חשוב להבין באילו יציאות משתמשת מישור הבקרה של זמן הריצה ההיברידי בהטמעות בארגונים. בקטע הזה מוסבר על הפורטים שמשמשים לתקשורת מאובטחת במישור זמן הריצה, וגם על פורטים חיצוניים שמשמשים לתקשורת עם שירותים חיצוניים.
חיבורים פנימיים
התקשורת בין מישור זמן הריצה לבין מישור הניהול מאובטחת באמצעות TLS חד-כיווני ו-OAuth 2.0. שירותים שונים משתמשים בפרוטוקולים שונים, בהתאם לשירות שאיתו הם מתקשרים.
האישורים שמשמשים לתקשורת בין רכיבים נוצרים על ידי מנהל האישורים של Apigee. אתם לא צריכים לספק אישור או לנהל אותו.
בתמונה הבאה מוצגים הפורטים וערוצי התקשורת במישור זמן הריצה ההיברידי:
בטבלה הבאה מתוארים הפורטים וערוצי התקשורת במישור זמן הריצה ההיברידי:
| חיבורים פנימיים | |||||
|---|---|---|---|---|---|
| מקור | יעד | פרוטוקול/יציאות | פרוטוקול אבטחה | תיאור | |
| MART | Cassandra | TCP/9042 TCP/9142 |
TLS | שליחת נתונים לצורך שמירה | |
| Apigee Connect | MART | TCP/8443 | TLS | בקשות ממישור הניהול עוברות דרך Apigee Connect. Apigee Connect יוזם את החיבור. | |
| שער Istio Ingress שמוגדר כברירת מחדל | מעבד בקשות | TCP/8443 | TLS (אישור בחתימה עצמית שנוצר על ידי Apigee) | מעבד בקשות API נכנסות | |
| מעבד בקשות | Cassandra | TCP/9042 TCP/9142 |
TLS | שליחת נתונים לצורך שמירה | |
| מעבד בקשות | fluentd (Analytics) | TCP/20001 | mTLS | שידור נתונים אל מאגר איסוף הנתונים | |
| Cassandra | Cassandra | TCP/7001 | mTLS | תקשורת בין צמתים באותו אשכול. שימו לב שאפשר גם להשאיר את יציאה 7000 פתוחה להגדרת חומת האש כאפשרות גיבוי לפתרון בעיות פוטנציאליות. | |
| Synchronizer | Cassandra | TCP/9042 TCP/9142 |
TLS | שליחת נתונים לצורך שמירה | |
| Prometheus | Cassandra | TCP/7070 (HTTPS) | TLS | מגרד נתוני מדדים משירותים שונים | |
| MART | TCP/8843 (HTTPS) | TLS | |||
| מעבד הודעות | TCP/8843 (HTTPS) | TLS | |||
| Synchronizer | TCP/8843 (HTTPS) | TLS | |||
| UDCA | TCP/7070 (HTTPS) | TLS | |||
חיבורים חיצוניים
כדי להגדיר את חומת האש ברשת בצורה מתאימה, צריך לדעת את היציאות של התקשורת הנכנסת והיוצאת שמשמשות את Hybrid כדי לתקשר עם שירותים חיצוניים.
בתמונה הבאה מוצגים הפורטים שמשמשים לתקשורת חיצונית עם מישור זמן הריצה ההיברידי:
בטבלה הבאה מפורטים הפורטים שמשמשים לתקשורת חיצונית עם מישור זמן הריצה ההיברידי:
| חיבורים חיצוניים | |||||
|---|---|---|---|---|---|
| מקור | יעד | פרוטוקול/יציאות | פרוטוקול אבטחה | תיאור | |
| חיבורים נכנסים (חשופים חיצונית) | |||||
| אופציונלי: Apigee Services רק אם לא משתמשים ב-Apigee Connect (מומלץ). מידע נוסף זמין בקטע חיבורים דו-כיווניים בהמשך. |
MART Istio Ingress | TCP/443 | OAuth over TLS 1.2 | קריאות ל-API היברידיות ממישור הניהול | |
| אפליקציות לקוח | ברירת המחדל של Istio Ingress | TCP/* | ללא/OAuth באמצעות TLS 1.2 | בקשות API מאפליקציות חיצוניות | |
| חיבורים יוצאים | |||||
| מעבד הודעות | שירותים לקצה העורפי | TCP/* UDP/* |
ללא/OAuth באמצעות TLS 1.2 | שליחת בקשות למארחים שהוגדרו על ידי הלקוח | |
| Synchronizer | Apigee Services | TCP/443 | OAuth over TLS 1.2 | שליפת נתוני ההגדרה; חיבור אל apigee.googleapis.com |
|
| Google Cloud | מתחבר אל iamcredentials.googleapis.com לצורך הרשאה |
||||
| UDCA (Analytics) | Apigee Services (UAP) | TCP/443 | OAuth over TLS 1.2 | שולח נתונים ל-UAP במישור הניהול ול-Google Cloud; מתחבר אל
apigee.googleapis.com וstorage.googleapis.com |
|
| Apigee Connect | Apigee Services | TCP/443 | TLS | יוצר את החיבור למישור הניהול; מתחבר אל
apigeeconnect.googleapis.com |
|
| Prometheus (מדדים) | Google Cloud (Cloud Operations) | TCP/443 | TLS | שולח נתונים ל-Cloud Operations במישור הניהול; מתחבר אל
monitoring.googleapis.com |
|
| fluentd (Logging) | Google Cloud (Cloud Operations) | TCP/443 | TLS | שולח נתונים ל-Cloud Operations במישור הניהול; מתחבר אל
logging.googleapis.com |
|
| MART | Google Cloud | TCP/443 | OAuth over TLS 1.2 | מתחבר אל iamcredentials.googleapis.com לצורך הרשאה |
|
| מעבד בקשות | העורף של Distributed Trace | http או https | TLS (ניתן להגדרה) | (אופציונלי) מעביר פרטים מיומן המעקב לשירות העורפי של Distributed Trace. מגדירים את השירות ואת הפרוטוקול ב-TraceConfig API. הקצה העורפי של מעקב מבוזר הוא בדרך כלל Cloud Trace או Jaeger. | |
| חיבורים דו-כיווניים | |||||
| Apigee Connect | Apigee Services | TCP/443 | TLS | מעביר נתוני ניהול בין מישור הניהול לבין Management API עבור נתוני זמן ריצה (MART) במישור זמן הריצה. Apigee Connect יוזם את החיבור;
מתחבר אל apigeeconnect.googleapis.com |
|
| * מציין שאפשר להגדיר את היציאה. מומלץ להשתמש ביציאה 443. | |||||
לא מומלץ לאפשר חיבורים חיצוניים לכתובות IP ספציפיות שמשויכות ל-*.googleapis.com. כתובות ה-IP יכולות להשתנות כי הדומיין מופנה כרגע לכמה כתובות.