La necesidad de administrar el firewall va más allá de los hosts virtuales; los firewalls de VM y de host físico deben permitir el tráfico para los puertos que requieren los componentes para comunicarse entre sí.
Diagramas de puertos
En las siguientes imágenes, se muestran los requisitos de puertos para una configuración de un solo centro de datos y de varios centros de datos:
Un solo centro de datos
En la siguiente imagen, se muestran los requisitos de puerto para cada componente de Edge en una configuración de centro de datos único:
Notas sobre este diagrama:
- Los puertos con el prefijo "M" son puertos que se usan para administrar el componente y deben estar abiertos en el componente para que el servidor de administración pueda acceder a ellos.
- La IU de New Edge requiere acceso al router, en los puertos expuestos por los proxies de API, para admitir el botón Enviar en la herramienta de seguimiento.
- Se puede configurar el acceso a los puertos JMX para que requieran un nombre de usuario y una contraseña. Consulta Cómo supervisar para obtener más información.
- De manera opcional, puedes configurar el acceso TLS/SSL para ciertas conexiones, que pueden usar puertos diferentes. Consulta TLS/SSL para obtener más información.
- Puedes configurar el servidor de administración y la IU de New Edge para enviar correos electrónicos a través de un servidor SMTP externo. Si lo haces, debes asegurarte de que el servidor de administración y la IU de New Edge puedan acceder al puerto necesario en el servidor SMTP (no se muestra). Para SMTP sin TLS, el número de puerto suele ser 25. Para SMTP habilitado para TLS, suele ser 465, pero consulta con tu proveedor de SMTP.
Varios centros de datos
Si instalas la configuración en clúster de 12 nodos con dos centros de datos, asegúrate de que los nodos de los dos centros de datos puedan comunicarse a través de los puertos que se muestran a continuación:
Ten en cuenta lo siguiente:
- Todos los servidores de administración deben poder acceder a todos los nodos de Cassandra en todos los demás centros de datos.
- Todos los Message Processors de todos los centros de datos deben poder acceder entre sí a través del puerto 4528.
- El servidor de administración debe poder acceder a todos los Message Processors a través del puerto 8082.
- Todos los servidores de administración y todos los nodos de Qpid deben poder acceder a Postgres en todos los demás centros de datos.
- Por motivos de seguridad, no se deben abrir otros puertos entre los centros de datos, además de los que se muestran arriba y los que requiera tu propia red.
De forma predeterminada, las comunicaciones entre los componentes no están encriptadas. Puedes agregar encriptación instalando Apigee mTLS. Para obtener más información, consulta Introducción a mTLS de Apigee.
Detalles de la portabilidad
En la siguiente tabla, se describen los puertos que se deben abrir en los firewalls, por componente de Edge:
| Componente | Puerto | Descripción |
|---|---|---|
| Puertos HTTP estándar | 80, 443 | HTTP y cualquier otro puerto que uses para los hosts virtuales |
| Cassandra | 7000, 9042 | Puertos de Apache Cassandra para la comunicación entre nodos de Cassandra y para el acceso de otros componentes de Edge. |
| 7199 | Puerto de JMX. Debe estar abierto para que el servidor de administración pueda acceder a él. | |
| Nueva IU de Edge | 3001 | Puerto predeterminado para el acceso del navegador a la nueva IU de Edge (edge-management-ui) |
| LDAP | 10389 | SymasLDAP |
| Servidor de administración | 1099 | Puerto de JMX |
| 4526 | Es el puerto para las llamadas de administración y caché distribuida. Este puerto se puede configurar. | |
| 5636 | Es el puerto para las notificaciones de confirmación de monetización. | |
| 8080 | Es el puerto para las llamadas a la API de administración de Edge. Estos componentes requieren acceso al puerto 8080 en el servidor de administración: Router, Message Processor, nueva IU de Edge, Postgres y Qpid. | |
| Message Processor | 1101 | Puerto de JMX |
| 4528 | Para las llamadas de administración y caché distribuidas entre los Message Processors, y para la comunicación desde el Router y el servidor de administración.
