Исправление проблем с конфигурацией SSL в SOLR 9.6.1 и Zookeeper 3.8.1 Ubuntu 24.04.1

Проблемы с включением SSL для SOLR с интеграцией Zookeeper

Включение SSL в настройке SOLR-Zookeeper может оказаться сложной задачей, особенно при работе с серверами Ubuntu 24.04.1. Этот процесс настройки обеспечивает безопасную связь между узлами, но даже незначительная неправильная конфигурация может помешать правильной работе таких служб, как пользовательский интерфейс администратора SOLR. Если вы недавно пытались включить SSL и столкнулись с проблемами, вы не одиноки.

В этой статье мы рассмотрим распространенную проблему, возникающую при активации SSL в SOLR 9.6.1 при интеграции с Zookeeper 3.8.1 на локальном сервере Ubuntu. Рассматриваемая установка предполагает запуск SOLR и Zookeeper на одном сервере с одним сегментом, несколькими репликами и базовой аутентификацией. Основное внимание будет уделено устранению ошибок, возникающих после обновления настроек SSL.

Неправильные настройки SSL часто приводят к таким ошибкам, как «Интерфейс администратора не запускается» или «Разрыв канала» в файлах журналов, устранение которых может оказаться затруднительным. Эти ошибки обычно возникают из-за проблем с сертификатами или сбоев SSL-соединения внутри узлов SOLR или Zookeeper, что приводит к нарушению связи между службами.

В следующих разделах мы углубимся в файлы журналов, проанализируем потенциальные причины этих ошибок, связанных с SSL, и предложим пошаговые решения для обеспечения плавной настройки SSL для вашей установки SOLR и Zookeeper.

Анализ конфигурации SSL и сценариев для SOLR и Zookeeper

Первый скрипт автоматизирует процесс перезапуска SOLR и Zookeeper, обеспечивая при этом правильное применение конфигураций SSL. Он использует сценарии Bash для циклического перебора экземпляров Zookeeper и их перезапуска с обновленными настройками SSL. Важность этого сценария заключается в управлении несколькими узлами Zookeeper, поскольку конфигурации SSL должны применяться единообразно по всему кластеру. Использование zkServer.sh restart гарантирует, что каждый узел Zookeeper будет перезапущен правильно с соответствующим файлом конфигурации, что делает сценарий эффективным для управления кластером в конфигурации с несколькими узлами.

Сценарий также обеспечивает перезапуск экземпляра SOLR с помощью `solr restart`. SOLR использует Jetty для обработки HTTPS-запросов, а сценарий гарантирует правильную перезагрузку настроек, связанных с SSL, таких как пути к хранилищу ключей и хранилищу доверенных сертификатов. Это предотвращает потенциальные сбои подтверждения SSL при доступе к пользовательскому интерфейсу администратора SOLR, которые могут возникнуть из-за устаревших или неправильно настроенных сертификатов SSL. Автоматизируя эти задачи, сценарий сводит к минимуму ошибки, возникающие вручную, особенно при управлении сертификатами SSL для нескольких служб на одном сервере.

Второй скрипт используется для создания и управления хранилищами ключей Java для SSL как в SOLR, так и в Zookeeper. Утилита Java Keytool используется для генерации пар ключей и импорта сертификатов в хранилище ключей. Команда keytool -genkeypair генерирует необходимые сертификаты SSL, а команда keytool -import используется для добавления доверенных корневых и промежуточных сертификатов. Эти сертификаты гарантируют, что связь SSL между узлами является надежной и безопасной. Этот сценарий имеет решающее значение для правильной настройки и управления сертификатами SSL, которые играют центральную роль в обеспечении безопасной связи между службами.

Наконец, предоставленный скрипт Python действует как инструмент мониторинга журналов, специально предназначенный для обнаружения ошибок установления связи SSL. Постоянно читая журналы SSL в режиме реального времени, этот сценарий может выявить проблемы, связанные с SSL, такие как «Ошибка установления связи SSL». Этот уровень ведения журнала необходим для диагностики проблем в сложных средах, где такие службы, как Zookeeper и SOLR, обмениваются данными по зашифрованным каналам. Мониторинг в режиме реального времени помогает быстро определить основную причину сбоев SSL, которые могут быть связаны с несоответствием сертификатов, неправильной конфигурацией или истекшим сроком действия сертификатов. Этот инструмент устранения неполадок особенно полезен в средах с несколькими узлами и сложными протоколами SSL.

