22.2. 与 JGroups 的集群通信

流程

1. 使用以下管理 CLI 命令，将 ee 频道切换为使用预配置的 tcp 堆栈：

   /subsystem=jgroups/channel=ee:write-attribute(name=stack,value=tcp)

   Copy to Clipboard Toggle word wrap

   这个默认 tcp 堆栈使用 MPING 协议，它使用 IP 多播来发现初始集群成员资格。

1. 要将 ee 频道切换为使用 JGroups 子系统中预先配置的 tcp 堆栈，请运行以下命令：

   <channel name="ee" stack="tcp" cluster="ejb"/>

   Copy to Clipboard Toggle word wrap

2. 设置集群节点的名称：

   • 在独立配置模式中执行以下步骤之一：

     • 运行以下命令:

       <server xmlns="urn:jboss:domain:8.0" name="node_1">

       Copy to Clipboard Toggle word wrap
     • 在启动实例时，为系统属性 jboss.node.name 指定唯一名称。

   • 在域模式中，集群服务器列在服务器标签的 host netobserv.xml 文件中。默认配置指定以下服务器名称，如果需要，可以对其进行编辑。

     <servers>
         <server name="server-one" group="main-server-group"/>
         <server name="server-two" group="other-server-group">
             <socket-bindings port-offset="150"/>
         </server>
     </servers>

     Copy to Clipboard Toggle word wrap

3. 选择以下协议之一来发现其他群集成员：

   • TCPGOSSIP ：此协议使用外部 gosip 路由器服务来发现集群的成员。这要求配置和管理额外的进程，但允许各个 EAP 实例不列出其他群集成员。如果群集成员经常发生变化，此协议具有优势。如需了解更多详细信息，请参阅 TCPPING。
   • TCPPING ：此协议定义静态集群成员资格列表，并要求每个节点列出所有潜在的群集成员。当集群成员地址已知且经常更改时，这个协议是首选的。如需了解更多详细信息，请参阅 TCPGOSSIP。

流程

1. 在 JGroups 子系统中将默认堆栈从 udp 更改为 tcp ：

   <channel name="ee" stack="tcp" cluster="ejb"/>

   Copy to Clipboard Toggle word wrap

2. 将 TCP 堆栈配置为使用 TCPPING 协议来代替默认的 MPING 协议。在以下代码中，initial_hosts 属性与集群中的所有节点列表相关联，7600 表示默认的 jgroups-tcp 端口，具体取决于您的配置和环境。

   <stack name="tcp">
     <transport type="TCP" socket-binding="jgroups-tcp"/>
     <protocol type="TCPPING">
       <property name="initial_hosts">192.168.1.5[7600],192.168.1.9[7600]</property>
       <property name="port_range">0</property>
     </protocol>
     <protocol type="MERGE3"/>
     <protocol type="FD_SOCK" socket-binding="jgroups-tcp-fd"/>
     <protocol type="FD_ALL"/>
     <protocol type="VERIFY_SUSPECT"/>
     <protocol type="pbcast.NAKACK2"/>
     <protocol type="UNICAST3"/>
     <protocol type="pbcast.STABLE"/>
     <protocol type="pbcast.GMS"/>
     <protocol type="MFC"/>
     <protocol type="FRAG3"/>
   </stack>

   Copy to Clipboard Toggle word wrap
   注意

   initial_hosts 中设置的端口号 7600 必须与 jgroups-tcp socket-binding 定义中定义的端口号相同。如果将 port-offset 功能用于 socket-binding，则需要在 initial_hosts 中偏移后指定相同的值。

3. 设置 private 接口的 IP 地址，供 JGroups 组件使用。IP 地址应与 initial_hosts 中指定的 IP 地址之一关联：

   <interface name="private">
     <inet-address value="${jboss.bind.address.private:192.168.1.5}"/>
   </interface>

   Copy to Clipboard Toggle word wrap
4. 重复上述步骤，以配置集群中的其他节点。配置节点时，启动每个节点并部署一个集群应用。

流程

1. 如果将同一配置集用于多个集群，请将系统属性值设置为 initial_hosts ：

   <protocol type="TCPPING">
     <property name="initial_hosts">${jboss.cluster.tcp.initial_hosts}</property>
   
   Set the system property at the `server-group` level:
   <server-groups>
     <server-group name="a-server-group" profile="ha">
     <socket-binding-group ref="ha-sockets"/>
     <system-properties>
       <property name="jboss.cluster.tcp.initial_hosts" value="192.168.1.5[7600],192.168.1.9[7600]" />
     </system-properties>