Un Message Processor debe abrir el puerto 4528 como su puerto de administración. Si tienes varios Message Processors, todos deben poder acceder entre sí a través del puerto 4528 (indicado por la flecha de bucle en el diagrama anterior para el puerto 4528 en el Message Processor). Si tienes varios centros de datos, se debe poder acceder al puerto desde todos los Message Processors en todos los centros de datos. |
|
| 8082 |
Es el puerto de administración predeterminado para el Message Processor y debe estar abierto en el componente para que el servidor de administración pueda acceder a él. Si configuras TLS/SSL entre el router y el Message Processor, el router lo usa para realizar verificaciones de estado en el Message Processor. El puerto 8082 del Message Processor solo debe estar abierto para que el Router acceda a él cuando configures TLS/SSL entre el Router y el Message Processor. Si no configuras TLS/SSL entre el router y el Message Processor, la configuración predeterminada, el puerto 8082, aún debe estar abierto en el Message Processor para administrar el componente, pero el router no requiere acceso a él. |
|
| 8443 | Cuando se habilita TLS entre el router y el Message Processor, debes abrir el puerto 8443 en el Message Processor para que el router pueda acceder. | |
| 8998 | Puerto del Message Processor para las comunicaciones desde el router | |
| Postgres | 22 | Si configuras dos nodos de Postgres para usar la replicación de principal-en espera, debes abrir el puerto 22 en cada nodo para el acceso SSH. |
| 1103 | Puerto JMX | |
| 4530 | Para la caché distribuida y las llamadas de administración | |
| 5432 | Se usa para la comunicación de Qpid o el servidor de administración a Postgres | |
| 8084 | Es el puerto de administración predeterminado en el servidor de Postgres. Debe estar abierto en el componente para que el servidor de administración pueda acceder a él. | |
| Qpid | 1102 | Puerto JMX |
| 4529 | Para la caché distribuida y las llamadas de administración | |
| 5672 |
También se usa para la comunicación entre el servidor de Qpid y los componentes del agente en el mismo nodo. En las topologías con varios nodos de Qpid, el servidor debe poder conectarse a todos los brokers en el puerto 5672. |
|
| 8083 | Es el puerto de administración predeterminado en el servidor de Qpid y debe estar abierto en el componente para que el servidor de administración pueda acceder a él. | |
| 8090 | Es el puerto predeterminado para el agente de Qpid. Debe estar abierto para acceder a la consola de administración del agente o a las API de Management con fines de supervisión. | |
| Router | 4527 | Para llamadas de administración y caché distribuidas
Un router debe abrir el puerto 4527 como su puerto de administración. Si tienes varios routers, todos deben poder acceder entre sí a través del puerto 4527 (indicado por la flecha de bucle en el diagrama anterior para el puerto 4527 en el router). Si bien no es obligatorio, puedes abrir el puerto 4527 en el router para que cualquier Message Processor pueda acceder a él. De lo contrario, es posible que veas mensajes de error en los archivos de registro del procesador de mensajes. |
| 8081 | Es el puerto de administración predeterminado para el router y debe estar abierto en el componente para que el servidor de administración pueda acceder a él. | |
| 15999 |
Es el puerto de verificación de estado. Un balanceador de cargas usa este puerto para determinar si el enrutador está disponible. Para obtener el estado de un router, el balanceador de cargas realiza una solicitud al puerto 15999 en el router: curl -v http://routerIP:15999/v1/servers/self/reachable Si se puede acceder al router, la solicitud devuelve HTTP 200. |
|
| 59001 | Es el puerto que usa la utilidad apigee-validate para probar la instalación de Edge.
Esta utilidad requiere acceso al puerto 59001 en el router. Consulta
Prueba la instalación para obtener más información sobre el puerto 59001. |
|
| SmartDocs | 59002 | Es el puerto del router perimetral al que se envían las solicitudes de páginas de SmartDocs. |
| ZooKeeper | 2181 | Lo usan otros componentes, como Management Server, Router, Message Processor, etcétera. |
| 2888, 3888 | ZooKeeper lo usa internamente para la comunicación del clúster de ZooKeeper (conocido como conjunto de ZooKeeper). |
En la siguiente tabla, se muestran los mismos puertos, enumerados de forma numérica, con los componentes de origen y destino:
| Número de puerto | Objetivo | Componente de origen | Componente Destination |
|---|---|---|---|
| virtual_host_port | HTTP y cualquier otro puerto que uses para el tráfico de llamadas a la API del host virtual. Los puertos 80 y 443 son los más utilizados; el Message Router puede finalizar las conexiones TLS/SSL. | Cliente externo (o balanceador de cargas) | Objeto de escucha en el enrutador de mensajes |
| Del 1099 al 1103 | Administración de JMX | Cliente de JMX | Servidor de administración (1099) Message Processor (1101) Servidor de Qpid (1102) Servidor de Postgres (1103) |
