SSL konfigurációs problémák megoldása az Ubuntu 24.04.1 SOLR 9.6.1 és Zookeeper 3.8.1 verziójában

Kihívások az SSL engedélyezése során a SOLR-hez a Zookeeper integrációval

Az SSL engedélyezése a SOLR-Zookeeper beállításban bonyolult lehet, különösen, ha Ubuntu 24.04.1-es szerverekkel dolgozik. Ez a konfigurációs folyamat biztosítja a biztonságos kommunikációt a csomópontok között, de még egy kisebb hibás konfiguráció is megakadályozhatja a szolgáltatások, például a SOLR Admin UI megfelelő működését. Ha nemrégiben próbálta engedélyezni az SSL-t, és problémákba ütközött, nincs egyedül.

Ebben a cikkben egy gyakori problémát mutatunk be a SOLR 9.6.1-es SSL-aktiválása során, amikor a Zookeeper 3.8.1-gyel integrálva van egy helyi Ubuntu-kiszolgálón. A szóban forgó beállítás magában foglalja a SOLR és a Zookeeper futtatását ugyanazon a szerveren egyetlen sharddal, több replikával és alapvető hitelesítéssel. A hangsúly az SSL-beállítások frissítése után fellépő hibák megoldásán lesz.

Az SSL hibás konfigurációi gyakran olyan hibákat eredményeznek, mint például a „Rendszergazdai felület nem indul el” vagy „Broken pipe” üzenetek a naplófájlokban, amelyek hibaelhárítása kihívást jelenthet. Ezek a hibák általában tanúsítványproblémákból vagy SSL-kapcsolati hibákból adódnak a SOLR vagy a Zookeeper csomópontokon belül, ami a szolgáltatások közötti kommunikáció megszakadásához vezet.

A következő szakaszokban mélyebben belemerülünk a naplófájlokba, elemezzük az SSL-hez kapcsolódó hibák lehetséges okait, és lépésről lépésre kínálunk megoldásokat a SOLR és a Zookeeper beállításainak zökkenőmentes SSL-konfigurációjának biztosítására.

A SOLR és a Zookeeper SSL konfigurációjának és szkriptjének elemzése

Az első szkript automatizálja a SOLR és a Zookeeper újraindításának folyamatát, miközben biztosítja az SSL konfigurációk megfelelő alkalmazását. Bash-szkriptet használ a Zookeeper-példányok körbefutásához, és a frissített SSL-beállításokkal történő újraindításához. Ennek a szkriptnek a jelentősége több Zookeeper csomópont kezelésében rejlik, mivel az SSL-konfigurációkat egységesen kell alkalmazni a teljes fürtben. A `zkServer.sh restart` használata biztosítja, hogy minden Zookeeper csomópont megfelelően újrainduljon a megfelelő konfigurációs fájljával, így a szkript hatékonyan használható a fürtkezeléshez több csomópontos beállításban.

A szkript a SOLR-példány újraindítását is megcélozza a "solr restart" használatával. A SOLR a Jetty-re támaszkodik a HTTPS-kérések kezelésében, és a szkript biztosítja, hogy az SSL-hez kapcsolódó beállítások, például a kulcstároló és a megbízhatósági tároló elérési útjai megfelelően újra betöltésre kerüljenek. Ez megakadályozza az esetleges SSL-kézfogási hibákat a SOLR Admin UI elérésekor, amelyek az elavult vagy rosszul konfigurált SSL-tanúsítványokból származhatnak. A feladatok automatizálásával a parancsfájl minimálisra csökkenti a kézi hibákat, különösen akkor, ha ugyanazon a kiszolgálón több szolgáltatáson keresztül kezeli az SSL-tanúsítványokat.

A második szkript az SSL Java KeyStores létrehozására és kezelésére szolgál mind a SOLR-ben, mind a Zookeeper-ben. A Java Keytool segédprogramja kulcspárok generálására és tanúsítványok kulcstárolóba történő importálására szolgál. A "keytool -genkeypair" parancs generálja a szükséges SSL-tanúsítványokat, míg a "keytool -import" a megbízható gyökér- és köztes tanúsítványok hozzáadására szolgál. Ezek a tanúsítványok biztosítják, hogy a csomópontok közötti SSL-kommunikáció megbízható és biztonságos. Ez a szkript kulcsfontosságú az SSL-tanúsítványok helyes beállításához és kezeléséhez, amelyek központi szerepet játszanak a szolgáltatások közötti biztonságos kommunikációban.

Végül a Python-szkript naplófigyelő eszközként működik, amelyet kifejezetten az SSL-kézfogási hibák észlelésére terveztek. Az SSL-naplók folyamatos, valós időben történő olvasásával ez a szkript képes azonosítani az SSL-lel kapcsolatos problémákat, például az "SSL-kézfogás sikertelen". Ez a naplózási szint elengedhetetlen a problémák diagnosztizálásához olyan összetett környezetekben, ahol az olyan szolgáltatások, mint a Zookeeper és a SOLR titkosított csatornákon kommunikálnak. A valós idejű megfigyelés segít gyorsan azonosítani az SSL hibák kiváltó okát, amelyek a tanúsítványok eltéréseiből, helytelen konfigurációból vagy lejárt tanúsítványokból eredhetnek. Ez a hibaelhárító eszköz különösen értékes olyan környezetekben, ahol több csomópont és SSL bonyolult.

