HTTP 连接器和负载平衡指南 5.6

流程

1. 前往 JBCS_HOME/httpd/conf.d 目录。

2. 创建一个名为 mod_jk.conf 的新文件，并输入以下配置详情：

   # Load mod_jk module
   # Specify the filename of the mod_jk lib
   LoadModule jk_module modules/mod_jk.so
   
   # Where to find workers.properties
   JkWorkersFile conf.d/workers.properties
   
   # Where to put jk logs
   JkLogFile logs/mod_jk.log
   
   # Set the jk log level [debug/error/info]
   JkLogLevel info
   
   # Select the log format
   JkLogStampFormat  "[%a %b %d %H:%M:%S %Y]"
   
   # JkOptions indicates to send SSL KEY SIZE
   JkOptions +ForwardKeySize +ForwardURICompat -ForwardDirectories
   
   # JkRequestLogFormat
   JkRequestLogFormat "%w %V %T"
   
   # Mount your applications
   JkMount /application/* loadbalancer
   
   # Add shared memory.
   # This directive is present with 1.2.10 and
   # later versions of mod_jk, and is needed for
   # for load balancing to work properly
   JkShmFile logs/jk.shm
   
   # Add jkstatus for managing runtime data
   <Location /jkstatus/>
       JkMount status
       Require ip 127.0.0.1
   </Location>

   Copy to Clipboard
   重要

   确保 LoadModule 指令引用您已安装的 mod_jk 原生二进制文件。

   注意

   JkMount 指令指定 Apache HTTP 服务器可以转发到 mod_jk 模块的 URL。根据 JkMount 指令的配置，mod_jk 会将接收的 URL 转发到正确的 servlet 容器。

   要启用 Apache HTTP 服务器直接提供静态内容（或 PHP 内容），且只使用 Java 应用程序的负载均衡器，前面的配置示例指定 Apache HTTP 服务器仅向 mod_jk 负载均衡器发送请求。

   或者，您可以通过在 JkMount 指令中指定 /*，将 Apache HTTP 服务器配置为将所有 URL 转发到 mod_jk。

3. 可选：要使用 JkMountFile 指令指定挂载点的配置文件，请执行以下步骤：

   1. 前往 JBCS_HOME/httpd/conf.d/ 目录。
   2. 创建名为 uriworkermap.properties 的文件。

   3. 指定您要转发和 worker 名称的 URL。

      例如：

      # Simple worker configuration file
      
      # Mount the Servlet context to the ajp13 worker
      /application=loadbalancer
      /application/*=loadbalancer

      Copy to Clipboard
      注意

      所需语法的格式是： /URL=WORKER_NAME

      前面的示例将 mod_jk 配置为将 /application 的请求转发到 JBoss Web Server Tomcat 后端。

   4. 在 JBCS_HOME/httpd/conf.d/mod_jk.conf 文件中，输入以下指令：

      # Use external file for mount points.
      # It will be checked for updates each 60 seconds.
      # The format of the file is: /url=worker
      # /examples/*=loadbalancer
      JkMountFile conf.d/uriworkermap.properties

      Copy to Clipboard

4. 可选：要启用 Apache HTTP 服务器日志，请执行以下步骤之一：

   • 在 JkRequestLogFormat 指令中包含 %w，如上一步中有关 mod_jk.conf 设置所示。
   • 通过在 Apache HTTP 服务器 LogFormat(s)中包含 %{JK_WORKER_NAME}n 记录要使用的 mod_jk worker 名称。

流程

1. 前往 JBCS_HOME/httpd/conf.d/ 目录。
2. 创建名为 workers.properties 的文件。

3. 输入以下配置详情：

   # Define list of workers that will be used
   # for mapping requests
   worker.list=loadbalancer,status
   
   # Define Node1
   # modify the host as your host IP or DNS name.
   worker.node1.port=8009
   worker.node1.host=node1.mydomain.com
   worker.node1.type=ajp13
   worker.node1.ping_mode=A
   worker.node1.lbfactor=1
   
   # Define Node2
   # modify the host as your host IP or DNS name.
   worker.node2.port=8009
   worker.node2.host=node2.mydomain.com
   worker.node2.type=ajp13
   worker.node2.ping_mode=A
   worker.node2.lbfactor=1
   
   # Load-balancing behavior
   worker.loadbalancer.type=lb
   worker.loadbalancer.balance_workers=node1,node2
   worker.loadbalancer.sticky_session=1
   
