Güvenlik duvarını yönetme ihtiyacı yalnızca sanal ana makinelerle sınırlı değildir. Hem sanal makine hem de fiziksel ana makine güvenlik duvarları, bileşenlerin birbirleriyle iletişim kurması için gereken bağlantı noktalarına yönelik trafiğe izin vermelidir.
Bağlantı noktası şemaları
Aşağıdaki resimlerde hem tek bir veri merkezi hem de birden fazla veri merkezi yapılandırması için bağlantı noktası gereksinimleri gösterilmektedir:
Tek Veri Merkezi
Aşağıdaki resimde, tek bir veri merkezi yapılandırmasındaki her Edge bileşeni için bağlantı noktası gereksinimleri gösterilmektedir:
Bu diyagramla ilgili notlar:
- "M" ön ekine sahip bağlantı noktaları, bileşeni yönetmek için kullanılan bağlantı noktalarıdır ve Yönetim Sunucusu'nun erişebilmesi için bileşende açık olmalıdır.
- Yeni Edge kullanıcı arayüzü, izleme aracındaki Gönder düğmesini desteklemek için API proxy'leri tarafından kullanıma sunulan bağlantı noktalarında yönlendiriciye erişim gerektirir.
- JMX bağlantı noktalarına erişim, kullanıcı adı/şifre gerektirecek şekilde yapılandırılabilir. Daha fazla bilgi için İzleme bölümüne bakın.
- İsterseniz farklı bağlantı noktaları kullanabilen belirli bağlantılar için TLS/SSL erişimini yapılandırabilirsiniz. Daha fazla bilgi için TLS/SSL bölümünü inceleyin.
- Yönetim Sunucusu'nu ve yeni Edge kullanıcı arayüzünü, harici bir SMTP sunucusu üzerinden e-posta gönderecek şekilde yapılandırabilirsiniz. Bu durumda, Yönetim Sunucusu ve yeni Edge kullanıcı arayüzünün SMTP sunucusundaki gerekli bağlantı noktasına (gösterilmez) erişebildiğinden emin olmanız gerekir. TLS olmayan SMTP için bağlantı noktası numarası genellikle 25'tir. TLS özellikli SMTP için genellikle 465'tir ancak SMTP sağlayıcınızla iletişime geçerek doğrulayın.
Birden Çok Veri Merkezi
İki veri merkezli 12 düğümlü kümelenmiş yapılandırmayı yüklerseniz iki veri merkezindeki düğümlerin aşağıdaki bağlantı noktaları üzerinden iletişim kurabildiğinden emin olun:
Unutmayın:
- Tüm yönetim sunucuları, diğer tüm veri merkezlerindeki tüm Cassandra düğümlerine erişebilmelidir.
- Tüm veri merkezlerindeki tüm Mesaj İşleyiciler, 4528 numaralı bağlantı noktası üzerinden birbirlerine erişebilmelidir.
- Yönetim Sunucusu, 8082 numaralı bağlantı noktası üzerinden tüm Mesaj İşlemcilere erişebilmelidir.
- Tüm yönetim sunucuları ve tüm Qpid düğümleri, diğer tüm veri merkezlerindeki Postgres'e erişebilmelidir.
- Güvenlik nedeniyle, yukarıda gösterilen bağlantı noktaları ve kendi ağ gereksinimleriniz için gereken diğer bağlantı noktaları dışında, veri merkezleri arasında başka bağlantı noktası açık olmamalıdır.
Varsayılan olarak, bileşenler arasındaki iletişim şifrelenmez. Apigee mTLS'yi yükleyerek şifreleme ekleyebilirsiniz. Daha fazla bilgi için Apigee mTLS'ye giriş başlıklı makaleyi inceleyin.
Taşıma ayrıntıları
Aşağıdaki tabloda, Edge bileşenine göre güvenlik duvarlarında açılması gereken bağlantı noktaları açıklanmaktadır:
| Bileşen | Bağlantı noktası | Açıklama |
|---|---|---|
| Standart HTTP bağlantı noktaları | 80.443 | HTTP ve sanal ana makineler için kullandığınız diğer bağlantı noktaları |
| Cassandra | 7000, 9042 | Cassandra düğümleri arasında iletişim ve diğer Edge bileşenleri tarafından erişim için Apache Cassandra bağlantı noktaları. |
| 7199 | JMX bağlantı noktası. Yönetim sunucusunun erişimine açık olmalıdır. | |
| Yeni Edge kullanıcı arayüzü | 3001 | Yeni Edge kullanıcı arayüzüne tarayıcı erişimi için varsayılan bağlantı noktası (edge-management-ui) |
| LDAP | 10389 | SymasLDAP |
| Yönetim Sunucusu | 1099 | JMX bağlantı noktası |
| 4526 | Dağıtılmış önbellek ve yönetim çağrıları için bağlantı noktası. Bu bağlantı noktası yapılandırılabilir. | |
| 5636 | Para kazanma taahhüdü bildirimleri için bağlantı noktası. | |
| 8080 | Edge yönetim API çağrıları için bağlantı noktası. Şu bileşenler, Yönetim Sunucusu'ndaki 8080 bağlantı noktasına erişim gerektirir: Yönlendirici, Mesaj İşlemcisi, Yeni Edge Kullanıcı Arayüzü, Postgres ve Qpid. | |
| Mesaj İşleyici | 1101 | JMX bağlantı noktası |
| 4528 | Dağıtılmış önbellek ve Mesaj İşleyicileri arasındaki yönetim çağrıları ile yönlendirici ve yönetim sunucusundan gelen iletişim için.
