Управлять брандмауэром нужно не только для виртуальных хостов. Брандмауэры как виртуальных машин, так и физических хостов должны разрешать трафик для портов, необходимых компонентам для связи друг с другом.
Схемы портов
На изображениях ниже показаны требования к портам для конфигураций с одним и несколькими центрами обработки данных.
Один центр обработки данных
На следующем изображении показаны требования к портам для каждого компонента Edge в конфигурации с одним центром обработки данных:
Примечания к диаграмме
- Порты с префиксом "M" используются для управления компонентом и должны быть открыты на компоненте для доступа со стороны сервера управления.
- Для работы кнопки Отправить в инструменте трассировки новому интерфейсу Edge требуется доступ к маршрутизатору через порты, открытые прокси-серверами API.
- Для доступа к портам JMX можно настроить требование имени пользователя и пароля. Подробнее о том, как отслеживать данные…
- При необходимости вы можете настроить доступ по протоколу TLS/SSL для определенных подключений, которые могут использовать разные порты. Подробнее о TLS/SSL…
- Вы можете настроить сервер управления и новый пользовательский интерфейс Edge для отправки электронных писем через внешний SMTP-сервер. Если вы это сделаете, убедитесь, что сервер управления и новый пользовательский интерфейс Edge могут получить доступ к необходимому порту на SMTP-сервере (не показан). Для SMTP без TLS обычно используется порт 25. Для SMTP с поддержкой TLS часто используется порт 465, но лучше уточнить эту информацию у поставщика услуг SMTP.
Несколько центров обработки данных
Если вы устанавливаете кластерную конфигурацию с 12 узлами и двумя центрами обработки данных, убедитесь, что узлы в двух центрах обработки данных могут обмениваться данными через порты, указанные ниже.
Обратите внимание на следующее:
- Все серверы управления должны иметь доступ ко всем узлам Cassandra во всех остальных центрах обработки данных.
- Все процессоры сообщений во всех центрах обработки данных должны иметь возможность взаимодействовать друг с другом через порт 4528.
- У Management Server должен быть доступ ко всем Message Processor через порт 8082.
- Все серверы управления и все узлы Qpid должны иметь доступ к Postgres во всех остальных центрах обработки данных.
- В целях безопасности между центрами обработки данных не должны быть открыты порты, кроме указанных выше и тех, которые требуются для вашей сети.
По умолчанию обмен данными между компонентами не шифруется. Вы можете добавить шифрование, установив Apigee mTLS. Дополнительную информацию можно найти в статье Введение в Apigee mTLS.
Сведения о переносе
В таблице ниже перечислены порты, которые необходимо открыть в межсетевых экранах для каждого компонента Edge.
| Компонент | Порт | Описание |
|---|---|---|
| Стандартные порты HTTP | 80, 443 | HTTP и любые другие порты, которые вы используете для виртуальных хостов. |
| Cassandra | 7000, 9042 | Порты Apache Cassandra для связи между узлами Cassandra и доступа других компонентов Edge. |
| 7199 | Порт JMX. Должен быть открыт для доступа с сервера управления. | |
| Новый интерфейс Edge | 3001 | Порт по умолчанию для доступа к новому интерфейсу Edge через браузер (edge-management-ui) |
| LDAP | 10389 | SymasLDAP |
| Сервер управления | 1099 | Порт JMX |
| 4526 | Порт для распределенного кеша и вызовов управления. Этот порт можно настроить. | |
| 5636 | Порт для уведомлений о монетизации. | |
| 8080 | Порт для вызовов API управления Edge. Этим компонентам требуется доступ к порту 8080 на сервере управления: маршрутизатору, процессору сообщений, новому интерфейсу Edge, Postgres и Qpid. | |
| Message Processor | 1101 | Порт JMX |
| 4528 | Для распределенного кеша и вызовов управления между Message Processor, а также для связи с Router и Management Server.
