Виправлення проблем конфігурації SSL у Ubuntu 24.04.1 SOLR 9.6.1 і Zookeeper 3.8.1

Проблеми під час увімкнення SSL для SOLR з інтеграцією Zookeeper

Увімкнення SSL у налаштуваннях SOLR-Zookeeper може бути складним, особливо під час роботи з серверами Ubuntu 24.04.1. Цей процес конфігурації забезпечує безпечний зв’язок між вузлами, але навіть незначна неправильна конфігурація може перешкодити належному функціонуванню таких служб, як SOLR Admin UI. Якщо ви нещодавно намагалися ввімкнути SSL і зіткнулися з проблемами, ви не самотні.

У цій статті ми розглянемо поширену проблему під час активації SSL у SOLR 9.6.1 під час інтеграції з Zookeeper 3.8.1 на локальному сервері Ubuntu. Налаштування, про яке йде мова, передбачає запуск SOLR і Zookeeper на одному сервері з одним сегментом, кількома репліками та базовою автентифікацією. Основна увага буде зосереджена на вирішенні помилок, які виникають після оновлення налаштувань SSL.

Неправильна конфігурація SSL часто призводить до помилок, як-от «Інтерфейс адміністратора не запускається» або «Зламаний канал» у файлах журналу, усунення яких може бути складним завданням. Ці помилки зазвичай виникають через проблеми із сертифікатом або збої з’єднання SSL у вузлах SOLR або Zookeeper, що призводить до порушення зв’язку між службами.

У наступних розділах ми глибше заглибимося в файли журналів, проаналізуємо потенційні причини цих помилок, пов’язаних із SSL, і запропонуємо покрокові рішення для забезпечення плавної конфігурації SSL для ваших налаштувань SOLR і Zookeeper.

Аналіз конфігурації SSL і створення сценаріїв для SOLR і Zookeeper

Перший сценарій автоматизує процес перезапуску SOLR і Zookeeper, забезпечуючи належне застосування конфігурацій SSL. Він використовує сценарії Bash для проходження екземплярів Zookeeper і перезапуску з оновленими налаштуваннями SSL. Важливість цього сценарію полягає в управлінні декількома вузлами Zookeeper, оскільки конфігурації SSL мають застосовуватися однаково в усьому кластері. Використання `zkServer.sh restart` гарантує, що кожен вузол Zookeeper буде перезапущено правильно з відповідним файлом конфігурації, що робить сценарій ефективним для керування кластером у налаштуваннях з кількома вузлами.

Сценарій також звертається до перезапуску примірника SOLR за допомогою `solr restart`. SOLR покладається на Jetty для обробки запитів HTTPS, а сценарій гарантує, що параметри, пов’язані з SSL, такі як шляхи до сховища ключів і надійного сховища, правильно перезавантажуються. Це запобігає можливим помилкам рукостискання SSL під час доступу до інтерфейсу адміністратора SOLR, які можуть виникати через застарілі або неправильно налаштовані сертифікати SSL. Автоматизуючи ці завдання, сценарій мінімізує помилки вручну, особливо під час керування сертифікатами SSL для кількох служб на одному сервері.

Другий сценарій використовується для створення та керування Java KeyStores для SSL як у SOLR, так і в Zookeeper. Утиліта Java Keytool використовується для створення пар ключів та імпорту сертифікатів у сховище ключів. Команда `keytool -genkeypair` генерує необхідні сертифікати SSL, тоді як `keytool -import` використовується для додавання довірених кореневих і проміжних сертифікатів. Ці сертифікати гарантують, що SSL-зв’язок між вузлами є надійним і безпечним. Цей сценарій має вирішальне значення для правильного налаштування та керування сертифікатами SSL, які відіграють центральну роль у забезпеченні безпечного зв’язку між службами.

Нарешті, наданий скрипт Python діє як інструмент моніторингу журналу, спеціально розроблений для виявлення помилок рукостискання SSL. Безперервно зчитуючи журнали SSL у режимі реального часу, цей сценарій може ідентифікувати проблеми, пов’язані з SSL, наприклад «Помилка рукостискання SSL». Цей рівень журналювання необхідний для діагностики проблем у складних середовищах, де такі служби, як Zookeeper і SOLR, спілкуються через зашифровані канали. Моніторинг у режимі реального часу допомагає швидко визначити першопричину збоїв SSL, які можуть виникати через невідповідності сертифікатів, неправильну конфігурацію або прострочені сертифікати. Цей інструмент усунення несправностей особливо цінний у середовищах із кількома вузлами та складністю SSL.