Bir mesaj işlemcisi, 4528 numaralı bağlantı noktasını yönetim bağlantı noktası olarak açmalıdır. Birden fazla Mesaj İşleyiciniz varsa bunların tümü 4528 numaralı bağlantı noktası üzerinden birbirine erişebilmelidir (Mesaj İşleyici'deki 4528 numaralı bağlantı noktası için yukarıdaki diyagramda döngü okuyla gösterilmiştir). Birden fazla veri merkeziniz varsa bağlantı noktasına tüm veri merkezlerindeki tüm Mesaj İşleyici'lerden erişilebilmelidir. |
|
| 8082 |
Mesaj İşleyici'nin varsayılan yönetim bağlantı noktasıdır ve Yönetim Sunucusu'nun erişimi için bileşende açık olmalıdır. Yönlendirici ile Mesaj İşleyici arasında TLS/SSL yapılandırırsanız yönlendirici tarafından Mesaj İşleyici'de durum denetimleri yapmak için kullanılır. Mesaj İşleyici'deki 8082 numaralı bağlantı noktasının yalnızca Yönlendirici ile Mesaj İşleyici arasında TLS/SSL yapılandırdığınızda Yönlendirici tarafından erişime açık olması gerekir. Yönlendirici ile Mesaj İşleyici arasında TLS/SSL yapılandırmazsanız bileşeni yönetmek için varsayılan yapılandırma olan 8082 numaralı bağlantı noktasının Mesaj İşleyici'de açık olması gerekir ancak Yönlendiricinin bu bağlantı noktasına erişmesi gerekmez. |
|
| 8443 | Yönlendirici ile Mesaj İşleyici arasında TLS etkinleştirildiğinde, yönlendiricinin erişimi için Mesaj İşleyicide 8443 numaralı bağlantı noktasını açmanız gerekir. | |
| 8998 | Yönlendiriciden gelen iletişimler için Mesaj İşleyici bağlantı noktası | |
| Postgres | 22 | İki Postgres düğümünü ana-yedek replikasyon kullanacak şekilde yapılandırıyorsanız SSH erişimi için her düğümde 22 numaralı bağlantı noktasını açmanız gerekir. |
| 1103 | JMX bağlantı noktası | |
| 4530 | Dağıtılmış önbellek ve yönetim çağrıları için | |
| 5432 | Qpid/Yönetim Sunucusu'ndan Postgres'e iletişim için kullanılır. | |
| 8084 | Postgres sunucusundaki varsayılan yönetim bağlantı noktası; Yönetim Sunucusu tarafından erişim için bileşende açık olmalıdır. | |
| Qpid | 1102 | JMX bağlantı noktası |
| 4529 | Dağıtılmış önbellek ve yönetim çağrıları için | |
| 5672 |
Aynı düğümdeki Qpid sunucusu ile aracı bileşenleri arasındaki iletişim için de kullanılır. Birden fazla Qpid düğümü içeren topolojilerde sunucu, 5672 numaralı bağlantı noktasındaki tüm aracılara bağlanabilmelidir. |
|
| 8083 | Qpid sunucusundaki varsayılan yönetim bağlantı noktasıdır ve Yönetim Sunucusu'nun erişebilmesi için bileşende açık olmalıdır. | |
| 8090 | Qpid'in Broker'ı için varsayılan bağlantı noktasıdır. İzleme amacıyla Broker'ın yönetim konsoluna veya Management API'lerine erişmek için açık olması gerekir. | |
| Yönlendirici | 4527 | Dağıtılmış önbellek ve yönetim çağrıları için.