   Copy to Clipboard Toggle word wrap

2. 在主机控制器的 XML 配置中设置私有接口的 IP 地址。专用接口的 IP 地址应当与 initial_hosts 中列出的 IP 地址之一关联。

   <interfaces>
       ....
     <interface name="private">
       <inet-address value="${jboss.bind.address.private:192.168.1.5}"/>
     </interface>
   </interfaces>

   Copy to Clipboard Toggle word wrap

1. 创建密钥存储：

   $ keytool -genkeypair -alias jgroups_key -keypass my_password -storepass my_password -storetype jks -keystore jgroups.keystore -keyalg RSA

   Copy to Clipboard Toggle word wrap

2. 使用管理 CLI 将密钥存储添加到 elytron 子系统：

   /subsystem=elytron/key-store=jgroups-token-store:add(type=jks,path=/path/to/jgroups.keystore,credential-reference={clear-text=my_password}, required=true)

   Copy to Clipboard Toggle word wrap

3. 在 JGroups 堆栈定义中，将 AUTH 配置为使用密钥存储：

   ...
   <protocol type="pbcast.STABLE"/>
   <auth-protocol type="AUTH">
     <cipher-token algorithm="RSA" key-alias="jgroups_key" key-store="jgroups-token-store">
       <shared-secret-reference clear-text="my_password"/>
       <key-credential-reference clear-text="my_password"/>
     </cipher-token>
   </auth-protocol>
   <protocol type="pbcast.GMS"/>
   ...

   Copy to Clipboard Toggle word wrap

1. 创建密钥存储。

   在以下命令中，将 VERSION 替换为适当的 JGroups JAR 版本，将 PASSWORD 替换为密钥存储密码。

   $ java -cp EAP_HOME/modules/system/layers/base/org/jgroups/main/jgroups-VERSION.jar org.jgroups.demos.KeyStoreGenerator --alg AES --size 128 --storeName defaultStore.keystore --storepass PASSWORD --alias mykey

   Copy to Clipboard Toggle word wrap

   这将生成一个 defaultStore.keystore 文件，它将在 JGroups 配置中引用该文件。

2. 生成密钥存储后，会使用以下两种方法之一在 SYM_PROTOCOL 中定义。

   • 在配置 中直接指定 密钥存储。
   • 使用 Elytron 子系统 来引用密钥存储。

1. 在 jgroups 子系统中配置 SYM_ENCRYPT 协议。

   在适用的服务器配置文件中，使用适当的属性设置添加 SYM_ENCRYPT 协议。此协议将引用之前创建的密钥存储。SYM_ENCRYPT 协议应在 pbcast.NAKACK2 协议之前立即配置。

   <subsystem xmlns="{JgroupsSubsystemNamespace}">
     <stacks>
       <stack name="udp">
         <transport type="UDP" socket-binding="jgroups-udp"/>
         <protocol type="PING"/>
         <protocol type="MERGE3"/>
         <protocol type="FD_SOCK"/>
         <protocol type="FD_ALL"/>
         <protocol type="VERIFY_SUSPECT"/>
         <protocol type="SYM_ENCRYPT">
           <property name="provider">SunJCE</property>
           <property name="sym_algorithm">AES</property>
           <property name="encrypt_entire_message">true</property>
           <property name="keystore_name">/path/to/defaultStore.keystore</property>
           <property name="store_password">PASSWORD</property>
           <property name="alias">mykey</property>
         </protocol>
         <protocol type="pbcast.NAKACK2"/>
         <protocol type="UNICAST3"/>
         <protocol type="pbcast.STABLE"/>
         <protocol type="pbcast.GMS"/>
         <protocol type="UFC"/>
         <protocol type="MFC"/>
         <protocol type="FRAG3"/>
       </stack>
     </stacks>
   </subsystem>

   Copy to Clipboard Toggle word wrap

1. 使用管理 CLI，在 elytron 子系统中创建一个密钥存储，该密钥存储引用 使用对称加密 中创建的 defaultStore.keystore。

   /subsystem=elytron/key-store=jgroups-keystore:add(path=/path/to/defaultStore.keystore,credential-reference={clear-text=PASSWORD},type=JCEKS)

   Copy to Clipboard Toggle word wrap

2. 使用适当的属性设置，在 jgroups 子系统中添加 SYM_ENCRYPT 协议。SYM_ENCRYPT 协议应在 pbcast.NAKACK2 协议之前立即配置，如以下配置中所示：