#!/bin/bash
# Script to automate SOLR and Zookeeper restart with SSL configuration
# Paths to configuration files
ZOOKEEPER_DIR="/opt/zookeeper"
SOLR_DIR="/opt/solr"
SSL_KEYSTORE="/opt/solr-9.6.1/server/etc/solr-ssl.jks"
ZOOKEEPER_CONFIG="$ZOOKEEPER_DIR/conf/zoo.cfg"
SOLR_CONFIG="$SOLR_DIR/server/etc/jetty-ssl.xml"

# Restart Zookeeper with SSL configuration
echo "Restarting Zookeeper..."
for i in {1..3}; do
    /bin/bash $ZOOKEEPER_DIR/bin/zkServer.sh restart $ZOOKEEPER_DIR/data/z$i/zoo.cfg
done

# Restart SOLR with SSL configuration
echo "Restarting SOLR..."
/bin/bash $SOLR_DIR/bin/solr restart -c -p 8983 -z localhost:2181,localhost:2182,localhost:2183 -m 5g -force

#!/bin/bash
# Generate a keystore with a self-signed certificate
keytool -genkeypair -alias solr -keyalg RSA -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks

# Import intermediate and root certificates
keytool -import -trustcacerts -alias root -file /path/to/rootCA.pem -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks
keytool -import -trustcacerts -alias intermediate -file /path/to/intermediateCA.pem -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks

# Configure Zookeeper SSL settings
echo "ssl.client.enable=true" >> $ZOOKEEPER_DIR/conf/zoo.cfg
echo "ssl.quorum.keyStore.location=/opt/solr-9.6.1/server/etc/solr-ssl.jks" >> $ZOOKEEPER_DIR/conf/zoo.cfg
echo "ssl.quorum.trustStore.location=/opt/solr-9.6.1/server/etc/solr-ssl.jks" >> $ZOOKEEPER_DIR/conf/zoo.cfg

import subprocess
import time

def monitor_ssl_logs(log_file):
    with open(log_file, 'r') as f:
        f.seek(0, 2)  # Move to the end of file
        while True:
            line = f.readline()
            if not line:
                time.sleep(0.1)
                continue
            if "SSL handshake failed" in line:
                print(f"Error: {line.strip()}")

# Start monitoring Zookeeper SSL logs
monitor_ssl_logs("/opt/zookeeper/logs/zookeeper.log")

SSL kézfogás és konfigurációs bonyolultságok a SOLR-ben és a Zookeeperben

Az egyik kritikus szempont az SSL engedélyezése során a SOLR-ben és a Zookeeperben, hogy hogyan SSL kézfogás folyamat működik. A kézfogás magában foglalja a tanúsítványok cseréjét a kliens és a szerver között, és a titkosított adatátvitel megkezdése előtt ellenőrzi a bizalmat. Gyakran problémák merülnek fel, ha a tanúsítványok nincsenek megfelelően beállítva mind a SOLR, mind a Zookeeper konfigurációkban. Például a nem egyező tanúsítványláncok vagy kulcstároló jelszavak megakadályozhatják, hogy a rendszer sikeresen kezdeményezzen SSL-kapcsolatot. A SOLR a Jetty-re támaszkodik az SSL-kommunikáció kezelésében, ezért fontos annak biztosítása, hogy a Jetty konfigurációja szinkronban legyen a kulcstároló beállításaival.

Egy másik gyakori kihívás az SSL beállítása több csomóponton, különösen a Zookeeper kvórumában. Több Zookeeper csomópont esetén az SSL-konfigurációnak konzisztensnek kell lennie az összes kiszolgálón, hogy lehetővé tegye a biztonságos kliens-szerver és szerver-szerver kommunikációt. Minden csomópontnak azonos kulcstárolóval és megbízhatósági tárolóval kell rendelkeznie, valamint azonos SSL-protokollokkal, mint pl. TLSv1.2. Ezek a konfigurációk a `zoo.cfg` fájlban találhatók. A csomópontok közötti bármilyen eltérés olyan problémákhoz vezethet, mint például a „csőtörés” vagy „az aljzat zárva” hibák, amint az a probléma forgatókönyvében is látható.

Alapvető fontosságú azt is figyelembe venni, hogy a Zookeeper hogyan kezeli a kvórumkommunikációt, ha az SSL engedélyezve van. Az `ssl.quorum.enabledProtocols` beállításával biztosítja, hogy a Zookeeper csomópontjai közötti biztonságos kommunikáció megbízható protokollon, például TLS-en keresztül történjen. Ezenkívül a `ssl.quorum.hostnameVerification=false` megtartása szükséges lehet azokban az esetekben, amikor a Zookeeper csomópontokra nem hostnevek, hanem IP-címek hivatkoznak, mivel a gazdagépnevek eltérései megszakíthatják az SSL-kézfogást. Ezeknek a beállításoknak a finomhangolása jelentősen javíthatja a biztonságos kommunikációt az elosztott beállítások között.