Configurar puertos y crear cortafuegos

Es importante saber qué puertos usa el plano de tiempo de ejecución híbrido para las implementaciones empresariales. En esta sección se describen los puertos que se usan para las comunicaciones seguras en el plano de tiempo de ejecución, así como los puertos externos que se usan para las comunicaciones con servicios externos.

Conexiones internas

La comunicación entre el plano de tiempo de ejecución y el plano de gestión está protegida con TLS unidireccional y OAuth 2.0. Cada servicio utiliza protocolos diferentes en función del servicio con el que se comunique.

En la siguiente imagen se muestran los puertos y los canales de comunicación del plano de tiempo de ejecución híbrido:

Muestra las conexiones entre los componentes internos del plano del entorno de ejecución híbrido.

En la siguiente tabla se describen los puertos y los canales de comunicación del plano de tiempo de ejecución híbrido:

Conexiones internas
Fuente Destino Protocolo/puerto(s) Protocolo de seguridad Descripción
MART Cassandra TCP/9042
TCP/9142		 mTLS Envía datos para la persistencia.
Ingress de Istio de MART MART TCP/8443 TLS Las solicitudes del plano de gestión pasan por el MART Istio Ingress
Istio Ingress predeterminado Message Processor TCP/8443 TLS (certificado autofirmado generado por Apigee) Procesa las solicitudes a la API entrantes.
Message Processor Cassandra TCP/9042
TCP/9142		 mTLS Envía datos para la persistencia.
Message Processor fluentd (Analytics) TCP/20001 mTLS Transmite datos al pod de recogida de datos.
Cassandra Cassandra TCP/7001 mTLS Comunicaciones de clústeres entre nodos. Ten en cuenta que también puedes dejar abierto el puerto 7000 para configurar el cortafuegos como opción alternativa para solucionar posibles problemas.
Prometheus Cassandra TCP/7070 (HTTPS) TLS Rastrea datos de métricas de varios servicios.
MART TCP/8843 (HTTPS) TLS
Procesador de mensajes TCP/8843 (HTTPS) TLS
Sincronizador TCP/8843 (HTTPS) TLS
UDCA TCP/7070 (HTTPS) TLS

Conexiones externas

Para configurar correctamente tu cortafuegos de red, debes conocer los puertos de entrada y salida que usa la opción híbrida para comunicarse con servicios externos.

En la siguiente imagen se muestran los puertos que se usan para las comunicaciones externas con el plano de tiempo de ejecución híbrido:

Muestra las conexiones con servicios externos desde el plano de tiempo de ejecución híbrido.

En la siguiente tabla se describen los puertos que se usan para las comunicaciones externas con el plano de tiempo de ejecución híbrido:

Conexiones externas
Fuente Destino Protocolo/puerto(s) Protocolo de seguridad Descripción
Conexiones entrantes (expuestas externamente)
Servicios de Apigee Ingress de Istio de MART TCP/443 OAuth a través de TLS 1.2 Llamadas a APIs híbridas desde el plano de gestión
Aplicaciones cliente Ingress de Istio predeterminado TCP/* Ninguno/OAuth sobre TLS 1.2 Solicitudes a la API de aplicaciones externas
Conexiones salientes
Procesador de mensajes Servicios de backend TCP/*
UDP/*		 Ninguno/OAuth sobre TLS 1.2 Envía solicitudes a hosts definidos por el cliente.
Sincronizador Servicios de Apigee TCP/443 OAuth a través de TLS 1.2 Obtiene datos de configuración y se conecta a apigee.googleapis.com.
GCP Se conecta a iamcredentials.googleapis.com para obtener la autorización
UDCA (Analytics) Servicios de Apigee (UAP) TCP/443 OAuth a través de TLS 1.2 Envía datos a UAP en el plano de gestión y a GCP; se conecta a apigee.googleapis.com y storage.googleapis.com
Prometheus (métricas) GCP (Stackdriver) TCP/443 TLS Envía datos a Stackdriver en el plano de gestión; se conecta a monitoring.googleapis.com
fluentd (registro) GCP (Stackdriver) TCP/443 TLS Envía datos a Stackdriver en el plano de gestión; se conecta a logging.googleapis.com
MART GCP TCP/443 OAuth a través de TLS 1.2 Se conecta a iamcredentials.googleapis.com para obtener la autorización
El asterisco indica que el puerto se puede configurar. Apigee recomienda usar el puerto 443.

No debes permitir conexiones externas para direcciones IP específicas asociadas a *.googleapis.com. Las direcciones IP pueden cambiar, ya que el dominio se resuelve actualmente en varias direcciones.