   <subsystem xmlns="{JgroupsSubsystemNamespace}">
     <stacks>
       <stack name="udp">
         <transport type="UDP" socket-binding="jgroups-udp"/>
         <protocol type="PING"/>
         <protocol type="MERGE3"/>
         <protocol type="FD_SOCK"/>
         <protocol type="FD_ALL"/>
         <protocol type="VERIFY_SUSPECT"/>
         <encrypt-protocol type="SYM_ENCRYPT" key-alias="mykey" key-store="jgroups-keystore">
           <key-credential-reference clear-text="PASSWORD"/>
           <property name="provider">SunJCE</property>
           <property name="encrypt_entire_message">true</property>
         </encrypt-protocol>
         <protocol type="pbcast.NAKACK2"/>
         <protocol type="UNICAST3"/>
         <protocol type="pbcast.STABLE"/>
         <protocol type="pbcast.GMS"/>
         <protocol type="UFC"/>
         <protocol type="MFC"/>
         <protocol type="FRAG3"/>
       </stack>
     </stacks>
   </subsystem>

   Copy to Clipboard Toggle word wrap
   注意

   上例使用明文密码；但是，还可以定义凭据存储来定义配置文件外的密码。有关配置此存储的更多信息，请参阅如何配置服务器安全 指南中的 凭证存储 部分。

1. 在 jgroups 子系统中配置 ASYM_ENCRYPT 协议。

   在适用的服务器配置文件中，使用适当的属性设置添加 ASYM_ENCRYPT 协议。ASYM_ENCRYPT 协议应在 pbcast.NAKACK2 协议之前立即配置，如以下配置中所示：

   <subsystem xmlns="{JgroupsSubsystemNamespace}">
     <stacks>
       <stack name="udp">
         <transport type="UDP" socket-binding="jgroups-udp"/>
         <protocol type="PING"/>
         <protocol type="MERGE3"/>
         <protocol type="FD_SOCK"/>
         <protocol type="FD_ALL"/>
         <protocol type="VERIFY_SUSPECT"/>
         <protocol type="ASYM_ENCRYPT">
           <property name="encrypt_entire_message">true</property>
           <property name="sym_keylength">128</property>
           <property name="sym_algorithm">AES/ECB/PKCS5Padding</property>
           <property name="asym_keylength">512</property>
           <property name="asym_algorithm">RSA</property>
         </protocol>
         <protocol type="pbcast.NAKACK2"/>
         <protocol type="UNICAST3"/>
         <protocol type="pbcast.STABLE"/>
         <!-- Configure AUTH protocol here -->
         <protocol type="pbcast.GMS"/>
         <protocol type="UFC"/>
         <protocol type="MFC"/>
         <protocol type="FRAG3"/>
       </stack>
     </stacks>
   </subsystem>

   Copy to Clipboard Toggle word wrap

1. 创建密钥存储以包含密钥对。以下命令使用 mykey 条目创建密钥存储：

   $ keytool -genkeypair -alias mykey -keyalg RSA -keysize 1024 -keystore defaultKeystore.keystore -dname "CN=localhost" -keypass secret -storepass secret

   Copy to Clipboard Toggle word wrap

2. 使用管理 CLI，在 elytron 子系统中创建一个引用 defaultStore.keystore 的密钥存储。

   /subsystem=elytron/key-store=jgroups-keystore:add(path=/path/to/defaultStore.keystore,credential-reference={clear-text=PASSWORD},type=JCEKS)

   Copy to Clipboard Toggle word wrap

3. 使用适当的属性设置，在 jgroups 子系统中添加 ASYM_ENCRYPT 协议。ASYM_ENCRYPT 协议应在 pbcast.NAKACK2 协议之前立即配置，如以下配置中所示：

   <subsystem xmlns="{JgroupsSubsystemNamespace}">
     <stacks>
       <stack name="udp">
         <transport type="UDP" socket-binding="jgroups-udp"/>
         <protocol type="PING"/>
         <protocol type="MERGE3"/>
         <protocol type="FD_SOCK"/>
         <protocol type="FD_ALL"/>
         <protocol type="VERIFY_SUSPECT"/>
         <encrypt-protocol type="ASYM_ENCRYPT" key-alias="mykey" key-store="jgroups-keystore">
           <key-credential-reference clear-text="secret" />
           <property name="encrypt_entire_message">true</property>
         </encrypt-protocol>
         <protocol type="pbcast.NAKACK2"/>
         <protocol type="UNICAST3"/>
         <protocol type="pbcast.STABLE"/>
         <!-- Configure AUTH protocol here -->
         <protocol type="pbcast.GMS"/>
         <protocol type="UFC"/>
         <protocol type="MFC"/>
         <protocol type="FRAG3"/>
       </stack>
     </stacks>
   </subsystem>

   Copy to Clipboard Toggle word wrap
   注意

   上例使用明文密码；但是，还可以定义凭据存储来定义配置文件外的密码。有关配置此存储的更多信息，请参阅如何配置服务器安全 指南中的 凭证存储 部分。