JConsole yn cysylltu â'r gofrestr, yna mae RMI yn ei anfon yn rhywle arall

Cysylltwch â phorth y gofrestr trwy'r twnnel, gwyliwch y cyfarchiad ddechrau, yna gwyliwch JConsole yn diffodd ar ôl yr amser penodol beth bynnag. Mae hyn yn digwydd oherwydd nad y cysylltiad TCP cyntaf yw'r cysylltiad rheoli: chwiliad yw e. Mae'r gofrestr RMI yn ateb â chyfeiriad sy'n enwi gwesteiwr ac ail borth, ac mae JConsole wedyn yn mynd i ble bynnag y dywedwyd wrtho. Os yw'r twnnel yn cyrraedd porth cyntaf y gweinydd yn unig, neu os yw'r cyfeiriad yn enwi cyfeiriad sydd ond yn bodoli ar LAN y gweinydd ei hun, mae'r cleient yn stopio ar ôl ymddangos i lwyddo.

Y myth: un porth agored yw un cysylltiad

Mae JMX o bell dros RMI yn cynnwys o leiaf dau bwynt terfyn, a dewisir hwy gan wahanol rannau o'r system. Porth y gofrestr yw'r un rydych chi'n ei deipio yn y cleient, ac mae'n bodoli i roi'r stub sy'n disgrifio'r cysylltydd go iawn. Mae cymryd y soced cyntaf llwyddiannus fel prawf bod llwybr rheoli ar agor yn troi diagnosis dwy funud yn brynhawn cyfan o docynnau mur tân.

Edrychwch ar wall y cleient ei hun yn hytrach na rhestr gwrandawyr y gweinydd. Mae methiant ar ôl i'r cyfarchiad ddechrau yn dweud wrthych nad yr ail gysylltiad, nid yr un cyntaf, na chwblhawyd.

Beth mae'r gofrestr yn ei ddychwelyd

Mae'r stub yn cynnwys cyfeiriad a phorth, wedi'u cyfresoli ar y foment y crewyd y cysylltydd. Ar weinydd â sawl rhyngwyneb, efallai bod y stac wedi dewis cyfeiriad sy'n cyrraeddadwy o'r rhwydwaith lleol ac nad yw'n cyrraeddadwy o'ch rhwydwaith chi. Nid yw'r cleient yn gwybod y gwahaniaeth; mae'n deialu'r gwerth a roddwyd iddo yn unig, ac mae'r pecyn yn dilyn y llwybr sy'n bodoli ar gyfer y cyfeiriad hwnnw, nad yw'n aml yn bodoli o gwbl ar gleient VPN. Dyma'r foment y ceisir yr ail gysylltiad.

Dyma hefyd pam mae'r methiant yn ysbeidiol rhwng amgylcheddau: gall yr un gweinydd ymddwyn yn wahanol i ddefnyddiwr ar y LAN ac i ddefnyddiwr ar y twnnel, heb unrhyw newid o gwbl i ffurfweddiad JMX.

Dau borth a dwy briodwedd sy'n eu hoelio

Daw porth y gofrestr o com.sun.management.jmxremote.port, a gellir hoelio'r cysylltydd gyda com.sun.management.jmxremote.rmi.port yn lle ei adael i'r hyn y mae'r stac yn ei ddyrannu. Gosodwch y ddau yn benodol pan fydd mur tân neu grŵp diogelwch rhwng y cleient a'r gweinydd, oherwydd ni ellir caniatáu ail borth annisgwyl ymlaen llaw, ac mae ystod eang a agorir i'w dderbyn yn waeth na hoelio un gwerth.

Yna cadarnhewch gyda ss -ltn neu netstat -an ar y gweinydd fod y ddau borth yn gwrando ac ar ba gyfeiriadau. Mae gwrandawr wedi'i rwymo i loopback yn gywir ar gyfer defnydd lleol yn unig ac yn ddiwerth ar gyfer hwn.

Pan fo'r enw a hysbyswyd yn anghywir

Gosodir yr enw gwesteiwr sy'n ymddangos yn y cyfeiriad pell gan java.rmi.server.hostname. Mae'n effeithio ar yr hyn y mae'r stub yn ei hysbysebu; nid yw ynddo'i hun yn gyfarwyddyd i rwymo pob gwrandawr i un rhyngwyneb, a dyna pam nad yw ei osod bob amser yn cynhyrchu'r ymddygiad un porth a ddisgwylir. Gosodwch ef, ailgychwynnwch y broses, yna gwiriwch beth sydd yn y stub mewn gwirionedd. Dewiswch enw neu gyfeiriad y gall y cleient ei ddatrys a'i gyrraedd trwy'r twnnel, ac ailgychwynnwch y broses fel bod y stub yn cael ei adeiladu eto.

Mae rhwydweithiau cynwysyddion yn gwaethygu hyn, oherwydd gall y cyfeiriad y mae'r broses yn ei weld fod yn fewnol ac na all unrhyw beth y tu allan i'r cynhwysydd ei lwybro. Cyhoeddwch yr enw gwesteiwr a fwriadwyd yn benodol yn lle gadael i'r platfform ddewis.

Os ydych chi'n twnelu gyda SSH yn lle VPN, mae'r un broblem yn ymddangos mewn gwisg wahanol: mae anfon porth y gofrestr yn unig yn gadael yr ail bwynt terfyn yn pwyntio at gyfeiriad na all eich cleient ei gyrraedd. Anfonwch y ddau borth a gwnewch i'r enw a hysbyswyd ddatrys i rywbeth y gall y cleient ei gyrraedd yn lleol.

Peidiwch â diffodd diogelwch rheoli i'w symleiddio

Mae snippetau sy'n diffodd dilysu a TLS yn hawdd eu canfod ac yn gwneud i'r cysylltiad weithio mewn ffordd y bydd yn rhaid i chi ei dadwneud yn ddiweddarach. Mae JMX o bell yn rhyngwyneb rheoli gyda'r un breintiau â'r broses y mae'n ei harchwilio; cadwch ei reolaethau mynediad, ac os na all y cleient gyflwyno manylion mewngofnodi, trwsiwch hynny yn lle hynny.

Pan fydd y pwyntiau terfyn yn gywir, cadwch y gwall nesaf a welwch. Mae gwrthodiad gan storfa ymddiriedaeth neu gyfrif yn gam diweddarach na chysylltydd anghyrraeddadwy ac mae'n golygu bod y gwaith rhwydwaith wedi gorffen.