集群安全

当涉及到 EMQX 集群的安全时，主要有有两个方面需要考虑。

  • 确保每个节点在集群中监听的端口安全。
  • 对 Erlang 的 cookie 进行保密，见 node.cookie 配置。

提示

建议通过配置防火墙规则来保持集群端口的内部防火墙规则，如 AWS 安全组，或 iptables。

集群内通信端口

为了形成一个集群，EMQX 节点需要通过一些常规端口进行互联

如果集群节点之间有防火墙，常规监听端口应该允许集群中的其他节点连通。

EMQX 节点之间有两种不同的通道进行通信。

Erlang 分布式传输端口

提示

EMQX 采用了传统的端口映射机制，而非 Erlang Port Mapper Daemon, EPMD集群安全 - 图1 (opens new window)。

Erlang 分布端口。ListeningPort = BasePort + Offset。 其中 BasePort 是 4370（默认不可以配置），Offset 是节点名称的后缀。 如果节点名称没有数字后缀，Offsset 就是 0。

例如，在 emqx.conf 中的 node.name = emqx@192.168.0.12 应该使 节点的监听端口为 4370，而 emqx1（或 emqx-1）的端口为 4371，以此类推。

集群 RPC 端口

默认情况下，每个 EMQX 节点有一个 RPC 监听端口。 防火墙应该配置成允许访问。

端口映射规则类似于 Erlang 分布式端口映射规则。 只有 “BasePort” 是 “5370”。

也就是说，在 emqx.conf 中的 node.name = emqx@192.168.0.12 应该使节点的 监听端口 5370，端口 5371 用于 emqx1（或 emqx-1），以此类推。

提示

Docker 容器中的 EMQX 使用静态端口 5369 进行集群 RPC。

使用 TLS 为集群 RPC 传输层

提示

TLS 是以增加 CPU 负载和 RAM 使用为代价的。

要为集群 RPC 配置 TLS，应在 emqx.conf 中进行以下配置：

  1. rpc {
  2.   driver = ssl
  3.   certfile = /path/to/cert/domain.pem
  4.   cacertfile = /path/to/cert/ca.pem
  5.   keyfile = /path/to/cert/domain.key
  6. }

以下是创建证书和自签名 CA 的步骤。

  1. 使用 openssl 工具创建一个根 CA。

    1. # Create self-signed root CA:
    2. openssl req -nodes -x509 -sha256 -days 1825 -newkey rsa:2048 -keyout rootCA.key -out rootCA.pem -subj "/O=LocalOrg/CN=LocalOrg-Root-CA"

  2. 使用在步骤 1 创建的 rootCA.pem 为节点生成 CA 签名的证书。

    1. # Create a private key:
    2. openssl genrsa -out domain.key 2048
    3. # Create openssl extfile:
    4. cat <<EOF > domain.ext
    5. authorityKeyIdentifier=keyid,issuer
    6. basicConstraints=CA:FALSE
    7. subjectAltName = @alt_names
    8. [alt_names]
    9. DNS.1 = backplane
    10. EOF
    11. # Create a CSR:
    12. openssl req -key domain.key -new -out domain.csr -subj "/O=LocalOrg"
    13. # Sign the CSR with the Root CA:
    14. openssl x509 -req -CA rootCA.pem -CAkey rootCA.key -in domain.csr -out domain.pem -days 365 -CAcreateserial -extfile domain.ext

    集群中的所有节点必须使用由同一 CA 签署的证书。

  3. 把生成的 domain.pem、domain.key 和 rootCA.pem 文件放到集群的每个节点上的 /var/lib/emqx/ssl。 确保 EMQX 用户可以读取这些文件，并且权限设置为 600。

为 Erlang 分布式协议使用 TLS

提示

TLS 是以增加 CPU 负载和 RAM 使用为代价的。

EMQX 核心节点用 Erlang 分布机制来同步数据库更新并管理集群中的节点，例如启停某个组件，收集运行指标等。

  • 确保 ssl_dist.conf 文件有正确的密钥和证书的路径。
  • 确保配置 cluster.proto_dist 被设置为 inet_tls。