Résolution des problèmes de configuration SSL dans SOLR 9.6.1 et Zookeeper 3.8.1 d'Ubuntu 24.04.1

Défis liés à l'activation de SSL pour SOLR avec l'intégration de Zookeeper

L'activation de SSL dans une configuration SOLR-Zookeeper peut être délicate, en particulier lorsque vous travaillez avec des serveurs Ubuntu 24.04.1. Ce processus de configuration garantit une communication sécurisée entre les nœuds, mais même une mauvaise configuration mineure peut empêcher des services tels que SOLR Admin UI de fonctionner correctement. Si vous avez récemment essayé d'activer SSL et rencontré des problèmes, vous n'êtes pas seul.

Dans cet article, nous aborderons un problème courant rencontré lors de l'activation SSL dans SOLR 9.6.1 lors de l'intégration à Zookeeper 3.8.1 sur un serveur Ubuntu local. La configuration en question implique l'exécution de SOLR et Zookeeper sur le même serveur avec un seul fragment, plusieurs répliques et une authentification de base. L'accent sera mis sur la résolution des erreurs qui se produisent après la mise à jour des paramètres SSL.

Les mauvaises configurations SSL entraînent souvent des erreurs telles que des messages « L'interface utilisateur d'administration ne se lance pas » ou « Tuyau cassé » dans les fichiers journaux, ce qui peut être difficile à dépanner. Ces erreurs proviennent généralement de problèmes de certificat ou d'échecs de connexion SSL au sein des nœuds SOLR ou Zookeeper, entraînant une rupture de communication entre les services.

Dans les sections suivantes, nous approfondirons les fichiers journaux, analyserons les causes potentielles de ces erreurs liées à SSL et proposerons des solutions étape par étape pour garantir une configuration SSL fluide pour votre configuration SOLR et Zookeeper.

Analyse de la configuration SSL et des scripts pour SOLR et Zookeeper

Le premier script automatise le processus de redémarrage de SOLR et Zookeeper tout en garantissant que les configurations SSL sont correctement appliquées. Il utilise les scripts Bash pour parcourir les instances de Zookeeper et les redémarrer avec les paramètres SSL mis à jour. L'importance de ce script réside dans la gestion de plusieurs nœuds Zookeeper, car les configurations SSL doivent être appliquées uniformément sur l'ensemble du cluster. L'utilisation de `zkServer.sh restart` garantit que chaque nœud Zookeeper est redémarré correctement avec son fichier de configuration respectif, ce qui rend le script efficace pour la gestion de cluster dans une configuration multi-nœuds.

Le script aborde également le redémarrage de l'instance SOLR à l'aide de « solr restart ». SOLR s'appuie sur Jetty pour gérer les requêtes HTTPS, et le script garantit que les paramètres liés à SSL tels que les chemins du magasin de clés et du magasin de clés de confiance sont correctement rechargés. Cela évite les échecs potentiels de négociation SSL lors de l'accès à l'interface utilisateur d'administration SOLR, qui peuvent résulter de certificats SSL obsolètes ou mal configurés. En automatisant ces tâches, le script minimise les erreurs manuelles, notamment lors de la gestion des certificats SSL sur plusieurs services sur le même serveur.

Le deuxième script est utilisé pour créer et gérer des Java KeyStores pour SSL dans SOLR et Zookeeper. L'utilitaire Keytool de Java est utilisé pour générer des paires de clés et importer des certificats dans le magasin de clés. La commande `keytool -genkeypair` génère les certificats SSL nécessaires, tandis que `keytool -import` est utilisée pour ajouter des certificats racine et intermédiaires de confiance. Ces certificats garantissent que la communication SSL entre les nœuds est fiable et sécurisée. Ce script est crucial pour configurer et gérer correctement les certificats SSL, qui jouent un rôle central pour permettre une communication sécurisée entre les services.

Enfin, le script Python fourni agit comme un outil de surveillance des journaux spécialement conçu pour détecter les erreurs de négociation SSL. En lisant continuellement les journaux SSL en temps réel, ce script peut identifier les problèmes liés à SSL tels que « échec de la négociation SSL ». Ce niveau de journalisation est essentiel pour diagnostiquer les problèmes dans des environnements complexes où des services comme Zookeeper et SOLR communiquent via des canaux cryptés. La surveillance en temps réel permet d'identifier rapidement la cause première des échecs SSL, qui peuvent provenir d'incompatibilités de certificats, d'une configuration incorrecte ou de certificats expirés. Cet outil de dépannage est particulièrement utile dans les environnements comportant plusieurs nœuds et des complexités SSL.

