24.2. 使用 JGroups 进行群集通信

流程

1. 在 JGroups 子系统中将默认堆栈从 udp 改为 tcp ：

   <channel name="ee" stack="tcp" cluster="ejb"/>

2. 将 TCP 堆栈配置为使用 TCPPING 协议代替默认的 MPING 协议。在以下代码中，initial_hosts 属性与群集内所有节点的列表相关联，而 7600 表示默认的 jgroups-tcp 端口可以根据您的配置和环境而变化。

   <stack name="tcp">
     <transport type="TCP" socket-binding="jgroups-tcp"/>
     <protocol type="TCPPING">
       <property name="initial_hosts">192.168.1.5[7600],192.168.1.9[7600]</property>
       <property name="port_range">0</property>
     </protocol>
     <protocol type="MERGE3"/>
     <protocol type="FD_SOCK" socket-binding="jgroups-tcp-fd"/>
     <protocol type="FD_ALL"/>
     <protocol type="VERIFY_SUSPECT"/>
     <protocol type="pbcast.NAKACK2"/>
     <protocol type="UNICAST3"/>
     <protocol type="pbcast.STABLE"/>
     <protocol type="pbcast.GMS"/>
     <protocol type="MFC"/>
     <protocol type="FRAG3"/>
   </stack>

   注意

   initial_hosts 中设置的端口号 7600 必须与 jgroups-tcp 套接字绑定定义中定义的端口号相同。如果将 port-offset 功能用于 socket-binding，则需要在 initial_hosts 中指定偏移后相同的值。

3. 设置专用接口的 IP 地址，供 JGroups 组件使用。IP 地址应与 initial_hosts 中指定的 IP 地址之一相关联：

   <interface name="private">
     <inet-address value="${jboss.bind.address.private:192.168.1.5}"/>
   </interface>

4. 重复上述步骤来配置集群中的其他节点。配置节点时，启动每个节点并部署集群应用。

流程

1. 如果同一配置集用于多个集群，请将系统属性值设置为 initial_hosts ：

   <protocol type="TCPPING">
     <property name="initial_hosts">${jboss.cluster.tcp.initial_hosts}</property>
   
   Set the system property at the `server-group` level:
   <server-groups>
     <server-group name="a-server-group" profile="ha">
     <socket-binding-group ref="ha-sockets"/>
     <system-properties>
       <property name="jboss.cluster.tcp.initial_hosts" value="192.168.1.5[7600],192.168.1.9[7600]" />
     </system-properties>

2. 在主机控制器的 XML 配置中设置专用接口的 IP 地址。专用接口的 IP 地址应当与 initial_hosts 中列出的 IP 地址之一相关联。

   <interfaces>
       ....
     <interface name="private">
       <inet-address value="${jboss.bind.address.private:192.168.1.5}"/>
     </interface>
   </interfaces>

1. 创建密钥存储：

   $ keytool -genkeypair -alias jgroups_key -keypass my_password -storepass my_password -storetype jks -keystore jgroups.keystore -keyalg RSA

2. 使用管理 CLI 将密钥存储添加到 elytron 子系统：

   /subsystem=elytron/key-store=jgroups-token-store:add(type=jks,path=/path/to/jgroups.keystore,credential-reference={clear-text=my_password}, required=true)

3. 在 JGroups 堆栈定义中，将 AUTH 配置为使用密钥存储：

   ...
   <protocol type="pbcast.STABLE"/>
   <auth-protocol type="AUTH">
     <cipher-token algorithm="RSA" key-alias="jgroups_key" key-store="jgroups-token-store">
       <shared-secret-reference clear-text="my_password"/>
       <key-credential-reference clear-text="my_password"/>
     </cipher-token>
   </auth-protocol>
   <protocol type="pbcast.GMS"/>
   ...

1. 创建密钥存储.

   在以下命令中，将 VERSION 替换为适当的 JGroups JAR 版本，并将 PASSWORD 替换为密钥存储密码。

   $ java -cp EAP_HOME/modules/system/layers/base/org/jgroups/main/jgroups-VERSION.jar org.jgroups.demos.KeyStoreGenerator --alg AES --size 128 --storeName defaultStore.keystore --storepass PASSWORD --alias mykey

   这将生成一个 defaultStore.keystore 文件，该文件将在 JGroups 配置中引用。

2. 生成密钥存储后，将使用以下两种方法之一在 SYM_PROTOCOL 中定义它。

   • 在配置中直接 指定密钥存储。
   • 使用 Elytron 子系统 引用密钥存储。

1. 在 jgroups 子系统中配置 SYM_ENCRYPT 协议。

   在适用的服务器配置文件中，使用适当的属性设置添加 SYM_ENCRYPT 协议。此协议将引用之前创建的密钥存储。SYM_ENCRYPT 协议应该在 pbcast.NAKACK2 协议之前立即配置。

   <subsystem xmlns="urn:jboss:domain:jgroups:6.0">
     <stacks>
       <stack name="udp">
         <transport type="UDP" socket-binding="jgroups-udp"/>
         <protocol type="PING"/>
         <protocol type="MERGE3"/>
         <protocol type="FD_SOCK"/>
         <protocol type="FD_ALL"/>
         <protocol type="VERIFY_SUSPECT"/>
         <protocol type="SYM_ENCRYPT">
           <property name="provider">SunJCE</property>
           <property name="sym_algorithm">AES</property>
           <property name="encrypt_entire_message">true</property>
           <property name="keystore_name">/path/to/defaultStore.keystore</property>
           <property name="store_password">PASSWORD</property>
           <property name="alias">mykey</property>
         </protocol>
         <protocol type="pbcast.NAKACK2"/>
         <protocol type="UNICAST3"/>
         <protocol type="pbcast.STABLE"/>
         <protocol type="pbcast.GMS"/>
         <protocol type="UFC"/>
         <protocol type="MFC"/>
         <protocol type="FRAG3"/>
       </stack>
     </stacks>
   </subsystem>

