إصلاح مشكلات تكوين SSL في Ubuntu 24.04.1 وSOLR 9.6.1 وZookeeper 3.8.1

التحديات في تمكين SSL لـ SOLR مع تكامل Zookeeper

قد يكون تمكين SSL في إعداد SOLR-Zookeeper أمرًا صعبًا، خاصة عند العمل مع خوادم Ubuntu 24.04.1. تضمن عملية التكوين هذه الاتصال الآمن بين العقد، ولكن حتى التكوين الخاطئ البسيط يمكن أن يمنع خدمات مثل SOLR Admin UI من العمل بشكل صحيح. إذا حاولت مؤخرًا تمكين SSL وواجهت مشكلات، فأنت لست وحدك.

في هذه المقالة، سنتعرف على مشكلة شائعة تمت مواجهتها أثناء تنشيط SSL في SOLR 9.6.1 عند التكامل مع Zookeeper 3.8.1 على خادم Ubuntu المحلي. يتضمن الإعداد المعني تشغيل SOLR وZookeeper على نفس الخادم بجزء واحد ونسخ متماثلة متعددة ومصادقة أساسية. سيتم التركيز على حل الأخطاء التي تحدث بعد تحديث إعدادات SSL.

غالبًا ما تؤدي التكوينات الخاطئة لطبقة المقابس الآمنة (SSL) إلى حدوث أخطاء مثل "عدم تشغيل واجهة المستخدم الإدارية" أو رسائل "القناة المعطلة" في ملفات السجل، والتي قد يكون من الصعب استكشاف الأخطاء وإصلاحها. تنشأ هذه الأخطاء عادةً بسبب مشكلات في الشهادات أو فشل اتصال SSL داخل عقد SOLR أو Zookeeper، مما يؤدي إلى انقطاع الاتصال بين الخدمات.

في الأقسام التالية، سنتعمق أكثر في ملفات السجل، ونحلل الأسباب المحتملة لهذه الأخطاء المتعلقة بـ SSL، ونقدم حلولًا خطوة بخطوة لضمان تكوين SSL سلس لإعداد SOLR وZookeeper.

تحليل تكوين SSL والبرمجة النصية لـ SOLR وZookeeper

يقوم البرنامج النصي الأول بأتمتة عملية إعادة تشغيل SOLR وZookeeper مع ضمان تطبيق تكوينات SSL بشكل صحيح. يستخدم البرمجة النصية Bash للتكرار عبر مثيلات Zookeeper وإعادة تشغيلها باستخدام إعدادات SSL المحدثة. تكمن أهمية هذا البرنامج النصي في إدارة عقد Zookeeper المتعددة، حيث يجب تطبيق تكوينات SSL بشكل موحد عبر المجموعة بأكملها. يضمن استخدام `zkServer.sh Restart` إعادة تشغيل كل عقدة Zookeeper بشكل صحيح باستخدام ملف التكوين الخاص بها، مما يجعل البرنامج النصي فعالاً لإدارة المجموعة في إعداد متعدد العقد.

يعالج البرنامج النصي أيضًا إعادة تشغيل مثيل SOLR باستخدام `solr Restart`. يعتمد SOLR على Jetty لمعالجة طلبات HTTPS، ويضمن البرنامج النصي إعادة تحميل الإعدادات المتعلقة بـ SSL مثل مسارات تخزين المفاتيح ومخزن الثقة بشكل صحيح. وهذا يمنع حالات فشل مصافحة SSL المحتملة عند الوصول إلى واجهة مستخدم SOLR Admin، والتي يمكن أن تنشأ من شهادات SSL قديمة أو تم تكوينها بشكل خاطئ. من خلال أتمتة هذه المهام، يقلل البرنامج النصي من الأخطاء اليدوية، خاصة عند إدارة شهادات SSL عبر خدمات متعددة على نفس الخادم.

يتم استخدام البرنامج النصي الثاني لإنشاء وإدارة Java KeyStores لـ SSL في كل من SOLR وZookeeper. يتم استخدام الأداة المساعدة Keytool في Java لإنشاء أزواج المفاتيح واستيراد الشهادات إلى مخزن المفاتيح. ينشئ الأمر `keytool -genkeypair` شهادات SSL الضرورية، بينما يُستخدم `keytool -import` لإضافة الشهادات الجذرية والوسيطة الموثوقة. تضمن هذه الشهادات أن اتصال SSL بين العقد موثوق به وآمن. يعد هذا البرنامج النصي ضروريًا لإعداد شهادات SSL وإدارتها بشكل صحيح، والتي تلعب دورًا مركزيًا في تمكين الاتصال الآمن بين الخدمات.

أخيرًا، يعمل البرنامج النصي Python المقدم كأداة لمراقبة السجل مصممة خصيصًا لاكتشاف أخطاء مصافحة SSL. من خلال قراءة سجلات SSL بشكل مستمر في الوقت الفعلي، يمكن لهذا البرنامج النصي تحديد المشكلات المتعلقة بـ SSL مثل "فشل تأكيد اتصال SSL". يعد هذا المستوى من التسجيل ضروريًا لتشخيص المشكلات في البيئات المعقدة حيث تتواصل خدمات مثل Zookeeper وSOLR عبر القنوات المشفرة. تساعد المراقبة في الوقت الفعلي في تحديد السبب الجذري لفشل طبقة المقابس الآمنة (SSL) بسرعة، والذي قد ينجم عن عدم تطابق الشهادات، أو التكوين غير الصحيح، أو الشهادات منتهية الصلاحية. تعتبر أداة استكشاف الأخطاء وإصلاحها هذه ذات قيمة خاصة في البيئات ذات العقد المتعددة وتعقيدات SSL.