Yönlendirici, yönetim bağlantı noktası olarak 4527 numaralı bağlantı noktasını açmalıdır. Birden fazla yönlendiriciniz varsa bunların tümü 4527 numaralı bağlantı noktası üzerinden birbirine erişebilmelidir (yukarıdaki şemada yönlendiricideki 4527 numaralı bağlantı noktası için döngü okuyla gösterilmiştir). Zorunlu olmasa da herhangi bir Mesaj İşlemci tarafından erişim için yönlendiricide 4527 numaralı bağlantı noktasını açabilirsiniz. Aksi takdirde, Mesaj İşleyici günlük dosyalarında hata mesajları görebilirsiniz. |
| 8081 | Yönlendirici için varsayılan yönetim bağlantı noktasıdır ve Yönetim Sunucusu tarafından erişim için bileşende açık olmalıdır. | |
| 15999 |
Durum denetimi bağlantı noktası. Yük dengeleyici, yönlendiricinin kullanılabilir olup olmadığını belirlemek için bu bağlantı noktasını kullanır. Yük dengeleyici, bir yönlendiricinin durumunu almak için yönlendiricideki 15999 numaralı bağlantı noktasına istek gönderir: curl -v http://routerIP:15999/v1/servers/self/reachable Yönlendiriciye erişilebiliyorsa istek HTTP 200 döndürür. |
|
| 59001 | apigee-validate yardımcı programı tarafından Edge kurulumunu test etmek için kullanılan bağlantı noktası.
Bu yardımcı program, yönlendiricideki 59001 numaralı bağlantı noktasına erişim gerektirir. 59001 bağlantı noktası hakkında daha fazla bilgi için Yüklemeyi test etme başlıklı makaleyi inceleyin. |
|
| SmartDocs | 59002 | SmartDocs sayfa isteklerinin gönderildiği Edge yönlendiricisindeki bağlantı noktası. |
| ZooKeeper | 2181 | Yönetim sunucusu, yönlendirici, Mesaj İşleyici gibi diğer bileşenler tarafından kullanılır. |
| 2888, 3888 | ZooKeeper kümesi (ZooKeeper topluluğu olarak bilinir) iletişimi için ZooKeeper tarafından dahili olarak kullanılır. |
Aşağıdaki tabloda, kaynak ve hedef bileşenleriyle birlikte sayısal olarak listelenen aynı bağlantı noktaları gösterilmektedir:
| Bağlantı Noktası Numarası | Amaç | Kaynak Bileşen | Hedef Bileşen |
|---|---|---|---|
| virtual_host_port | HTTP ve sanal ana makine API'si çağrı trafiği için kullandığınız diğer tüm bağlantı noktaları. En yaygın olarak kullanılan bağlantı noktaları 80 ve 443'tür. İleti yönlendirici, TLS/SSL bağlantılarını sonlandırabilir. | Harici istemci (veya yük dengeleyici) | Mesaj yönlendiricisindeki dinleyici |
| 1099 - 1103 | JMX Yönetimi | JMX istemcisi | Yönetim Sunucusu (1099) Mesaj İşleyici (1101) Qpid Sunucusu (1102) Postgres Sunucusu (1103) |
| 2181 | Zookeeper istemci iletişimi | Yönetim Sunucusu Yönlendirici Mesaj İşleyici Qpid Sunucusu Postgres Sunucusu |
Zookeeper |
| 2888 ve 3888 | Zookeeper düğümler arası yönetimi | Zookeeper | Zookeeper |
| 3001 | Varsayılan yeni Edge kullanıcı arayüzü bağlantı noktası | Tarayıcı | Yeni Edge kullanıcı arayüzü (edge-management-ui) |
| 4526 | RPC yönetim bağlantı noktası | Yönetim Sunucusu | Yönetim Sunucusu |
| 4527 | Dağıtılmış önbellek ve yönetim çağrıları ile yönlendiriciler arasındaki iletişim için RPC yönetim bağlantı noktası | Yönetim Sunucusu Yönlendirici |
Yönlendirici |
| 4528 | Mesaj İşlemciler arasındaki dağıtılmış önbellek çağrıları ve Yönlendirici'den gelen iletişim için | Yönetim Sunucusu Yönlendirici Mesaj İşleyici |
Mesaj İşleyici |
| 4529 | Dağıtılmış önbellek ve yönetim çağrıları için RPC yönetim bağlantı noktası | Yönetim Sunucusu | Qpid Sunucusu |
| 4530 | Dağıtılmış önbellek ve yönetim çağrıları için RPC yönetim bağlantı noktası | Yönetim Sunucusu | Postgres Sunucusu |
| 5432 | Postgres istemcisi | Qpid Sunucusu | Postgres |
| 5636 | Para kazanma | Harici JMS bileşeni | Yönetim Sunucusu |
| 5672 |