   # Status worker for managing load balancer
   worker.status.type=status

   Copy to Clipboard
   注意

   在前面的示例中，确保将 主机、端口 和 secret 设置替换为与您的环境相关的值。

流程

1. 打开 mod_cluster 配置文件。

   注意

   mod_cluster 配置文件通常位于 JBCS_HOME/httpd/conf.d/mod_cluster.conf 目录中。

2. 要为代理服务器创建 Listen 指令，请在 mod_cluster.conf 文件中输入以下行：

   Listen IP_ADDRESS:PORT_NUMBER

   Copy to Clipboard
   注意

   在前面的示例中，将 IP_ADDRESS 替换为代理服务器用来与 worker 节点通信的服务器网络接口地址，并将 PORT_NUMBER 替换为代理服务器侦听的端口。

   确保为传入 TCP 连接打开端口。

3. 要创建虚拟主机，请在 mod_cluster.conf 文件中输入以下详情：

   <VirtualHost IP_ADDRESS:PORT_NUMBER>
   
      <Directory />
         Require ip IP_ADDRESS
      </Directory>
   
      KeepAliveTimeout 60
      MaxKeepAliveRequests 0
   
      ManagerBalancerName mycluster
      AdvertiseFrequency 5
      EnableMCPMReceive On
   
   </VirtualHost>

   Copy to Clipboard
   注意

   在前面的示例中，将 IP_ADDRESS 和 PORT_NUMBER 替换为您为 Listen 指令指定的服务器网络接口和端口号的地址。

   此地址和端口组合仅用于 mod_cluster 管理消息。此地址和端口组合不用于常规流量。

流程

1. 要为 Tomcat 添加监听程序，请在 JWS_HOME/tomcat <VERSION> /conf/server.xml 文件中的其他 Listener 元素下添加以下 Listener 元素：

   <Listener className="org.jboss.modcluster.container.catalina.standalone.ModClusterListener" advertise="true" stickySession="true" stickySessionForce="false" stickySessionRemove="true" />

   Copy to Clipboard

2. 要为 worker 节点指定唯一身份，请编辑 JWS_HOME/tomcat <VERSION> /conf/server.xml 文件，将 jvmRoute 属性和值添加到 Engine 元素中：

   <Engine name="Catalina" defaultHost="localhost" jvmRoute="worker01">

   Copy to Clipboard

3. 要配置 STATUS MCMP 消息频率，请修改 org.jboss.modcluster.container.catalina.status-frequency Java 系统属性。

   例如：

   -Dorg.jboss.modcluster.container.catalina.status-frequency=6

   Copy to Clipboard
   注意

   Tomcat worker 节点会定期将包含其当前负载状态的状态信息发送到 Apache HTTP 服务器负载均衡器。这些消息的默认频率是 10 秒。如果您有数百个 worker 节点，则 STATUS MCMP 信息可能会增加 Apache HTTP 服务器网络上的流量拥塞。

   您可以通过修改 org.jboss.modcluster.container.catalina.status-frequency Java 系统属性来配置 MCMP 消息频率。默认情况下，属性接受以十秒为单位指定的值。例如，将 属性设置为 1 表示 10 秒。在前面的示例中，属性设为 6，即 60 秒。

4. 可选：要为代理服务器公告配置防火墙，请完成以下步骤之一，在 worker 节点的防火墙中为 UDP 连接打开端口 23364 ：

   • Red Hat Enterprise Linux 7：

     firewall-cmd --permanent --zone=public --add-port=23364/udp

     Copy to Clipboard

   • 对于使用 PowerShell 的 Microsoft Windows

     Start-Process "$psHome\powershell.exe" -Verb Runas -ArgumentList '-command "NetSh Advfirewall firewall add rule name="UDP Port 23364" dir=in  action=allow protocol=UDP localport=23364"'
     Start-Process "$psHome\powershell.exe" -Verb Runas -ArgumentList '-command "NetSh Advfirewall firewall add rule name="UDP Port 23364" dir=out action=allow protocol=UDP localport=23364"'

     Copy to Clipboard
     注意

     当代理服务器使用 mod_cluster 时，代理服务器可以使用 UDP 多播来公告自身。大多数操作系统防火墙默认阻止服务器广告功能。要启用服务器公告并接收这些多播信息，您可以在 worker 节点的防火墙上打开 UDP 连接的端口 23364，如上例中所示。

流程

1. 打开 JWS_HOME/tomcat <VERSION> /conf/server.xml 文件。

2. 要定义 mod_cluster 侦听器并禁用动态代理发现，请添加或更改 ModCluster Listener 的 Listener 元素。

   例如：

   <Listener className="org.jboss.modcluster.container.catalina.standalone.ModClusterListener" advertise="false" stickySession="true" stickySessionForce="false" stickySessionRemove="true"/>