#!/bin/bash
# Script to automate SOLR and Zookeeper restart with SSL configuration
# Paths to configuration files
ZOOKEEPER_DIR="/opt/zookeeper"
SOLR_DIR="/opt/solr"
SSL_KEYSTORE="/opt/solr-9.6.1/server/etc/solr-ssl.jks"
ZOOKEEPER_CONFIG="$ZOOKEEPER_DIR/conf/zoo.cfg"
SOLR_CONFIG="$SOLR_DIR/server/etc/jetty-ssl.xml"

# Restart Zookeeper with SSL configuration
echo "Restarting Zookeeper..."
for i in {1..3}; do
    /bin/bash $ZOOKEEPER_DIR/bin/zkServer.sh restart $ZOOKEEPER_DIR/data/z$i/zoo.cfg
done

# Restart SOLR with SSL configuration
echo "Restarting SOLR..."
/bin/bash $SOLR_DIR/bin/solr restart -c -p 8983 -z localhost:2181,localhost:2182,localhost:2183 -m 5g -force

#!/bin/bash
# Generate a keystore with a self-signed certificate
keytool -genkeypair -alias solr -keyalg RSA -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks

# Import intermediate and root certificates
keytool -import -trustcacerts -alias root -file /path/to/rootCA.pem -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks
keytool -import -trustcacerts -alias intermediate -file /path/to/intermediateCA.pem -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks

# Configure Zookeeper SSL settings
echo "ssl.client.enable=true" >> $ZOOKEEPER_DIR/conf/zoo.cfg
echo "ssl.quorum.keyStore.location=/opt/solr-9.6.1/server/etc/solr-ssl.jks" >> $ZOOKEEPER_DIR/conf/zoo.cfg
echo "ssl.quorum.trustStore.location=/opt/solr-9.6.1/server/etc/solr-ssl.jks" >> $ZOOKEEPER_DIR/conf/zoo.cfg

import subprocess
import time

def monitor_ssl_logs(log_file):
    with open(log_file, 'r') as f:
        f.seek(0, 2)  # Move to the end of file
        while True:
            line = f.readline()
            if not line:
                time.sleep(0.1)
                continue
            if "SSL handshake failed" in line:
                print(f"Error: {line.strip()}")

# Start monitoring Zookeeper SSL logs
monitor_ssl_logs("/opt/zookeeper/logs/zookeeper.log")

SSL-квитирование и сложности настройки в SOLR и Zookeeper

Одним из важнейших аспектов, на которые следует обратить внимание при включении SSL в SOLR и Zookeeper, является то, как SSL-квитирование процесс работает. Рукопожатие включает обмен сертификатами между клиентом и сервером, проверяя доверие перед началом передачи зашифрованных данных. Проблемы часто возникают, если сертификаты установлены неправильно как в конфигурациях SOLR, так и в Zookeeper. Например, несовпадающие цепочки сертификатов или пароли хранилища ключей могут помешать системе успешно инициировать SSL-соединение. SOLR использует Jetty для управления связью SSL, поэтому важно обеспечить синхронизацию конфигурации Jetty с настройками вашего хранилища ключей.

Еще одна распространенная проблема — настройка SSL на нескольких узлах, особенно в кворуме Zookeeper. При наличии нескольких узлов Zookeeper конфигурация SSL должна быть единообразной на всех серверах, чтобы обеспечить безопасную связь между клиентом и сервером. Каждый узел должен иметь одинаковое хранилище ключей и хранилище доверенных сертификатов, а также идентичные протоколы SSL, такие как TLSv1.2. Эти конфигурации находятся в файле Zoo.cfg. Любое несоответствие между узлами может привести к таким проблемам, как ошибки «сломанный канал» или «сокет закрыт», как показано в проблемном сценарии.

Также важно учитывать, как Zookeeper обрабатывает связь кворума с включенным SSL. Установив `ssl.quorum.enabledProtocols`, вы гарантируете, что безопасная связь между узлами Zookeeper осуществляется по доверенному протоколу, такому как TLS. Кроме того, сохранение `ssl.quorum.hostnameVerification=false` может быть необходимо в тех случаях, когда узлы Zookeeper ссылаются по IP, а не по именам хостов, поскольку несоответствие имен хостов может прервать SSL-квитирование. Точная настройка этих параметров может значительно улучшить безопасность связи в вашей распределенной системе.