#!/bin/bash
# Script to automate SOLR and Zookeeper restart with SSL configuration
# Paths to configuration files
ZOOKEEPER_DIR="/opt/zookeeper"
SOLR_DIR="/opt/solr"
SSL_KEYSTORE="/opt/solr-9.6.1/server/etc/solr-ssl.jks"
ZOOKEEPER_CONFIG="$ZOOKEEPER_DIR/conf/zoo.cfg"
SOLR_CONFIG="$SOLR_DIR/server/etc/jetty-ssl.xml"

# Restart Zookeeper with SSL configuration
echo "Restarting Zookeeper..."
for i in {1..3}; do
    /bin/bash $ZOOKEEPER_DIR/bin/zkServer.sh restart $ZOOKEEPER_DIR/data/z$i/zoo.cfg
done

# Restart SOLR with SSL configuration
echo "Restarting SOLR..."
/bin/bash $SOLR_DIR/bin/solr restart -c -p 8983 -z localhost:2181,localhost:2182,localhost:2183 -m 5g -force

#!/bin/bash
# Generate a keystore with a self-signed certificate
keytool -genkeypair -alias solr -keyalg RSA -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks

# Import intermediate and root certificates
keytool -import -trustcacerts -alias root -file /path/to/rootCA.pem -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks
keytool -import -trustcacerts -alias intermediate -file /path/to/intermediateCA.pem -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks

# Configure Zookeeper SSL settings
echo "ssl.client.enable=true" >> $ZOOKEEPER_DIR/conf/zoo.cfg
echo "ssl.quorum.keyStore.location=/opt/solr-9.6.1/server/etc/solr-ssl.jks" >> $ZOOKEEPER_DIR/conf/zoo.cfg
echo "ssl.quorum.trustStore.location=/opt/solr-9.6.1/server/etc/solr-ssl.jks" >> $ZOOKEEPER_DIR/conf/zoo.cfg

import subprocess
import time

def monitor_ssl_logs(log_file):
    with open(log_file, 'r') as f:
        f.seek(0, 2)  # Move to the end of file
        while True:
            line = f.readline()
            if not line:
                time.sleep(0.1)
                continue
            if "SSL handshake failed" in line:
                print(f"Error: {line.strip()}")

# Start monitoring Zookeeper SSL logs
monitor_ssl_logs("/opt/zookeeper/logs/zookeeper.log")

تعقيدات مصافحة SSL والتكوين في SOLR وZookeeper

أحد الجوانب المهمة التي يجب معالجتها عند تمكين SSL في SOLR وZookeeper هو كيفية مصافحة SSL تعمل العملية. تتضمن المصافحة تبادل الشهادات بين العميل والخادم، والتحقق من الثقة قبل بدء نقل البيانات المشفرة. غالبًا ما تنشأ المشكلات إذا لم يتم تعيين الشهادات بشكل صحيح في تكوينات SOLR وZookeeper. على سبيل المثال، يمكن لسلاسل الشهادات غير المتطابقة أو كلمات مرور مخزن المفاتيح أن تمنع النظام من بدء اتصال SSL بنجاح. تعتمد SOLR على Jetty لإدارة اتصالات SSL، مما يجعل من المهم التأكد من مزامنة تكوين Jetty مع إعدادات تخزين المفاتيح الخاصة بك.

التحدي الشائع الآخر هو إعداد SSL عبر عقد متعددة، خاصة في نصاب Zookeeper. مع عقد Zookeeper المتعددة، يجب أن يكون تكوين SSL متسقًا عبر جميع الخوادم لتمكين الاتصال الآمن من عميل إلى خادم ومن خادم إلى خادم. يجب أن يكون لكل عقدة نفس إعداد مخزن المفاتيح ومخزن الثقة، بالإضافة إلى بروتوكولات SSL متطابقة مثل TLSv1.2. تم العثور على هذه التكوينات في ملف "zoo.cfg". يمكن أن يؤدي أي تناقض بين العقد إلى مشكلات مثل أخطاء "الأنبوب المكسور" أو "المقبس مغلق"، كما هو موضح في سيناريو المشكلة.

من الضروري أيضًا مراعاة كيفية تعامل Zookeeper مع اتصالات النصاب القانوني مع تمكين SSL. من خلال تعيين `ssl.quorum.enabledProtocols`، فإنك تضمن أن الاتصال الآمن بين عقد Zookeeper يحدث عبر بروتوكول موثوق به مثل TLS. بالإضافة إلى ذلك، قد يكون الاحتفاظ بـ "ssl.quorum.hostnameVerification=false" ضروريًا في الحالات التي تتم فيها الإشارة إلى عقد Zookeeper بواسطة IP بدلاً من أسماء المضيفين، حيث يمكن أن يؤدي عدم تطابق اسم المضيف إلى مقاطعة مصافحة SSL. يمكن أن يؤدي ضبط هذه الإعدادات إلى تحسين الاتصال الآمن بشكل كبير عبر الإعداد الموزع لديك.