งคำขอหน้า SmartDocs
ZooKeeper 2181 ใช้โดยคอมโพเนนต์อื่นๆ เช่น Management Server, Router, Message Processor และอื่นๆ
2888, 3888 ใช้ภายในโดย ZooKeeper สำหรับการสื่อสารคลัสเตอร์ ZooKeeper (หรือที่เรียกว่า ZooKeeper Ensemble)

ตารางถัดไปแสดงพอร์ตเดียวกันโดยเรียงตามตัวเลข พร้อมคอมโพเนนต์ต้นทางและปลายทาง

หมายเลขพอร์ต วัตถุประสงค์ คอมโพเนนต์ต้นทาง คอมโพเนนต์ปลายทาง
virtual_host_port HTTP และพอร์ตอื่นๆ ที่คุณใช้สำหรับการเข้าชมการเรียก API ของโฮสต์เสมือน โดยทั่วไปจะใช้พอร์ต 80 และ 443 ซึ่ง Message Router สามารถสิ้นสุดการเชื่อมต่อ TLS/SSL ได้ ไคลเอ็นต์ภายนอก (หรือตัวจัดสรรภาระงาน) Listener ใน Message Router
1099 ถึง 1103 การจัดการ JMX ไคลเอ็นต์ JMX เซิร์ฟเวอร์การจัดการ (1099)
Message Processor (1101)
เซิร์ฟเวอร์ Qpid (1102)
เซิร์ฟเวอร์ Postgres (1103)
2181 การสื่อสารของไคลเอ็นต์ Zookeeper เซิร์ฟเวอร์การจัดการ
เราเตอร์
Message Processor
เซิร์ฟเวอร์ Qpid
เซิร์ฟเวอร์ Postgres 		ผู้ดูแลสวนสัตว์
2888 และ 3888 การจัดการโหนดภายในของ Zookeeper ผู้ดูแลสวนสัตว์ ผู้ดูแลสวนสัตว์
4526 พอร์ตการจัดการ RPC เซิร์ฟเวอร์การจัดการ เซิร์ฟเวอร์การจัดการ
4527 พอร์ตการจัดการ RPC สำหรับการเรียกแคชและการจัดการแบบกระจาย และสำหรับการสื่อสาร ระหว่างเราเตอร์ เซิร์ฟเวอร์การจัดการ
เราเตอร์		 เราเตอร์
4528 สำหรับการเรียกแคชแบบกระจายระหว่างตัวประมวลผลข้อความ และสำหรับการสื่อสาร จากเราเตอร์ เซิร์ฟเวอร์การจัดการ
เราเตอร์
Message Processor 		Message Processor
4529 พอร์ตการจัดการ RPC สำหรับแคชแบบกระจายและการเรียกการจัดการ เซิร์ฟเวอร์การจัดการ Qpid Server
4530 พอร์ตการจัดการ RPC สำหรับแคชแบบกระจายและการเรียกการจัดการ เซิร์ฟเวอร์การจัดการ เซิร์ฟเวอร์ Postgres
5432 ไคลเอ็นต์ Postgres Qpid Server Postgres
5636 การสร้างรายได้ คอมโพเนนต์ JMS ภายนอก เซิร์ฟเวอร์การจัดการ
5672
  • ศูนย์ข้อมูลเดียว: ใช้สำหรับส่งข้อมูลวิเคราะห์จากเราเตอร์และ Message Processor ไปยัง Qpid
  • ศูนย์ข้อมูลหลายแห่ง: ใช้สำหรับการสื่อสารระหว่างโหนด Qpid ในศูนย์ข้อมูลต่างๆ

นอกจากนี้ยังใช้สำหรับการสื่อสารระหว่างเซิร์ฟเวอร์ Qpid กับคอมโพเนนต์ Broker ในโหนดเดียวกันด้วย ในโทโพโลยีที่มีโหนด Qpid หลายโหนด เซิร์ฟเวอร์ต้องเชื่อมต่อกับโบรกเกอร์ทั้งหมด ในพอร์ต 5672 ได้

 Qpid Server Qpid Server
7000 การสื่อสารระหว่างโหนดของ Cassandra Cassandra โหนด Cassandra อื่นๆ
7199 การจัดการ JMX ต้องเปิดเพื่อเข้าถึงในโหนด Cassandra โดยเซิร์ฟเวอร์การจัดการ ไคลเอ็นต์ JMX Cassandra
8080 พอร์ต Management API ไคลเอ็นต์ Management API เซิร์ฟเวอร์การจัดการ
8081 ถึง 8084

