Solucionar problemes de configuració SSL a SOLR 9.6.1 d'Ubuntu 24.04.1 i Zookeeper 3.8.1

Reptes per habilitar SSL per SOLR amb la integració de Zookeeper

Habilitar SSL en una configuració de SOLR-Zookeeper pot ser complicat, especialment quan es treballa amb servidors Ubuntu 24.04.1. Aquest procés de configuració garanteix una comunicació segura entre els nodes, però fins i tot un error de configuració menor pot impedir que serveis com la interfície d'usuari d'administració de SOLR funcionin correctament. Si recentment heu provat d'activar SSL i heu trobat problemes, no esteu sols.

En aquest article, repassarem un problema comú que s'enfronta durant l'activació SSL a SOLR 9.6.1 quan s'integra amb Zookeeper 3.8.1 en un servidor local d'Ubuntu. La configuració en qüestió implica executar SOLR i Zookeeper al mateix servidor amb un sol fragment, múltiples rèpliques i autenticació bàsica. El focus se centrarà a resoldre els errors que es produeixen després d'actualitzar la configuració de SSL.

Les configuracions incorrectes de SSL sovint donen lloc a errors com ara "La interfície d'usuari d'administració no s'inicia" o missatges de "canalització trencada" als fitxers de registre, que poden ser difícils de solucionar. Aquests errors solen sorgir de problemes de certificats o errors de connexió SSL dins dels nodes SOLR o Zookeeper, cosa que provoca una interrupció de la comunicació entre els serveis.

A les seccions següents, aprofundirem en els fitxers de registre, analitzarem les possibles causes d'aquests errors relacionats amb SSL i oferirem solucions pas a pas per garantir una configuració SSL fluida per a la configuració de SOLR i Zookeeper.

Anàlisi de la configuració i scripts SSL per a SOLR i Zookeeper

El primer script automatitza el procés de reinici de SOLR i Zookeeper alhora que assegura que les configuracions SSL s'apliquen correctament. Utilitza scripts de Bash per recórrer les instàncies de Zookeeper i reiniciar-les amb la configuració SSL actualitzada. La importància d'aquest script rau en la gestió de diversos nodes de Zookeeper, ja que les configuracions SSL s'han d'aplicar de manera uniforme a tot el clúster. L'ús de `zkServer.sh restart` garanteix que cada node Zookeeper es reinicia correctament amb el seu fitxer de configuració respectiu, fent que l'script sigui eficient per a la gestió del clúster en una configuració de diversos nodes.

L'script també aborda el reinici de la instància SOLR mitjançant "solr restart". SOLR confia en Jetty per gestionar les sol·licituds HTTPS i l'script garanteix que la configuració relacionada amb SSL, com ara els camins de magatzem de claus i de confiança, es tornin a carregar correctament. Això evita possibles errors de connexió de contactes SSL en accedir a la interfície d'usuari d'administració de SOLR, que poden sorgir de certificats SSL obsolets o mal configurats. En automatitzar aquestes tasques, l'script minimitza els errors manuals, especialment quan es gestionen certificats SSL en diversos serveis al mateix servidor.

El segon script s'utilitza per crear i gestionar Java KeyStores per a SSL tant a SOLR com a Zookeeper. La utilitat Keytool de Java s'utilitza per generar parells de claus i importar certificats al magatzem de claus. L'ordre `keytool -genkeypair` genera els certificats SSL necessaris, mentre que `keytool -import` s'utilitza per afegir certificats arrel i intermedis de confiança. Aquests certificats garanteixen que la comunicació SSL entre nodes sigui fiable i segura. Aquest script és crucial per configurar i gestionar correctament els certificats SSL, que tenen un paper central a l'hora de permetre una comunicació segura entre els serveis.

Finalment, l'script de Python proporcionat actua com una eina de supervisió de registres dissenyada específicament per detectar errors d'enllaç SSL. Llegint contínuament els registres SSL en temps real, aquest script pot identificar problemes relacionats amb SSL, com ara "SSL handshake failed". Aquest nivell de registre és essencial per diagnosticar problemes en entorns complexos on serveis com Zookeeper i SOLR es comuniquen per canals xifrats. La supervisió en temps real ajuda a identificar ràpidament la causa principal dels errors SSL, que podrien derivar-se de desajustos de certificats, configuració incorrecta o certificats caducats. Aquesta eina de resolució de problemes és especialment valuosa en entorns amb múltiples nodes i complexitats SSL.