| 2181 | Comunicación del cliente de Zookeeper | Servidor de administración Enrutador Procesador de mensajes Servidor de Qpid Servidor de Postgres |
Zookeeper |
| 2888 y 3888 | Administración de internodos de Zookeeper | Zookeeper | Zookeeper |
| 3001 | Puerto predeterminado de la nueva IU de Edge | Navegador | Nueva IU de Edge (edge-management-ui) |
| 4526 | Puerto de administración de RPC | Servidor de administración | Servidor de administración |
| 4527 | Puerto de administración de RPC para llamadas de administración y caché distribuida, y para comunicaciones entre routers | Servidor de administración Router |
Router |
| 4528 | Para llamadas a la caché distribuida entre Message Processors y para la comunicación desde el Router | Management Server Router Message Processor |
Message Processor |
| 4529 | Puerto de administración de RPC para llamadas de administración y caché distribuida | Servidor de administración | Servidor Qpid |
| 4530 | Puerto de administración de RPC para llamadas de administración y caché distribuida | Servidor de administración | Servidor de Postgres |
| 5432 | Cliente de Postgres | Servidor Qpid | Postgres |
| 5636 | Monetización | Componente de JMS externo | Servidor de administración |
| 5672 |
También se usa para la comunicación entre el servidor de Qpid y los componentes del agente en el mismo nodo. En las topologías con varios nodos de Qpid, el servidor debe poder conectarse a todos los agentes en el puerto 5672. |
Servidor de Qpid | Servidor de Qpid |
| 7000 | Comunicaciones entre nodos de Cassandra | Cassandra | Otro nodo de Cassandra |
| 7199 | Administración de JMX. El servidor de administración debe poder acceder a él en el nodo de Cassandra. | Cliente de JMX | Cassandra |
| 8080 | Puerto de la API de Management | Clientes de la API de Management | Servidor de administración |
| 8081 a 8084 |
Son los puertos de la API de componentes que se usan para emitir solicitudes de API directamente a los componentes individuales. Cada componente abre un puerto diferente; el puerto exacto que se usa depende de la configuración, pero debe estar abierto en el componente para que el servidor de administración pueda acceder a él. |
Clientes de la API de Management | Router (8081) Message Processor (8082) Servidor de Qpid (8083) Servidor de Postgres (8084) |
| 8090 | Es el puerto de administración predeterminado para que el agente de Qpid administre y supervise las colas. | Navegador o cliente de API | Agente de Qpid (apigee-qpidd) |
| 8443 | Comunicación entre el router y el Message Processor cuando TLS está habilitado | Router | Message Processor |
| 8998 | Comunicación entre el router y el Message Processor | Router | Message Processor |
| 9042 | Transporte nativo de CQL | Router Message Processor Management Server |
Cassandra |
| 10,389 | Puerto LDAP | Servidor de administración | SymasLDAP |
| 15999 | Puerto de verificación de estado. Un balanceador de cargas usa este puerto para determinar si el router está disponible. | Balanceador de cargas | Router |
| 59001 | Es el puerto que usa la utilidad apigee-validate para probar la instalación de Edge. |
apigee-validate | Router |
| 59002 | Es el puerto del router al que se envían las solicitudes de páginas de SmartDocs. | SmartDocs | Router |
Un Message Processor mantiene abierto un grupo de conexiones dedicado a Cassandra, que está configurado para que nunca se agote el tiempo de espera. Cuando hay un firewall entre un Message Processor y un servidor de Cassandra, el firewall puede agotar el tiempo de espera de la conexión. Sin embargo, el Message Processor no está diseñado para restablecer las conexiones con Cassandra.
Para evitar esta situación, Apigee recomienda que el servidor de Cassandra, el Message Processor y los routers estén en la misma subred para que no haya un firewall involucrado en la implementación de estos componentes.
Si hay un firewall entre el router y los Message Processors, y tiene un tiempo de espera de TCP inactivo establecido, te recomendamos que hagas lo siguiente:
- Establece
net.ipv4.tcp_keepalive_time = 1800en la configuración de sysctl en el SO Linux, donde 1800 debe ser menor que el tiempo de espera de TCP inactivo del firewall. Este parámetro de configuración debería mantener la conexión en un estado establecido para que el firewall no la desconecte. - En todos los Message Processors, edita
/opt/apigee/customer/application/message-processor.propertiespara agregar la siguiente propiedad. Si el archivo no existe, créalo.conf_system_cassandra.maxconnecttimeinmillis=-1
- Reinicia el procesador de mensajes:
/opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
- En todos los routers, edita
/opt/apigee/customer/application/router.propertiespara agregar la siguiente propiedad. Si el archivo no existe, créalo.conf_system_cassandra.maxconnecttimeinmillis=-1
- Reinicia el router:
/opt/apigee/apigee-service/bin/apigee-service edge-router restart