Процессор сообщений должен открыть порт 4528 в качестве порта управления. Если у вас несколько процессоров сообщений, они должны иметь доступ друг к другу через порт 4528 (на схеме выше порт 4528 процессора сообщений обозначен стрелкой петли). Если у вас несколько центров обработки данных, порт должен быть доступен для всех Message Processor во всех центрах обработки данных. |
|
| 8082 |
Порт управления по умолчанию для обработчика сообщений. Он должен быть открыт в компоненте для доступа с сервера управления. Если вы настроите TLS/SSL между маршрутизатором и обработчиком сообщений, маршрутизатор будет использовать этот порт для проверки работоспособности обработчика сообщений. Порт 8082 на Message Processor должен быть открыт для доступа со стороны Router только в том случае, если вы настраиваете TLS/SSL между Router и Message Processor. Если вы не настроите TLS/SSL между маршрутизатором и процессором сообщений, то по умолчанию порт 8082 должен быть открыт на процессоре сообщений для управления компонентом, но маршрутизатору не требуется доступ к нему. |
|
| 8443 | Если между Router и Message Processor включен протокол TLS, необходимо открыть порт 8443 на Message Processor для доступа со стороны Router. | |
| 8998 | Порт Message Processor для связи с Router | |
| Postgres | 22 | Если вы настраиваете два узла Postgres для использования репликации master-standby, необходимо открыть порт 22 на каждом узле для доступа по SSH. |
| 1103 | Порт JMX | |
| 4530 | Для распределенного кеша и вызовов управления | |
| 5432 | Используется для связи между Qpid/сервером управления и Postgres | |
| 8084 | Порт управления по умолчанию на сервере Postgres. Он должен быть открыт на компоненте для доступа с сервера управления. | |
| Qpid | 1102 | Порт JMX |
| 4529 | Для распределенного кеша и вызовов управления | |
| 5672 |
Также используется для связи между сервером Qpid и компонентами брокера на одном узле. В топологиях с несколькими узлами Qpid сервер должен иметь возможность подключаться ко всем брокерам через порт 5672. |
|
| 8083 | Порт управления по умолчанию на сервере Qpid. Должен быть открыт на компоненте для доступа с сервера управления. | |
| 8090 | Порт по умолчанию для брокера Qpid. Должен быть открыт для доступа к консоли управления брокера или Management API для мониторинга. | |
| Маршрутизатор | 4527 | Для распределенного кеша и вызовов управления.
Маршрутизатор должен открыть порт 4527 в качестве порта управления. Если у вас несколько маршрутизаторов, они должны иметь доступ друг к другу через порт 4527 (на схеме выше это показано круговой стрелкой для порта 4527 на маршрутизаторе). При необходимости вы можете открыть порт 4527 на маршрутизаторе для доступа любого процессора сообщений. В противном случае в файлах журнала Message Processor могут появиться сообщения об ошибках. |
| 8081 | Порт управления по умолчанию для маршрутизатора. Должен быть открыт на компоненте для доступа со стороны сервера управления. | |
| 15999 |
Порт проверки состояния. Балансировщик нагрузки использует этот порт, чтобы определить, доступен ли маршрутизатор. Чтобы получить статус маршрутизатора, балансировщик нагрузки отправляет запрос на порт 15999 маршрутизатора: curl -v http://routerIP:15999/v1/servers/self/reachable Если маршрутизатор доступен, запрос возвращает HTTP 200. |
|
| 59001 | Порт, используемый утилитой apigee-validate для тестирования установки Edge.
Для работы утилиты требуется доступ к порту 59001 на маршрутизаторе. Подробнее о тестировании установки… |
|
| SmartDocs | 59002 | Порт на маршрутизаторе Edge, на который отправляются запросы страниц SmartDocs. |
| ZooKeeper | 2181 | Используется другими компонентами, например сервером управления, маршрутизатором, процессором сообщений и т. д. |
| 2888, 3888 | Используется внутри ZooKeeper для связи кластера ZooKeeper (известного как ансамбль ZooKeeper). |
В следующей таблице приведены те же порты в числовом порядке с указанием исходных и целевых компонентов.