1. 利用管理 CLI，在 elytron 子系统中创建密钥存储，该子系统引用 使用对称加密 在 中创建的 defaultStore.keystore。

   /subsystem=elytron/key-store=jgroups-keystore:add(path=/path/to/defaultStore.keystore,credential-reference={clear-text=PASSWORD},type=JCEKS)

2. 使用适当的属性设置，在 jgroups 子系统中添加 SYM_ENCRYPT 协议。SYM_ENCRYPT 协议应该在 pbcast.NAKACK2 协议之前配置，如以下配置所示。

   <subsystem xmlns="urn:jboss:domain:jgroups:6.0">
     <stacks>
       <stack name="udp">
         <transport type="UDP" socket-binding="jgroups-udp"/>
         <protocol type="PING"/>
         <protocol type="MERGE3"/>
         <protocol type="FD_SOCK"/>
         <protocol type="FD_ALL"/>
         <protocol type="VERIFY_SUSPECT"/>
         <encrypt-protocol type="SYM_ENCRYPT" key-alias="mykey" key-store="jgroups-keystore">
           <key-credential-reference clear-text="PASSWORD"/>
           <property name="provider">SunJCE</property>
           <property name="encrypt_entire_message">true</property>
         </encrypt-protocol>
         <protocol type="pbcast.NAKACK2"/>
         <protocol type="UNICAST3"/>
         <protocol type="pbcast.STABLE"/>
         <protocol type="pbcast.GMS"/>
         <protocol type="UFC"/>
         <protocol type="MFC"/>
         <protocol type="FRAG3"/>
       </stack>
     </stacks>
   </subsystem>

   注意

   上例使用明文密码；但是，也可以定义凭据存储来定义配置文件外的密码。有关配置此存储的更多信息，请参阅 如何配置服务器安全 指南中 的凭证存储 部分。

1. 在 jgroups 子系统中配置 ASYM_ENCRYPT 协议。

   在适用的服务器配置文件中，使用适当的属性设置添加 ASYM_ENCRYPT 协议。ASYM_ENCRYPT 协议应该在 pbcast.NAKACK2 协议之前配置，如以下配置所示。

   <subsystem xmlns="urn:jboss:domain:jgroups:6.0">
     <stacks>
       <stack name="udp">
         <transport type="UDP" socket-binding="jgroups-udp"/>
         <protocol type="PING"/>
         <protocol type="MERGE3"/>
         <protocol type="FD_SOCK"/>
         <protocol type="FD_ALL"/>
         <protocol type="VERIFY_SUSPECT"/>
         <protocol type="ASYM_ENCRYPT">
           <property name="encrypt_entire_message">true</property>
           <property name="sym_keylength">128</property>
           <property name="sym_algorithm">AES/ECB/PKCS5Padding</property>
           <property name="asym_keylength">512</property>
           <property name="asym_algorithm">RSA</property>
         </protocol>
         <protocol type="pbcast.NAKACK2"/>
         <protocol type="UNICAST3"/>
         <protocol type="pbcast.STABLE"/>
         <!-- Configure AUTH protocol here -->
         <protocol type="pbcast.GMS"/>
         <protocol type="UFC"/>
         <protocol type="MFC"/>
         <protocol type="FRAG3"/>
       </stack>
     </stacks>
   </subsystem>

1. 创建密钥存储以包含密钥对。以下命令使用 mykey 条目创建一个密钥存储：

   $ keytool -genkeypair -alias mykey -keyalg RSA -keysize 1024 -keystore defaultKeystore.keystore -dname "CN=localhost" -keypass secret -storepass secret

2. 使用管理 CLI，在 elytron 子系统中创建密钥存储，以引用 defaultStore.keystore。

   /subsystem=elytron/key-store=jgroups-keystore:add(path=/path/to/defaultStore.keystore,credential-reference={clear-text=PASSWORD},type=JCEKS)

3. 使用适当的属性设置，在 jgroups 子系统中添加 ASYM_ENCRYPT 协议。ASYM_ENCRYPT 协议应该在 pbcast.NAKACK2 协议之前配置，如以下配置所示。

   <subsystem xmlns="urn:jboss:domain:jgroups:6.0">
     <stacks>
       <stack name="udp">
         <transport type="UDP" socket-binding="jgroups-udp"/>
         <protocol type="PING"/>
         <protocol type="MERGE3"/>
         <protocol type="FD_SOCK"/>
         <protocol type="FD_ALL"/>
         <protocol type="VERIFY_SUSPECT"/>
         <encrypt-protocol type="ASYM_ENCRYPT" key-alias="mykey" key-store="jgroups-keystore">
           <key-credential-reference clear-text="secret" />
           <property name="encrypt_entire_message">true</property>
         </encrypt-protocol>
         <protocol type="pbcast.NAKACK2"/>
         <protocol type="UNICAST3"/>
         <protocol type="pbcast.STABLE"/>
         <!-- Configure AUTH protocol here -->
         <protocol type="pbcast.GMS"/>
         <protocol type="UFC"/>
         <protocol type="MFC"/>
         <protocol type="FRAG3"/>
       </stack>
     </stacks>
   </subsystem>

   注意

   上例使用明文密码；但是，也可以定义凭据存储来定义配置文件外的密码。有关配置此存储的更多信息，请参阅 如何配置服务器安全 指南中 的凭证存储 部分。