#!/bin/bash
# Script to automate SOLR and Zookeeper restart with SSL configuration
# Paths to configuration files
ZOOKEEPER_DIR="/opt/zookeeper"
SOLR_DIR="/opt/solr"
SSL_KEYSTORE="/opt/solr-9.6.1/server/etc/solr-ssl.jks"
ZOOKEEPER_CONFIG="$ZOOKEEPER_DIR/conf/zoo.cfg"
SOLR_CONFIG="$SOLR_DIR/server/etc/jetty-ssl.xml"

# Restart Zookeeper with SSL configuration
echo "Restarting Zookeeper..."
for i in {1..3}; do
    /bin/bash $ZOOKEEPER_DIR/bin/zkServer.sh restart $ZOOKEEPER_DIR/data/z$i/zoo.cfg
done

# Restart SOLR with SSL configuration
echo "Restarting SOLR..."
/bin/bash $SOLR_DIR/bin/solr restart -c -p 8983 -z localhost:2181,localhost:2182,localhost:2183 -m 5g -force

#!/bin/bash
# Generate a keystore with a self-signed certificate
keytool -genkeypair -alias solr -keyalg RSA -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks

# Import intermediate and root certificates
keytool -import -trustcacerts -alias root -file /path/to/rootCA.pem -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks
keytool -import -trustcacerts -alias intermediate -file /path/to/intermediateCA.pem -keystore /opt/solr-9.6.1/server/etc/solr-ssl.jks

# Configure Zookeeper SSL settings
echo "ssl.client.enable=true" >> $ZOOKEEPER_DIR/conf/zoo.cfg
echo "ssl.quorum.keyStore.location=/opt/solr-9.6.1/server/etc/solr-ssl.jks" >> $ZOOKEEPER_DIR/conf/zoo.cfg
echo "ssl.quorum.trustStore.location=/opt/solr-9.6.1/server/etc/solr-ssl.jks" >> $ZOOKEEPER_DIR/conf/zoo.cfg

import subprocess
import time

def monitor_ssl_logs(log_file):
    with open(log_file, 'r') as f:
        f.seek(0, 2)  # Move to the end of file
        while True:
            line = f.readline()
            if not line:
                time.sleep(0.1)
                continue
            if "SSL handshake failed" in line:
                print(f"Error: {line.strip()}")

# Start monitoring Zookeeper SSL logs
monitor_ssl_logs("/opt/zookeeper/logs/zookeeper.log")

SSL Handshake і складнощі конфігурації в SOLR і Zookeeper

Під час увімкнення SSL у SOLR і Zookeeper важливо звернути увагу на те, як SSL рукостискання технологічні роботи. Рукостискання передбачає обмін сертифікатами між клієнтом і сервером, перевірку довіри перед початком передачі зашифрованих даних. Проблеми часто виникають, якщо сертифікати встановлено неправильно в обох конфігураціях SOLR і Zookeeper. Наприклад, невідповідні ланцюжки сертифікатів або паролі сховища ключів можуть перешкодити системі успішно ініціювати з’єднання SSL. SOLR покладається на Jetty для керування зв’язком SSL, тому важливо переконатися, що конфігурація Jetty синхронізована з налаштуваннями сховища ключів.

Іншою поширеною проблемою є налаштування SSL на кількох вузлах, особливо в кворумі Zookeeper. З кількома вузлами Zookeeper конфігурація SSL має бути узгодженою на всіх серверах, щоб забезпечити безпечний зв’язок клієнт-сервер і сервер-сервер. Кожен вузол повинен мати однакові налаштування сховища ключів і надійного сховища, а також ідентичні протоколи SSL, такі як TLSv1.2. Ці налаштування знаходяться у файлі `zoo.cfg`. Будь-яка розбіжність між вузлами може призвести до таких проблем, як «порвана труба» або «розетка закрита», про що свідчить сценарій проблеми.

Також важливо розглянути, як Zookeeper обробляє зв’язок кворуму з увімкненим SSL. Встановивши `ssl.quorum.enabledProtocols`, ви гарантуєте, що безпечний зв’язок між вузлами Zookeeper відбувається через надійний протокол, як-от TLS. Крім того, збереження `ssl.quorum.hostnameVerification=false` може знадобитися у випадках, коли вузли Zookeeper посилаються за IP-адресою, а не за іменами хостів, оскільки невідповідність імен хостів може перервати рукостискання SSL. Точне налаштування цих налаштувань може значно покращити безпечний зв’язок у вашій розподіленій системі.