Microservices Engine:Ativar TLS para instâncias do MSE Nacos

Pré-requisitos

• ou Ative o MSE.

• Crie um mecanismo Nacos versão 2.1.2.1 ou posterior. Criar um mecanismo Nacos. Para atualizar uma versão anterior, consulte Atualizar a versão de um mecanismo Nacos.

• A versão do Java Development Kit (JDK) deve ser 8u252 ou posterior.

  Nota

  Versões do JDK anteriores à 8u252 apresentam problemas de compatibilidade com TLS. Atualize para a versão 8u252 ou posterior ou utilize um nacos-client puro. Como importar um nacos-client puro?.

  • Um nacos-client puro pode usar OpenSSL como provedor SSL, mas é necessário remover o parâmetro nacos.remote.client.rpc.tls.provider.

  • As versões puras do Nacos não aplicam shade em pacotes secundários dependentes. Talvez seja preciso resolver conflitos de pacotes.

Etapa 1: Modifique as configurações de parâmetros do Nacos

1. Faça login no console do MSE e selecione uma região na barra de navegação superior.

2. No painel de navegação à esquerda, escolha Microservices Registry > Instances. Clique em nome da instância.

3. No painel de navegação à esquerda, clique em Parameter Settings. Clique em Edit, defina o parâmetro TLSEnabled como Yes e clique em Save and Restart Instance.

   Após a reinicialização, o servidor aceita conexões TLS de clientes Nacos.

Etapa 2: Atualizar o nacos-client

1. Atualize o nacos-client para a versão 2.2.1 ou posterior.

   <dependency>
       <groupId>com.alibaba.nacos</groupId>
       <artifactId>nacos-client</artifactId>
       <version>2.2.1</version>
   </dependency>

2. Defina os parâmetros tls para ativar o recurso TLS.

   Configure os parâmetros tls usando um dos métodos abaixo. Prioridade: arquivo de propriedades > parâmetros JVM > variáveis de ambiente.

   • Defina os parâmetros em um arquivo de propriedades e passe-os ao criar instâncias de NacosConfigService ou NacosNamingService.

     • properties.put("nacos.remote.client.rpc.tls.enable","true");

     • properties.put("nacos.remote.client.rpc.tls.trustAll","true");

     • properties.put("nacos.remote.client.rpc.tls.provider","JDK");

     Este método tem precedência sobre parâmetros JVM e variáveis de ambiente, aplicando-se no nível da instância NacosConfigService e NacosNamingService.

   • Configure parâmetros JVM.

     • -Dnacos.remote.client.rpc.tls.enable=true

     • -Dnacos.remote.client.rpc.tls.trustAll=true

     • -Dnacos.remote.client.rpc.tls.provider=JDK

     Esta abordagem atua no nível do processo JVM para todas as instâncias de NacosConfigService e NacosNamingService sem substituições via arquivo de propriedades.

   • Utilize variáveis de ambiente.

     • nacos_remote_client_rpc_tls_enable=true

     • nacos_remote_client_rpc_tls_trustAll=true

     • nacos_remote_client_rpc_tls_provider=JDK

     Essa configuração aplica-se no nível do servidor a todas as instâncias sem substituições por JVM ou arquivo de propriedades.

3. Verifique se a criptografia TLS está ativada.

   1. Visualize os logs de inicialização.

      Durante a inicialização, o nacos-client registra a configuração TLS em {user.home}/logs/nacos/remote.log.

      2023-04-06 09:56:56.539 INFO [com.alibaba.nacos.client.Worker:c.a.n.c.r.c.g.GrpcClient] grpc client connection server:mse-xxx.nacos-ans.mse.aliyuncs.com ip,serverPort:9848,grpcTslConfig:{"sslProvider":"","enableTls":true,"mutualAuthEnable":false,"trustAll":true}

      O campo "enableTls":true confirma que o TLS está ativo. Se o cliente iniciar e ler/gravar configurações normalmente, a criptografia funciona corretamente.

   2. Capture pacotes de dados com o comando tcpdump.

      Execute o tcpdump para capturar pacotes. O exemplo a seguir salva a saída em /tmp/tcptrace.cap. Ajuste o caminho conforme necessário.

      sudo tcpdump -i any -w /tmp/tcptrace.cap -p 9848

      Abra o arquivo no Wireshark ou ferramenta similar. Se o protocolo exibido for TCP&TLS, a criptografia está ativa.

Perguntas frequentes

<dependency>
    <groupId>com.alibaba.nacos</groupId>
    <artifactId>nacos-client</artifactId>
    <version>2.2.1</version>
    <classifier>pure</classifier>
</dependency>
<dependency>
    <groupId>com.alibaba.nacos</groupId>
    <artifactId>nacos-common</artifactId>
    <version>2.2.1</version>
</dependency>
<dependency>
    <groupId>com.alibaba.nacos</groupId>
    <artifactId>nacos-api</artifactId>
    <version>2.2.1</version>
</dependency>