Comprendre quels ports sont utilisés par le plan d'exécution hybride est important pour les mises en œuvre en entreprise. Cette section décrit les ports utilisés pour les communications sécurisées dans le plan d'exécution, ainsi que les ports externes utilisés pour les communications avec les services externes.
Connexions internes
La communication entre le plan d'exécution et le plan de gestion est sécurisée avec les protocoles TLS à sens unique et OAuth 2.0. Les services individuels utilisent différents protocoles, en fonction du service avec lequel ils communiquent.
L'image suivante illustre les ports et les canaux de communication dans le plan d'exécution hybride :
Le tableau suivant décrit les ports et les canaux de communication du plan d'exécution hybride :
| Connexions internes | |||||
|---|---|---|---|---|---|
| Source | Destination | Protocole/ports | Protocole de sécurité | Description | |
| MART | Cassandra | TCP/9042 TCP/9142 |
mTLS | Envoie des données pour la persistance | |
| MART Istio Ingress | MART | TCP/8443 | TLS | Les requêtes du plan de gestion passent par MART Istio Ingress | |
| Istio Ingress par défaut | Processeur de messages | TCP/8443 | TLS (certificat généré par Apigee et autosigné) | Traite les requêtes API entrantes | |
| Processeur de messages | Cassandra | TCP/9042 TCP/9142 |
mTLS | Envoie des données pour la persistance | |
| Processeur de messages | fluentd (analyses) | TCP/20001 | mTLS | Diffuse des données vers le pod de collecte de données | |
| Cassandra | Cassandra | TCP/7001 | mTLS | Communications entre clusters intranœud. Notez que vous pouvez également laisser le port 7000 ouvert pour la configuration de pare-feu en tant qu'option de sauvegarde pour le dépannage potentiel. | |
| Prometheus | Cassandra | TCP/7070 (HTTPS) | TLS | Extrait les données de métriques de divers services. | |
| MART | TCP/8843 (HTTPS) | TLS | |||
| Processeur de messages | TCP/8843 (HTTPS) | TLS | |||
| Synchronisateur | TCP/8843 (HTTPS) | TLS | |||
| UDCA | TCP/7070 (HTTPS) | TLS | |||
Connexions externes
Pour configurer correctement votre pare-feu de réseau, vous devez connaître les ports entrants et sortants utilisés par le système hybride pour communiquer avec les services externes.
L'image suivante montre les ports utilisés pour les communications externes avec le plan d'exécution hybride :
Le tableau suivant décrit les ports utilisés pour les communications externes avec le plan d'exécution hybride :
| Connexions externes | |||||
|---|---|---|---|---|---|
| Source | Destination | Protocole/ports | Protocole de sécurité | Description | |
| Connexions entrantes (exposées en externe) | |||||
| Services Apigee | MART Istio Ingress | TCP/443 | OAuth via TLS 1.2 | Appels d'API hybrides à partir du plan de gestion | |
| Applications clientes | Istio Ingress par défaut | TCP/* | Aucun/OAuth via TLS 1.2/mTLS | Requêtes API à partir d'applications externes | |
| Connexions sortantes | |||||
| Processeur de messages | Services backend | TCP/* UDP/* |
Aucun/OAuth via TLS 1.2 | Envoi des requêtes aux hôtes définis par le client | |
| Synchronisateur | Services Apigee | TCP/443 | OAuth via TLS 1.2 | Extrait les données de configuration, se connecte à apigee.googleapis.com |
|
| GCP | Se connecte à iamcredentials.googleapis.com aux fins de l'autorisation |
||||
| UDCA (analyse) | Services Apigee (UAP) | TCP/443 | OAuth via TLS 1.2 | Envoie des données à l'UAP dans le plan de gestion et vers GCP, se connecte à apigee.googleapis.com et à storage.googleapis.com |
|
| Prometheus (métriques) | GCP (Stackdriver) | TCP/443 | TLS | Envoie des données à Stackdriver dans le plan de gestion, se connecte à monitoring.googleapis.com. |
|
| fluentd (journalisation) | GCP (Stackdriver) | TCP/443 | TLS | Envoie des données à Stackdriver dans le plan de gestion, se connecte à logging.googleapis.com. |
|
| MART | GCP | TCP/443 | OAuth via TLS 1.2 | Se connecte à iamcredentials.googleapis.com aux fins de l'autorisation |
|
| * indique que le port est configurable. Apigee recommande d'utiliser le port 443. | |||||
Vous ne devez pas autoriser les connexions externes pour des adresses IP spécifiques associées à *.googleapis.com. Les adresses IP peuvent changer, le domaine étant actuellement associé à plusieurs adresses.