Penggunaan port aman

Memahami port mana yang digunakan bidang runtime hybrid sangat penting untuk implementasi perusahaan. Bagian ini menjelaskan port yang digunakan untuk komunikasi yang aman dalam bidang runtime serta port eksternal yang digunakan untuk komunikasi dengan layanan eksternal.

Koneksi internal

Komunikasi antara bidang runtime dan bidang pengelolaan diamankan dengan TLS 1 arah dan OAuth 2.0. Setiap layanan menggunakan protokol yang berbeda, bergantung pada layanan yang digunakan untuk berkomunikasi.

Sertifikat yang digunakan untuk komunikasi intra-komponen dihasilkan oleh pengelola sertifikat Apigee. Anda tidak perlu memberikan sertifikat atau mengelolanya.

Gambar berikut menunjukkan port dan saluran komunikasi dalam bidang runtime hybrid:

Menampilkan koneksi
antara komponen internal pada bidang runtime hybrid

Tabel berikut menjelaskan port dan saluran komunikasi dalam lingkungan runtime hybrid:

Koneksi Internal
Asal Tujuan Protokol/Port Protokol keamanan Deskripsi
MART Cassandra TCP/9042
TCP/9142
TLS Mengirim data untuk persistensi.
Apigee Connect MART TCP/8443 TLS Permintaan dari bidang pengelolaan melewati Apigee Connect. Apigee Connect memulai koneksi.
Ingress Istio Default Message Processor TCP/8443 TLS (sertifikat yang dibuat Apigee dan ditandatangani sendiri) Memproses permintaan API yang masuk.
Message Processor Cassandra TCP/9042
TCP/9142
TLS Mengirim data untuk persistensi.
Message Processor lancar (analisis / logging) TCP/20001 mTLS Mengalirkan data ke pod pengumpulan data.
Cassandra Cassandra TCP/7001 mTLS Komunikasi cluster intranode. Perhatikan bahwa Anda juga dapat membiarkan port 7000 tetap terbuka untuk konfigurasi firewall sebagai opsi cadangan jika ada potensi pemecahan masalah.
Penyelaras Cassandra TCP/9042
TCP/9142
TLS Mengirim data untuk persistensi.
Prometheus (metrik) Cassandra TCP/7070 (HTTPS) TLS Melakukan scraping data metrik dari berbagai layanan.
MART TCP/8843 (HTTPS) TLS
Pemroses Pesan TCP/8843 (HTTPS) TLS
Penyelaras TCP/8843 (HTTPS) TLS
UDCA TCP/7070 (HTTPS) TLS
Pengamat Ingress Istio Default TCP/8843 TLS Membuat perubahan terkait host virtual untuk mengonfigurasi ingress istio.

Sambungan eksternal

Untuk mengonfigurasi firewall jaringan dengan tepat, Anda harus mengetahui port masuk dan keluar yang digunakan oleh sistem hybrid untuk berkomunikasi dengan layanan eksternal.

Gambar berikut menunjukkan port yang digunakan untuk komunikasi eksternal dengan bidang runtime hybrid:

Menampilkan koneksi
dengan layanan eksternal dari bidang runtime hybrid

Tabel berikut menjelaskan port yang digunakan untuk komunikasi eksternal dengan bidang runtime hybrid:

Koneksi Eksternal
Asal Tujuan Protokol/Port Protokol Keamanan Deskripsi
Koneksi Masuk (terbuka secara eksternal)
OPSIONAL: Layanan Apigee
Hanya jika tidak menggunakan Apigee Connect (direkomendasikan). Lihat Koneksi Dua Arah di bawah.
Istio Ingress MART TCP/443 OAuth melalui TLS 1.2 Panggilan Hybrid API dari bidang pengelolaan.
Aplikasi Klien Istio Ingress Default TCP/* Tidak ada/OAuth melalui TLS 1.2 Permintaan API dari aplikasi eksternal.
Koneksi Keluar
Pemroses Pesan Layanan backend TCP/*
UDP/*
Tidak ada/OAuth melalui TLS 1.2 Mengirim permintaan ke host yang ditentukan pelanggan.
Penyelaras Layanan Apigee TCP/443 OAuth melalui TLS 1.2 Mengambil data konfigurasi; terhubung ke apigee.googleapis.com.
Google Cloud Terhubung ke iamcredentials.googleapis.com untuk otorisasi.
UDCA (Analytics) Layanan Apigee (UAP) TCP/443 OAuth melalui TLS 1.2 Mengirim data ke UAP di bidang pengelolaan dan ke Google Cloud; terhubung ke apigee.googleapis.com dan storage.googleapis.com.
Apigee Connect Layanan Apigee TCP/443 TLS Membuat koneksi dengan bidang pengelolaan; terhubung ke apigeeconnect.googleapis.com.
Prometheus (metrik) Google Cloud (Cloud Operations) TCP/443 TLS Mengirim data ke Cloud Operations di bidang pengelolaan; terhubung ke monitoring.googleapis.com.
lancar (logging) Google Cloud (Cloud Operations) TCP/443 TLS Mengirim data ke Cloud Operations di bidang pengelolaan; terhubung ke logging.googleapis.com
MART Google Cloud TCP/443 OAuth melalui TLS 1.2 Terhubung ke iamcredentials.googleapis.com untuk otorisasi.
Message Processor Backend Trace Terdistribusi http atau https TLS (dapat dikonfigurasi) (Opsional) Menyampaikan informasi trace ke layanan backend Distributed Trace. Konfigurasikan layanan dan protokol di TraceConfig API. Backend untuk Pelacakan Terdistribusi biasanya adalah Cloud Trace atau Jaeger.
Koneksi Dua Arah
Apigee Connect Layanan Apigee TCP/443 TLS Mengomunikasikan data pengelolaan antara bidang pengelolaan dan Management API untuk data runtime (MART) di bidang runtime. Apigee Connect memulai koneksi; terhubung ke apigeeconnect.googleapis.com. Oleh karena itu, Anda tidak perlu mengonfigurasi firewall untuk konektivitas masuk.
Pengamat Google Cloud TCP/443 OAuth melalui TLS 1.2 Menarik perubahan terkait host virtual untuk suatu organisasi guna mengonfigurasi ingress istio.
* menunjukkan bahwa port dapat dikonfigurasi. Apigee merekomendasikan penggunaan port 443.

Anda tidak boleh mengizinkan koneksi eksternal untuk alamat IP tertentu yang terkait dengan *.googleapis.com. Alamat IP dapat berubah karena domain saat ini di-resolve ke beberapa alamat.