| Номер порта | Цель | Исходный компонент | Компонент Destination |
|---|---|---|---|
| virtual_host_port | HTTP и любые другие порты, которые вы используете для трафика вызовов API виртуального хоста. Чаще всего используются порты 80 и 443. Маршрутизатор сообщений может завершать подключения TLS/SSL. | Внешний клиент (или балансировщик нагрузки) | Слушатель на маршрутизаторе сообщений |
| 1099–1103 | Управление JMX | Клиент JMX | Сервер управления (1099) Обработчик сообщений (1101) Сервер Qpid (1102) Сервер Postgres (1103) |
| 2181 | Обмен данными с клиентом Zookeeper | Сервер управления Маршрутизатор Обработчик сообщений Сервер Qpid Сервер Postgres |
Смотритель зоопарка |
| 2888 и 3888 | Управление межсерверным взаимодействием в Zookeeper | Смотритель зоопарка | Смотритель зоопарка |
| 3001 | Порт нового интерфейса Edge по умолчанию | Браузер | Новый интерфейс Edge (edge-management-ui) |
| 4526 | Порт RPC Management | Сервер управления | Сервер управления |
| 4527 | Порт управления RPC для распределенного кеша и вызовов управления, а также для связи между маршрутизаторами. | Сервер управления Маршрутизатор |
Маршрутизатор |
| 4528 | Для вызовов распределенного кеша между Message Processor и для связи с Router. | Management Server Router Message Processor |
Message Processor |
| 4529 | Порт управления RPC для распределенного кеша и вызовов управления | Сервер управления | Сервер Qpid |
| 4530 | Порт управления RPC для распределенного кеша и вызовов управления | Сервер управления | Сервер Postgres |
| 5432 | Клиент Postgres | Сервер Qpid | Postgres |
| 5636 | Монетизация | Внешний компонент JMS | Сервер управления |
| 5672 |
Также используется для связи между сервером Qpid и компонентами брокера на одном узле. В топологиях с несколькими узлами Qpid сервер должен иметь возможность подключаться ко всем брокерам через порт 5672. |
Сервер Qpid | Сервер Qpid |
| 7000 | Взаимодействие между узлами Cassandra | Cassandra | Другой узел Cassandra |
| 7199 | Управление JMX. Должен быть открыт для доступа на узле Cassandra сервером управления. | Клиент JMX | Cassandra |
| 8080 | Порт Management API | Клиенты Management API | Сервер управления |
| 8081–8084 |
Порты Component API, используемые для отправки запросов к API непосредственно отдельным компонентам. Каждый компонент открывает отдельный порт. Точный номер порта зависит от конфигурации, но он должен быть открыт на компоненте для доступа со стороны сервера управления. |
Клиенты Management API | Маршрутизатор (8081) Обработчик сообщений (8082) Сервер Qpid (8083) Сервер Postgres (8084) |
| 8090 | Порт управления по умолчанию для брокера Qpid, чтобы управлять очередями и отслеживать их. | Браузер или API-клиент | Qpid Broker (apigee-qpidd) |
| 8443 | Обмен данными между маршрутизатором и процессором сообщений при включенном протоколе TLS | Маршрутизатор | Message Processor |
| 8998 | Обмен данными между Router и Message Processor | Маршрутизатор | Message Processor |
| 9042 | Собственный транспорт CQL | Router Message Processor Management Server |
Cassandra |
| 10389 | Порт LDAP | Сервер управления | SymasLDAP |
| 15999 | Порт проверки состояния. Балансировщик нагрузки использует этот порт, чтобы определить, доступен ли маршрутизатор. | Балансировщик нагрузки | Маршрутизатор |
| 59001 | Порт, используемый утилитой apigee-validate для тестирования установки Edge |
apigee-validate | Маршрутизатор |
| 59002 | Порт маршрутизатора, на который отправляются запросы страниц SmartDocs. | SmartDocs | Маршрутизатор |
Message Processor поддерживает открытым выделенный пул подключений к Cassandra, для которого настроено отсутствие тайм-аута. Если между Message Processor и сервером Cassandra есть брандмауэр, он может прервать подключение по тайм-ауту. Однако Message Processor не предназначен для повторного установления подключений к Cassandra.
Чтобы избежать этой ситуации, Apigee рекомендует разместить сервер Cassandra, Message Processor и маршрутизаторы в одной подсети, чтобы брандмауэр не участвовал в развертывании этих компонентов.
Если между маршрутизатором и обработчиками сообщений есть брандмауэр и для него задано время ожидания TCP, рекомендуем сделать следующее:
- Задайте значение
net.ipv4.tcp_keepalive_time = 1800в настройках sysctl в ОС Linux, где 1800 должно быть меньше времени ожидания TCP брандмауэра. Это позволит поддерживать соединение, чтобы брандмауэр не прерывал его. - На всех процессорах сообщений измените файл
/opt/apigee/customer/application/message-processor.properties, добавив следующее свойство: Если файла нет, создайте его.conf_system_cassandra.maxconnecttimeinmillis=-1
- Перезапустите Message Processor:
/opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
- На всех маршрутизаторах отредактируйте файл
/opt/apigee/customer/application/router.properties, добавив в него следующее свойство: Если файла нет, создайте его.conf_system_cassandra.maxconnecttimeinmillis=-1
- Перезапустите маршрутизатор
/opt/apigee/apigee-service/bin/apigee-service edge-router restart