   Copy to Clipboard
   注意

   确保将 advertise 属性设置为 false。

3. 要创建静态代理服务器列表，请通过以以下格式添加以逗号分隔的代理列表来更新 proxyList 属性：IP_ADDRESS:端口,IP_ADDRESS:PORT

   例如：

   <Listener className="org.jboss.modcluster.container.catalina.standalone.ModClusterListener" advertise="false" stickySession="true" stickySessionForce="false" stickySessionRemove="true" proxyList="10.33.144.3:6666,10.33.144.1:6666"/>

   Copy to Clipboard

流程

1. 要安装 mod_ssl，请输入以下命令：

   # yum install jbcs-httpd24-mod_ssl

   Copy to Clipboard

2. 指定 SSL 配置设置：

   1. 打开 JBCS_HOME/httpd/conf.d/ssl.conf 文件。

   2. 为 ServerName、SSLCertificateFile 和 SSLCertificateKeyFile 输入详情。

      例如：

      <VirtualHost _default_:443>
      ServerName www.example.com:443
      SSLCertificateFile /opt/rh/jbcs-httpd24/root/etc/pki/tls/certs/localhost.crt
      SSLCertificateKeyFile /opt/rh/jbcs-httpd24/root/etc/pki/tls/private/localhost.key

      Copy to Clipboard
      注意
      • ServerName 必须与与 SSL 证书关联的通用名称(CN)匹配。如果 ServerName 与 CN 不匹配，客户端浏览器会显示域名不匹配错误。
      • SSLCertificateFile 指定到 SSL 证书文件的路径。
      • SSLCertificateKeyFile 指定与 SSL 证书关联的私钥文件的路径。
3. 验证 Listen 指令是否与部署的 httpd 服务的主机名或 IP 地址匹配。

4. 要重启 Apache HTTP 服务器，请输入以下命令：

   # service jbcs-httpd24-httpd restart

   Copy to Clipboard

流程

1. 配置证书颁发机构。

   注意

   确保您的 CA 可以发布 OCSP 证书。CA 必须能够在证书中添加以下属性：

   [ usr_cert ]
   ...
   authorityInfoAccess=OCSP;URI:http://<HOST>:<PORT>
   ...
   [ v3_OCSP ]
   basicConstraints = CA:FALSE
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage = OCSP Signing

   Copy to Clipboard

   在前面的示例中，将 HOST 和 PORT 替换为您要配置的 OCSP 响应者的详细信息。

2. 配置 OCSP 响应器。

流程

1. 打开 JBCS_HOME/httpd/conf.d/ssl.conf 文件。

2. 为您的部署指定适当的 OCSP 配置详情。

   例如：

   # Require valid client certificates (mutual auth)
   SSLVerifyClient require
   SSLVerifyDepth  3
   # Enable OCSP
   SSLOCSPEnable on
   SSLOCSPDefaultResponder http://<HOST>:<PORT>
   SSLOCSPOverrideResponder on

   Copy to Clipboard
   注意

   前面的示例演示了如何启用客户端证书的 OCSP 验证。在前面的示例中，将 < HOST&gt; 和 & lt;PORT > 替换为默认的 OCSP Responder 的 IP 地址和端口。

流程

1. 前往 JBCS_HOME/httpd/conf.d/ 目录。
2. 创建名为 mod_cluster.conf 的文件。

3. 输入以下配置详情：

   LoadModule proxy_cluster_module modules/mod_proxy_cluster.so
   LoadModule cluster_slotmem_module modules/mod_cluster_slotmem.so
   LoadModule manager_module modules/mod_manager.so
   LoadModule advertise_module modules/mod_advertise.so
   
   MemManagerFile cache/mod_cluster
   
   <IfModule manager_module>
     Listen 6666
     <VirtualHost *:6666>
       <Directory />
         Require ip 127.0.0.1
       </Directory>
       ServerAdvertise on
       EnableMCPMReceive
       <Location /mod_cluster_manager>
         SetHandler mod_cluster-manager
         Require ip 127.0.0.1
      </Location>
     </VirtualHost>
   </IfModule>

   Copy to Clipboard
   注意

   前面的示例演示了如何将 JBoss Core Services 设置为侦听 localhost 的代理服务器。

流程

1. 打开 JWS_HOME/tomcat <VERSION> /conf/server.xml 文件。

2. 添加以下 Listener 元素：

   <Listener className="org.jboss.modcluster.container.catalina.standalone.ModClusterListener" advertise="true"/>

