JConsole erregistrora konektatzen da, eta gero RMI beste leku batera bidaltzen du

Konektatu erregistroaren portura tunelaren bidez, ikusi esku-ematea hasten, eta gero ikusi JConsole denbora-muga gainditzen duela hala ere. Hau gertatzen da lehen TCP konexioa ez delako kudeaketa-konexioa: bilaketa bat da. RMI erregistroak ostalari bat eta bigarren portu bat izendatzen dituen erreferentzia batekin erantzuten du, eta JConsole gero esan dioten lekura joaten da. Tunelak zerbitzariaren lehen portura soilik iristen bada, edo erreferentziak zerbitzariaren beraren LAN sarean soilik dagoen helbide bat izendatzen badu, bezeroa itxurazko arrakastaren ondoren gelditzen da.

Mitoa: portu ireki bat konexio bat da

RMI bidezko urruneko JMXk gutxienez bi muturreko puntu ditu, eta sistemaren zati ezberdinek aukeratzen dituzte. Erregistroaren portua bezeroan sartzen duzun hori da, eta benetako konektorea deskribatzen duen stub-a emateko dago. Lehen socket arrakastatsua kudeaketa-bidea irekita dagoen froga gisa hartzeak bi minutuko diagnostikoa suebaki-txartelez betetako arratsalde oso bihurtzen du.

Begiratu bezeroaren beraren erroreari, zerbitzariaren entzule-zerrendari ordez. Esku-ematea hasi ondoren gertatzen den hutsak bigarren konexioa, ez lehena, amaitu ez zela esaten dizu.

Zer itzultzen duen erregistroak

Stub-ak helbide bat eta portu bat dauzka, konektorea sortu zen unean serializatuta. Hainbat interfaze dituen zerbitzari batean, pilak sare lokaletik iristeko modukoa eta zure saretik iristeko modukoa ez den helbide bat aukeratu zuen beharbada. Bezeroak ez daki aldea; jasotako balioa besterik ez du markatzen, eta paketeak helbide horretarako dagoen bidea jarraitzen du, VPN bezero batean askotan bat ere ez dagoena. Bigarren konexioa saiatzen den unea da hori.

Hori da, halaber, hutsegitea inguruneen artean etena izatearen arrazoia: zerbitzari berak modu ezberdinean joka dezake LANeko erabiltzaile batentzat eta tunelko erabiltzaile batentzat, JMX konfigurazioan inolako aldaketarik egin gabe.

Bi portu eta horiek finkatzen dituzten bi propietate

Erregistroaren portua com.sun.management.jmxremote.port-tik dator, eta konektorea com.sun.management.jmxremote.rmi.port-ekin finka daiteke pilak esleitzen duenari utzi beharrean. Ezarri biak modu esplizituan bezeroaren eta zerbitzariaren artean suebaki bat edo segurtasun-talde bat dagoenean, aurreikusi ezineko bigarren portu bat ezin baita aldez aurretik baimendu, eta hura hartzeko irekitzen den barruti zabala balio bat finkatzea baino okerragoa da.

Gero egiaztatu zerbitzarian ss -ltn edo netstat -an erabiliz bi portuak entzuten ari direla eta zein helbidetan. loopback-era lotutako entzule bat zuzena da inplementazio lokal hutserako eta alferrikakoa da honetarako.

Iragarritako izena okerra denean

Urruneko erreferentzian agertzen den ostalari-izena java.rmi.server.hostname-k ezartzen du. Stub-ak zer iragartzen duen eragiten du; berez ez da entzule guztiak interfaze bakarrera lotzeko argibidea, eta horregatik ez du beti ematen espero den portu bakarreko portaera. Ezarri, berrabiarazi prozesua, eta gero egiaztatu stub-ak benetan zer daukion. Aukeratu bezeroak ebatzi eta tunelaren bidez irits dezakeen izen edo helbide bat, eta berrabiarazi prozesua stub-a berreraiki dadin.

Edukiontzi-sareek okerrera egiten dute, prozesuak ikusten duen helbidea edukiontzitik kanpo inork bideratu ezin duen barneko helbidea izan baitaiteke. Argitaratu nahi den ostalari-izena modu esplizituan, plataformari aukeratzen utzi beharrean.

VPN-ren ordez SSH-rekin tunelatzen baduzu, arazo bera beste jantzi batean agertzen da: erregistroaren portua soilik birbidaltzeak bigarren muturreko puntua zure bezeroak irits dezakeen helbide batera seinalatzen uzten du. Birbidali bi portuak eta egin iragarritako izena bezeroak modu lokalean irits dezakeen zerbaitetara ebatz dadin.

Ez itzali kudeaketa-segurtasuna gauzak errazteagatik

Autentifikazioa eta TLS desaktibatzen dituzten zatiak erraz aurkitzen dira eta geroago desegin beharko duzun moduan egiten dute lan konexioak. Urruneko JMX aztertzen duen prozesuaren pribilegio berberak dituen kudeaketa-interfazea da; mantendu haren sarbide-kontrolak, eta bezeroak kredentzialak aurkeztu ezin baditu, konpondu hori.

Muturreko puntuak zuzenak direnean, gorde hurrengo ikusten duzun errorea. Truststore edo kontu baten ukoak konektore iristezina baino etapa berantiarragoa da eta sareko lana amaituta dagoela esan nahi du.