#!/bin/bash
# Script to automate SOLR and Zookeeper restart with SSL configuration
# Paths to configuration files
ZOOKEEPER_DIR="/opt/zookeeper"
SOLR_DIR="/opt/solr"
SSL_KEYSTORE="/opt/solr-9.6.1/server/etc/solr-ssl.jks"
ZOOKEEPER_CONFIG="$ZOOKEEPER_DIR/conf/zoo.cfg"
SOLR_CONFIG="$SOLR_DIR/server/etc/jetty-ssl.xml"

# Restart Zookeeper with SSL configuration
echo "Restarting Zookeeper..."
for i in {1..3}; do
    /bin/bash $ZOOKEEPER_DIR/bin/zkServer.sh restart $ZOOKEEPER_DIR/data/z$i/zoo.cfg
done

# Restart SOLR with SSL configuration
echo "Restarting SOLR..."
/bin/bash $SOLR_DIR/bin/solr restart -c -p 8983 -z localhost:2181,localhost:2182,localhost:2183 -m 5g -force

#!/bin/bash
# Generate a keystore with a self-signed certificate
keytool -genkeypair -alias solr -keyalg RSA -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks

# Import intermediate and root certificates
keytool -import -trustcacerts -alias root -file /path/to/rootCA.pem -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks
keytool -import -trustcacerts -alias intermediate -file /path/to/intermediateCA.pem -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks

# Configure Zookeeper SSL settings
echo "ssl.client.enable=true" >> $ZOOKEEPER_DIR/conf/zoo.cfg
echo "ssl.quorum.keyStore.location=/opt/solr-9.6.1/server/etc/solr-ssl.jks" >> $ZOOKEEPER_DIR/conf/zoo.cfg
echo "ssl.quorum.trustStore.location=/opt/solr-9.6.1/server/etc/solr-ssl.jks" >> $ZOOKEEPER_DIR/conf/zoo.cfg

import subprocess
import time

def monitor_ssl_logs(log_file):
    with open(log_file, 'r') as f:
        f.seek(0, 2)  # Move to the end of file
        while True:
            line = f.readline()
            if not line:
                time.sleep(0.1)
                continue
            if "SSL handshake failed" in line:
                print(f"Error: {line.strip()}")

# Start monitoring Zookeeper SSL logs
monitor_ssl_logs("/opt/zookeeper/logs/zookeeper.log")

Prise de contact SSL et complexités de configuration dans SOLR et Zookeeper

Un aspect essentiel à prendre en compte lors de l'activation de SSL dans SOLR et Zookeeper est la manière dont le Prise de contact SSL le processus fonctionne. La poignée de main implique l'échange de certificats entre le client et le serveur, vérifiant la confiance avant le début de la transmission de données cryptées. Des problèmes surviennent souvent si les certificats ne sont pas correctement définis dans les configurations SOLR et Zookeeper. Par exemple, des chaînes de certificats ou des mots de passe de magasin de clés incompatibles peuvent empêcher le système d'initier avec succès une connexion SSL. SOLR s'appuie sur Jetty pour gérer la communication SSL, il est donc important de garantir que la configuration de Jetty est synchronisée avec les paramètres de votre magasin de clés.

Un autre défi courant consiste à configurer SSL sur plusieurs nœuds, en particulier dans un quorum Zookeeper. Avec plusieurs nœuds Zookeeper, la configuration SSL doit être cohérente sur tous les serveurs pour permettre une communication sécurisée client-serveur et serveur-serveur. Chaque nœud doit avoir la même configuration de magasin de clés et de magasin de clés de confiance, ainsi que des protocoles SSL identiques tels que TLSv1.2. Ces configurations se trouvent dans le fichier `zoo.cfg`. Toute divergence entre les nœuds peut entraîner des problèmes tels que des erreurs « tuyau cassé » ou « le socket est fermé », comme en témoigne le scénario de problème.

Il est également essentiel de considérer la manière dont Zookeeper gère les communications du quorum avec SSL activé. En définissant « ssl.quorum.enabledProtocols », vous garantissez que la communication sécurisée entre les nœuds Zookeeper s'effectue via un protocole fiable tel que TLS. De plus, conserver `ssl.quorum.hostnameVerification=false` peut être nécessaire dans les cas où les nœuds Zookeeper sont référencés par IP plutôt que par noms d'hôte, car des incohérences de nom d'hôte peuvent interrompre la négociation SSL. Un réglage précis de ces paramètres peut améliorer considérablement la sécurité des communications dans votre configuration distribuée.