   Copy to Clipboard

1. 指定 krb5.conf 文件中的配置设置。
2. 在 JBCS_HOME/httpd/conf 文件中创建一个密钥选项卡。
3. 为密钥选项卡分配权限。
4. 确保 /etc/hosts 文件中包含 localhost。

流程

1. 指定 krb5.conf 文件中的配置设置：

   1. 进入 /etc 目录。
   2. 创建名为 krb5.conf 的文件。

   3. 输入以下配置详情：

      [logging]
        default = FILE:/var/log/krb5libs.log
        kdc = FILE:/var/log/krb5kdc.log
        admin_server = FILE:/var/log/kadmind.log
      
      [libdefaults]
        default_realm = EXAMPLE.COM
        default_tgs_enctypes = des-cbc-md5,des3-cbc-sha1-kd
        default_tkt_enctypes = des-cbc-md5,des3-cbc-sha1-kd
        dns_lookup_realm = false
        dns_lookup_kdc = false
        allow_weak_crypto = yes
        ticket_lifetime = 24h
        renew_lifetime = 7d
        forwardable = yes
      
      [realms]
        EXAMPLE.COM = {
          kdc = localhost:60088
          admin_server = localhost:60088
        }
      
      [domain_realm]
        .example.com = EXAMPLE.COM
        example.com = EXAMPLE.COM

      Copy to Clipboard

2. 要创建密钥标签页：

   1. 打开 JBCS_HOME/httpd/conf 文件。

   2. 输入以下详情：

      # ktutil
      ktutil: addent -password -p HTTP/localhost@EXAMPLE.COM -k 0 -e des-cbc-md5
      Password for HTTP/localhost@EXAMPLE.COM: secretpwd
      ktutil: list
      slot KVNO Principal
      ---- ---- ---------------------------------------------------------------------
         1    0               HTTP/localhost@EXAMPLE.COM
      ktutil: wkt JBCS_HOME/httpd/conf/krb5.keytab
      ktutil: quit

      Copy to Clipboard
      重要

      环境变量不会在 ktutil 提示符中扩展。您必须替换 JBCS_HOME 变量的完整路径。

3. 要将正确的组和权限应用到密钥标签页，以 root 用户身份输入以下命令：

   # chgrp apache JBCS_HOME/httpd/conf/krb5.keytab
   # chmod 640 JBCS_HOME/httpd/conf/krb5.keytab

   Copy to Clipboard

4. 确保 /etc/hosts 文件中包含以下主机配置：

   127.0.0.1 localhost

   Copy to Clipboard

流程

1. 前往 JBCS_HOME/httpd/conf.d/ 目录。
2. 创建名为 auth_kerb.conf 的文件。

3. 输入以下配置详情：

   #
   # The mod_auth_kerb module implements Kerberos authentication over HTTP, following the "Negotiate" protocol.
   #
   
   # The LoadModule statement is done in conf.d/10-auth_kerb.conf
   # LoadModule auth_kerb_module modules/mod_auth_kerb.so
   
   <Location /kerberostest>
     AuthType Kerberos
     AuthName "Kerberos Login"
     KrbMethodNegotiate On
     KrbMethodK5Passwd Off
     KrbAuthRealms EXAMPLE.COM
     KrbServiceName HTTP
     Krb5KeyTab $JBCS_HOME/httpd/krb5.keytab
     require valid-user
   </Location>

   Copy to Clipboard

流程

1. 要创建测试页面，请执行以下步骤：

   1. 进入 JBCS_HOME/httpd/www/html/kerberostest 目录。
   2. 创建名为 auth_kerb_page.html 的测试页面。

   3. 输入以下详情：

      <html>
      <body>
          <h1>mod_auth_kerb successfully authenticated!</h1>
      </body>
      </html>

      Copy to Clipboard
2. 可选：在 JBCS_HOME/httpd/conf/httpd.conf 文件中，将日志级别设置为调试。
3. 启动 Apache HTTP 服务器。如需更多信息，请参阅 Red Hat JBoss Core Services Apache HTTP Server 安装指南。

4. 要为测试用户启动 Kerberos 验证 hnelson，请输入以下命令：

   $ kinit hnelson

   Copy to Clipboard

5. 要查看测试用户 hnel son 的详情，请输入以下命令：

   $ klist

   Copy to Clipboard

   klist 命令生成以下输出类型：

   Ticket cache: FILE:/tmp/krb5cc_18602
   Default principal: hnelson@EXAMPLE.COM
   
   Valid starting     Expires            Service principal
   06/03/13 14:21:13  06/04/13 14:21:13  krbtgt/EXAMPLE.COM@EXAMPLE.COM
   renew until 06/10/13 14:21:13

   Copy to Clipboard