#!/bin/bash
# Script to automate SOLR and Zookeeper restart with SSL configuration
# Paths to configuration files
ZOOKEEPER_DIR="/opt/zookeeper"
SOLR_DIR="/opt/solr"
SSL_KEYSTORE="/opt/solr-9.6.1/server/etc/solr-ssl.jks"
ZOOKEEPER_CONFIG="$ZOOKEEPER_DIR/conf/zoo.cfg"
SOLR_CONFIG="$SOLR_DIR/server/etc/jetty-ssl.xml"

# Restart Zookeeper with SSL configuration
echo "Restarting Zookeeper..."
for i in {1..3}; do
    /bin/bash $ZOOKEEPER_DIR/bin/zkServer.sh restart $ZOOKEEPER_DIR/data/z$i/zoo.cfg
done

# Restart SOLR with SSL configuration
echo "Restarting SOLR..."
/bin/bash $SOLR_DIR/bin/solr restart -c -p 8983 -z localhost:2181,localhost:2182,localhost:2183 -m 5g -force

#!/bin/bash
# Generate a keystore with a self-signed certificate
keytool -genkeypair -alias solr -keyalg RSA -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks

# Import intermediate and root certificates
keytool -import -trustcacerts -alias root -file /path/to/rootCA.pem -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks
keytool -import -trustcacerts -alias intermediate -file /path/to/intermediateCA.pem -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks

# Configure Zookeeper SSL settings
echo "ssl.client.enable=true" >> $ZOOKEEPER_DIR/conf/zoo.cfg
echo "ssl.quorum.keyStore.location=/opt/solr-9.6.1/server/etc/solr-ssl.jks" >> $ZOOKEEPER_DIR/conf/zoo.cfg
echo "ssl.quorum.trustStore.location=/opt/solr-9.6.1/server/etc/solr-ssl.jks" >> $ZOOKEEPER_DIR/conf/zoo.cfg

import subprocess
import time

def monitor_ssl_logs(log_file):
    with open(log_file, 'r') as f:
        f.seek(0, 2)  # Move to the end of file
        while True:
            line = f.readline()
            if not line:
                time.sleep(0.1)
                continue
            if "SSL handshake failed" in line:
                print(f"Error: {line.strip()}")

# Start monitoring Zookeeper SSL logs
monitor_ssl_logs("/opt/zookeeper/logs/zookeeper.log")

SSL Handshake i complexitats de configuració a SOLR i Zookeeper

Un aspecte crític a abordar quan s'habilita SSL a SOLR i Zookeeper és com Encaixada de mans SSL el procés funciona. La connexió de mans implica l'intercanvi de certificats entre el client i el servidor, verificant la confiança abans que comenci la transmissió de dades xifrades. Sovint sorgeixen problemes si els certificats no estan configurats correctament tant a les configuracions SOLR com a Zookeeper. Per exemple, les cadenes de certificats o les contrasenyes de magatzem de claus no coincidents poden impedir que el sistema iniciï correctament una connexió SSL. SOLR confia en Jetty per gestionar la comunicació SSL, per la qual cosa és important assegurar-se que la configuració de Jetty està sincronitzada amb la configuració del vostre magatzem de claus.

Un altre repte comú és configurar SSL a diversos nodes, especialment en un quòrum de Zookeeper. Amb diversos nodes Zookeeper, la configuració SSL ha de ser coherent en tots els servidors per permetre una comunicació segura de client a servidor i servidor a servidor. Cada node ha de tenir la mateixa configuració de magatzem de claus i magatzem de confiança, així com protocols SSL idèntics com ara TLSv1.2. Aquestes configuracions es troben al fitxer `zoo.cfg`. Qualsevol discrepància entre els nodes pot provocar problemes com ara errors de "tuba trencada" o "sòcket tancat", com es pot comprovar en l'escenari del problema.

També és essencial tenir en compte com Zookeeper gestiona les comunicacions de quòrum amb SSL habilitat. En establir `ssl.quorum.enabledProtocols`, us assegureu que la comunicació segura entre els nodes Zookeeper es produeix mitjançant un protocol de confiança com TLS. A més, pot ser necessari mantenir `ssl.quorum.hostnameVerification=false` en els casos en què els nodes Zookeeper es refereixen per IP en lloc de noms d'amfitrió, ja que les discrepàncies de noms d'amfitrió poden interrompre l'enllaç SSL. Ajustar aquests paràmetres pot millorar significativament la comunicació segura a la vostra configuració distribuïda.