JConsole реестрге туташат, анан RMI аны башка жакка жиберет

Тунел аркылуу реестр портуна туташыңыз, кол алышу башталышын байкаңыз, анан JConsole баары бир убакыт бүтүүгө учураганын көрүңүз. Бул биринчи TCP байланышы башкаруу байланышы эмес, издөө болгондуктан болот. RMI реестри хост менен экинчи портту көрсөткөн шилтеме менен жооп берет, анан JConsole ага айтылган жерге барат. Эгер тунел сервердин биринчи портуна гана жетсе же шилтеме сервердин өзүнүн жергиликтүү тармагында гана бар даректи көрсөтсө, кардар тышкы жактан ийгиликтүү болгондон кийин тыгылып калат.

Уламыш: бир ачык порт — бир байланыш

RMI аркылуу алыскы JMX жок дегенде эки чектик чекитти камтыйт жана аларды системанын ар кайсы бөлүктөрү тандайт. Реестр порту — кардарга киргизген порт, ал чыныгы коннекторду сүрөттөгөн stub берүү үчүн бар. Биринчи ийгиликтүү сокетти башкаруу жолу ачык экенинин далили деп кабыл алуу эки мүнөттүк диагностиканы firewall билеттерине толгон түшкө айландырат.

Сервердин угуучулар тизмесине эмес, кардардын өзүнүн катасына караңыз. Кол алышу башталгандан кийинки ката биринчи эмес, экинчи байланыш бүтпөгөнүн айтат.

Реестр эмнени кайтарат

Stub коннектор түзүлгөн учурда серияланган дарек менен портту камтыйт. Бир нече интерфейси бар серверде стек жергиликтүү тармактан жеткиликтүү, ал эми сиздикинен жеткиликсиз даректи тандаган болушу мүмкүн. Кардар айырманы билбейт; ал жөн гана алган маанини терет, пакет ошол дарек үчүн бар маршрутту ээрчийт, VPN кардарында ал көбүнчө такыр жок. Экинчи байланыш аракети жасалган учур ушул.

Катанын чөйрөлөр арасында туруксуз болушунун себеби да ушул: ошол эле сервер JMX конфигурациясында эч кандай өзгөрүүсүз жергиликтүү тармактагы колдонуучу үчүн жана тунелдеги колдонуучу үчүн башкача жүрүм-турум кылышы мүмкүн.

Эки порт жана аларды бекемдеген эки касиет

Реестр порту com.sun.management.jmxremote.port параметринен келет, ал эми коннекторду стек бөлүштүргөн мааниге калтырбай, com.sun.management.jmxremote.rmi.port аркылуу бекемдесе болот. Кардар менен сервердин ортосунда firewall же коопсуздук тобу болсо, экөөнү тең ачык белгилеңиз, анткени болжолсуз экинчи портко алдын ала уруксат берүү мүмкүн эмес, ал эми аны канааттандыруу үчүн ачылган кенен диапазон бир маанини бекемдөөдөн жаман.

Анан серверде ss -ltn же netstat -an аркылуу эки порт тең угуп жатканын жана кайсы даректерде экенин ырастаңыз. Loopback'ке байланган угуучу жалаң жергиликтүү жайгаштыруу үчүн туура жана бул үчүн пайдасыз.

Жарыяланган ат туура эмес болгондо

Алыскы шилтемедеги хост атын java.rmi.server.hostname белгилейт. Ал stub эмнени жарыялаарына таасир этет; өзүнчө ар бир угуучуну бир интерфейске байлоо буйругу эмес, ошондуктан аны белгилөө ар дайым күтүлгөн бир порттук жүрүм-турумду бербейт. Аны белгилеңиз, процессти кайра баштаңыз, анан stub чындыгында эмнени камтый турганын текшериңиз. Кардар чече ала турган жана тунел аркылуу жете ала турган ат же дарек тандаңыз жана stub кайра курулушу үчүн процессти кайра баштаңыз.

Контейнер тармактары муну начарлатат, анткени процесс көргөн дарек контейнерден тышкары эч нерсе маршруттай албаган ички дарек болушу мүмкүн. Платформанын тандоосуна жол бербей, көздөлгөн хост атын ачык жарыялаңыз.

VPN ордуна SSH аркылуу тунел жасасаңыз, ошол эле маселе башка кийимде көрүнөт: реестр портун гана багыттоо экинчи чектик чекитти кардарыңыз жете албаган дарекке көрсөтүп калтырат. Эки портту тең багыттаңыз жана жарыяланган ат кардар жергиликтүү жете ала турган нерсеге чечилишин камсыз кылыңыз.

Жеңилдетүү үчүн башкаруу коопсуздугун өчүрбөңүз

Аутентификацияны жана TLSти өчүргөн үзүндүлөр оңой табылат жана байланышты кийин кайтарып алууга туура келе турган жол менен иштетет. Алыскы JMX өзү текшерген процесс сыяктуу эле укуктарга ээ башкаруу интерфейси; анын кирүүнү көзөмөлдөө каражаттарын сактаңыз, ал эми кардар каттоо маалыматтарын көрсөтө албаса, дал ошону оңдоңуз.

Чектик чекиттер туура болгондо, көргөн кийинки катаны сактап коюңуз. Ишеним кампасынын же каттоо эсебинин баш тартуусу жеткиликсиз коннектордон кийинки этап жана тармак ишинин бүткөнүн билдирет.