พอร์ต API ของคอมโพเนนต์ ใช้สำหรับส่งคำขอ API ไปยังคอมโพเนนต์แต่ละรายการโดยตรง แต่ละคอมโพเนนต์จะเปิดพอร์ตที่แตกต่างกัน พอร์ตที่ใช้จริงจะขึ้นอยู่กับการกำหนดค่า แต่ต้องเปิดในคอมโพเนนต์เพื่อให้เซิร์ฟเวอร์การจัดการเข้าถึงได้

 ไคลเอ็นต์ Management API เราเตอร์ (8081)
Message Processor (8082)
Qpid Server (8083)
Postgres Server (8084)
8090 พอร์ตการจัดการเริ่มต้นสำหรับ Broker ของ Qpid เพื่อจัดการและตรวจสอบคิว เบราว์เซอร์หรือไคลเอ็นต์ API Qpid Broker (apigee-qpidd)
8443 การสื่อสารระหว่างเราเตอร์และตัวประมวลผลข้อความเมื่อเปิดใช้ TLS เราเตอร์ Message Processor
8998 การสื่อสารระหว่างเราเตอร์และ Message Processor เราเตอร์ Message Processor
9000 พอร์ต UI การจัดการ Edge เริ่มต้น เบราว์เซอร์ เซิร์ฟเวอร์ UI การจัดการ
9042 การรับส่งข้อมูล CQL ดั้งเดิม เราเตอร์
Message Processor
เซิร์ฟเวอร์การจัดการ 		Cassandra
9099 การตรวจสอบสิทธิ์ IdP ภายนอก IdP, เบราว์เซอร์ และเซิร์ฟเวอร์การจัดการ Apigee SSO
10389 พอร์ต LDAP เซิร์ฟเวอร์การจัดการ SymasLDAP
15999 พอร์ตการตรวจสอบประสิทธิภาพการทำงาน ตัวจัดสรรภาระงานใช้พอร์ตนี้เพื่อพิจารณาว่าเราเตอร์พร้อมใช้งานหรือไม่ ตัวจัดสรรภาระงาน เราเตอร์
59001 พอร์ตที่ใช้โดยยูทิลิตี apigee-validate เพื่อทดสอบการติดตั้ง Edge apigee-validate เราเตอร์
59002 พอร์ตเราเตอร์ที่ส่งคำขอหน้า SmartDocs SmartDocs เราเตอร์

Message Processor จะเปิดพูลการเชื่อมต่อเฉพาะกับ Cassandra ซึ่งได้รับการกำหนดค่า ไม่ให้หมดเวลา เมื่อมีไฟร์วอลล์อยู่ระหว่าง Message Processor กับเซิร์ฟเวอร์ Cassandra ไฟร์วอลล์อาจทำให้การเชื่อมต่อหมดเวลา อย่างไรก็ตาม ตัวประมวลผลข้อความไม่ได้ออกแบบมาเพื่อ สร้างการเชื่อมต่อกับ Cassandra ใหม่

Apigee ขอแนะนำให้เซิร์ฟเวอร์ Cassandra, Message Processor และ เราเตอร์อยู่ในซับเน็ตเดียวกันเพื่อไม่ให้ไฟร์วอลล์เกี่ยวข้องกับการติดตั้งใช้งานคอมโพเนนต์เหล่านี้

หากมีไฟร์วอลล์อยู่ระหว่างเราเตอร์กับตัวประมวลผลข้อความ และมีการตั้งค่าการหมดเวลา TCP ที่ไม่ได้ใช้งาน เราขอแนะนำให้ทำดังนี้

  1. ตั้งค่า net.ipv4.tcp_keepalive_time = 1800 ในการตั้งค่า sysctl ในระบบปฏิบัติการ Linux โดยที่ 1800 ควรต่ำกว่าการหมดเวลา TCP ที่ไม่ได้ใช้งานของไฟร์วอลล์ การตั้งค่านี้ควรทำให้การเชื่อมต่ออยู่ในสถานะที่สร้างขึ้นเพื่อให้ไฟร์วอลล์ไม่ยกเลิกการเชื่อมต่อ
  2. ใน Message Processor ทั้งหมด ให้แก้ไข /opt/apigee/customer/application/message-processor.properties เพื่อเพิ่มพร็อพเพอร์ตี้ต่อไปนี้ หากไม่มีไฟล์ ให้สร้างไฟล์ 
    conf_system_cassandra.maxconnecttimeinmillis=-1
  3. รีสตาร์ทตัวประมวลผลข้อความ 
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
  4. ในเราเตอร์ทั้งหมด ให้แก้ไข /opt/apigee/customer/application/router.properties เพื่อเพิ่มพร็อพเพอร์ตี้ต่อไปนี้ หากไม่มีไฟล์ ให้สร้างไฟล์ 
    conf_system_cassandra.maxconnecttimeinmillis=-1
  5. รีสตาร์ทเราเตอร์ 
    /opt/apigee/apigee-service/bin/apigee-service edge-router restart