חשוב להבין באילו יציאות משתמשת מישור הבקרה של זמן הריצה ההיברידי בהטמעות בארגונים. בקטע הזה מוסבר על הפורטים שמשמשים לתקשורת מאובטחת במישור זמן הריצה, וגם על פורטים חיצוניים שמשמשים לתקשורת עם שירותים חיצוניים.
חיבורים פנימיים
התקשורת בין מישור זמן הריצה לבין מישור הניהול מאובטחת באמצעות TLS חד-כיווני ו-OAuth 2.0. שירותים שונים משתמשים בפרוטוקולים שונים, בהתאם לשירות שאיתו הם מתקשרים.
האישורים שמשמשים לתקשורת בין רכיבים נוצרים על ידי מנהל האישורים של Apigee. אתם לא צריכים לספק אישור או לנהל אותו.
בתמונה הבאה מוצגים הפורטים וערוצי התקשורת במישור זמן הריצה ההיברידי:
בטבלה הבאה מתוארים הפורטים וערוצי התקשורת במישור זמן הריצה ההיברידי:
| חיבורים פנימיים | |||||
|---|---|---|---|---|---|
| מקור | יעד | פרוטוקול/יציאות | פרוטוקול אבטחה | תיאור | |
| MART | Cassandra | TCP/9042 TCP/9142 |
TLS | שליחת נתונים להתמדה. | |
| Apigee Connect | MART | TCP/8443 | TLS | בקשות ממישור הניהול עוברות דרך Apigee Connect. Apigee Connect יוזם את החיבור. | |
| שער Istio Ingress שמוגדר כברירת מחדל | מעבד בקשות | TCP/8443 | TLS (אישור בחתימה עצמית שנוצר על ידי Apigee) | מעבד בקשות API נכנסות. | |
| מעבד בקשות | Cassandra | TCP/9042 TCP/9142 |
TLS | שליחת נתונים להתמדה. | |
| מעבד בקשות | fluentd (analytics / logging) | TCP/20001 | mTLS | הנתונים מועברים אל מאגר איסוף הנתונים. | |
| Cassandra | Cassandra | TCP/7001 | mTLS | תקשורת בין צמתים באותו אשכול. שימו לב שאפשר גם להשאיר את יציאה 7000 פתוחה להגדרת חומת האש כאפשרות גיבוי לפתרון בעיות פוטנציאליות. | |
| Synchronizer | Cassandra | TCP/9042 TCP/9142 |
TLS | שליחת נתונים להתמדה. | |
| Prometheus (מדדים) | Cassandra | TCP/7070 (HTTPS) | TLS | הכלי אוסף נתוני מדדים משירותים שונים. | |
| MART | TCP/8843 (HTTPS) | TLS | |||
| מעבד הודעות | TCP/8843 (HTTPS) | TLS | |||
| Synchronizer | TCP/8843 (HTTPS) | TLS | |||
| UDCA | TCP/7070 (HTTPS) | TLS | |||
| צופה | שער Istio Ingress שמוגדר כברירת מחדל | TCP/8843 | TLS | ביצוע שינויים שקשורים למארחים וירטואליים כדי להגדיר את istio ingress. | |
חיבורים חיצוניים
כדי להגדיר את חומת האש ברשת בצורה מתאימה, צריך לדעת את היציאות של התקשורת הנכנסת והיוצאת שמשמשות את Hybrid כדי לתקשר עם שירותים חיצוניים.
בתמונה הבאה מוצגים הפורטים שמשמשים לתקשורת חיצונית עם מישור זמן הריצה ההיברידי:
בטבלה הבאה מפורטים הפורטים שמשמשים לתקשורת חיצונית עם מישור זמן הריצה ההיברידי:
| חיבורים חיצוניים | |||||
|---|---|---|---|---|---|
| מקור | יעד | פרוטוקול/יציאות | פרוטוקול אבטחה | תיאור | |
| חיבורים נכנסים (חשופים חיצונית) | |||||
| אופציונלי: Apigee Services רק אם לא משתמשים ב-Apigee Connect (מומלץ). מידע נוסף זמין בקטע חיבורים דו-כיווניים בהמשך. |
MART Istio Ingress | TCP/443 | OAuth over TLS 1.2 | קריאות ל-API היברידיות ממישור הניהול. | |
| אפליקציות לקוח | ברירת המחדל של Istio Ingress | TCP/* | ללא/OAuth באמצעות TLS 1.2 | בקשות API מאפליקציות חיצוניות. | |
| חיבורים יוצאים | |||||
| מעבד הודעות | שירותים לקצה העורפי | TCP/* UDP/* |
ללא/OAuth באמצעות TLS 1.2 | שליחת בקשות למארחים שהוגדרו על ידי הלקוח. | |
| Synchronizer | Apigee Services | TCP/443 | OAuth over TLS 1.2 | מאחזר נתוני הגדרה; מתחבר אל
apigee.googleapis.com. |
|
| Google Cloud | מתחבר אל iamcredentials.googleapis.com כדי לקבל
הרשאה. |
||||
| UDCA (Analytics) | Apigee Services (UAP) | TCP/443 | OAuth over TLS 1.2 | שולח נתונים ל-UAP במישור הניהול ול-Google Cloud; מתחבר אל
apigee.googleapis.com ואל
storage.googleapis.com. |
|
| Apigee Connect | Apigee Services | TCP/443 | TLS | יוצר את החיבור למישור הניהול; מתחבר אל
apigeeconnect.googleapis.com. |
|
| Prometheus (מדדים) | Google Cloud (Cloud Operations) | TCP/443 | TLS | שולח נתונים ל-Cloud Operations במישור הניהול; מתחבר אל monitoring.googleapis.com. |
|
| fluentd (logging) | Google Cloud (Cloud Operations) | TCP/443 | TLS | שולח נתונים ל-Cloud Operations במישור הניהול; מתחבר אל
logging.googleapis.com |
|
| MART | Google Cloud | TCP/443 | OAuth over TLS 1.2 | מתחבר אל iamcredentials.googleapis.com כדי לקבל הרשאה. |
|
| מעבד בקשות | העורף של Distributed Trace | http או https | TLS (ניתן להגדרה) | (אופציונלי) מעביר פרטים מיומן המעקב לשירות העורפי של Distributed Trace. מגדירים את השירות ואת הפרוטוקול ב-TraceConfig API. הקצה העורפי של מעקב מבוזר הוא בדרך כלל Cloud Trace או Jaeger. | |
| חיבורים דו-כיווניים | |||||
| Apigee Connect | Apigee Services | TCP/443 | TLS | מעביר נתוני ניהול בין מישור הניהול לבין Management API עבור נתוני זמן ריצה (MART) במישור זמן הריצה. Apigee Connect יוזם את החיבור;
מתחבר אל apigeeconnect.googleapis.com. לכן, אין צורך להגדיר את חומת האש לקישוריות נכנסת. |
|
| צופה | Google Cloud | TCP/443 | OAuth over TLS 1.2 | שולף שינויים שקשורים למארחים וירטואליים בארגון כדי להגדיר את istio ingress. | |
| * מציין שאפשר להגדיר את היציאה. מומלץ להשתמש ביציאה 443. | |||||
לא מומלץ לאפשר חיבורים חיצוניים לכתובות IP ספציפיות שמשויכות ל-*.googleapis.com. כתובות ה-IP יכולות להשתנות כי הדומיין מופנה כרגע לכמה כתובות.