Aynı düğümdeki Qpid sunucusu ile aracı bileşenleri arasındaki iletişim için de kullanılır. Birden fazla Qpid düğümü içeren topolojilerde sunucu, 5672 numaralı bağlantı noktasındaki tüm aracılara bağlanabilmelidir. |
Qpid Sunucusu | Qpid Sunucusu |
| 7000 | Cassandra düğümler arası iletişim | Cassandra | Diğer Cassandra düğümü |
| 7199 | JMX yönetimi. Yönetim Sunucusu tarafından Cassandra düğümünde erişime açık olmalıdır. | JMX istemcisi | Cassandra |
| 8080 | Management API bağlantı noktası | Management API istemcileri | Yönetim sunucusu |
| 8081 - 8084 |
API isteklerini doğrudan bağımsız bileşenlere göndermek için kullanılan bileşen API bağlantı noktaları. Her bileşen farklı bir bağlantı noktası açar. Kullanılan bağlantı noktası yapılandırmaya bağlıdır ancak Yönetim Sunucusu'nun erişebilmesi için bileşende açık olması gerekir. |
Management API istemcileri | Yönlendirici (8081) Mesaj İşlemcisi (8082) Qpid Sunucusu (8083) Postgres Sunucusu (8084) |
| 8090 | Qpid'in Broker'ı için kuyrukları yönetmek ve izlemek üzere kullanılan varsayılan yönetim bağlantı noktası. | Tarayıcı veya API istemcisi | Qpid Broker (apigee-qpidd) |
| 8443 | TLS etkinleştirildiğinde yönlendirici ile ileti işlemcisi arasındaki iletişim | Yönlendirici | Mesaj İşleyici |
| 8998 | Yönlendirici ile Mesaj İşleyici arasındaki iletişim | Yönlendirici | Mesaj İşleyici |
| 9042 | CQL yerel aktarımı | Yönlendirici Mesaj İşlemcisi Yönetim Sunucusu |
Cassandra |
| 10389 | LDAP bağlantı noktası | Yönetim Sunucusu | SymasLDAP |
| 15999 | Durum denetimi bağlantı noktası. Yük dengeleyici, yönlendiricinin kullanılabilir olup olmadığını belirlemek için bu bağlantı noktasını kullanır. | Yük dengeleyici | Yönlendirici |
| 59001 | Edge yüklemesini test etmek için apigee-validate yardımcı programı tarafından kullanılan bağlantı noktası |
apigee-validate | Yönlendirici |
| 59002 | SmartDocs sayfa isteklerinin gönderildiği yönlendirici bağlantı noktası | SmartDocs | Yönlendirici |
Mesaj İşleyici, Cassandra'ya özel bir bağlantı havuzunu açık tutar. Bu havuz, zaman aşımına uğramayacak şekilde yapılandırılmıştır. Bir Mesaj İşleyici ile Cassandra sunucusu arasında güvenlik duvarı olduğunda güvenlik duvarı bağlantının zaman aşımına uğramasına neden olabilir. Ancak Mesaj İşleyici, Cassandra ile bağlantıları yeniden kurmak için tasarlanmamıştır.
Apigee, bu durumu önlemek için Cassandra sunucusunun, Mesaj İşleyici'nin ve Yönlendiricilerin aynı alt ağda olmasını önerir. Böylece bu bileşenlerin dağıtımında güvenlik duvarı kullanılmaz.
Yönlendirici ile Mesaj İşleyiciler arasında bir güvenlik duvarı varsa ve boşta TCP zaman aşımı ayarlanmışsa aşağıdakileri yapmanızı öneririz:
- Linux işletim sistemindeki sysctl ayarlarında
net.ipv4.tcp_keepalive_time = 1800değerini ayarlayın. Burada 1.800, güvenlik duvarı boşta TCP zaman aşımından daha düşük olmalıdır. Bu ayar, güvenlik duvarının bağlantıyı kesmemesi için bağlantıyı kurulmuş durumda tutmalıdır. - Tüm Mesaj İşleyicilerde aşağıdaki özelliği eklemek için
/opt/apigee/customer/application/message-processor.propertiesdosyasını düzenleyin. Dosya yoksa oluşturun.conf_system_cassandra.maxconnecttimeinmillis=-1
- Mesaj İşleyici'yi yeniden başlatın:
/opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart
- Tüm yönlendiricilerde
/opt/apigee/customer/application/router.propertiesöğesini düzenleyerek aşağıdaki özelliği ekleyin. Dosya yoksa oluşturun.conf_system_cassandra.maxconnecttimeinmillis=-1
- Yönlendiriciyi yeniden başlatın:
/opt/apigee/apigee-service/bin/apigee-service edge-router restart