Question

我有一个带有 IBM MQ（Docker 镜像 ibmcom/mq/9.2.2.0-r1）的容器，它暴露了两个端口（9443 - admin，1414 - 应用程序）。

已完成 OpenShift 中所有必需的设置（Pod、服务、路由）。

有两条路线，每个港口一条。

相应地指向端口（外部端口默认为 http=80，https=443）。

管理控制台可通过第一个路由访问，因此 MQ 已启动并正在运行。

我尝试使用标准方法作为客户端（JMS 2.0，com.ibm.mq.allclient:9.2.2.0）进行连接：

  var fctFactory = JmsFactoryFactory.getInstance(WMQConstants.WMQ_PROVIDER);
  var conFactory = fctFactory.createConnectionFactory();

  // ... other props

  conFactory.setObjectProperty(WMQConstants.WMQ_HOST_NAME, "route-app.my.domain");
  conFactory.setObjectProperty(WMQConstants.WMQ_PORT, 443);

并且连接失败。还尝试将路由重新定义为 HTTP 并使用端口 80，但再次没有成功。

如果有帮助，我们假设我们使用最新版本的 MQ Explorer 作为客户端。

每次出现相同的连接错误：

...
Caused by: com.ibm.mq.MQException: JMSCMQ0001: 
           IBM MQ call failed with compcode '2' ('MQCC_FAILED') reason '2009' ('MQRC_CONNECTION_BROKEN').
... 
Caused by: com.ibm.mq.jmqi.JmqiException: 
           CC=2;RC=2009;AMQ9204: Connection to host 'route-app.my.domain(443)' rejected.
           [1=com.ibm.mq.jmqi.JmqiException[CC=2;RC=2009;AMQ9208: 
            Error on receive from host 'route-app.my.domain/10.227.248.2:443 (route-app.my.domain)'.
           [1=-1,2=ffffffff,3=route-app.my.domain/10.227.248.2:443 (route-app.my.domain),4=TCP]],
            3=route-app.my.domain(443),5=RemoteConnection.receiveTSH]
...
Caused by: com.ibm.mq.jmqi.JmqiException: CC=2;RC=2009;AMQ9208: 
           Error on receive from host 'route-app.my.domain/10.227.248.2:443

也许，这个 article 可以提供一些关于错误代码 2009 的提示，但仍然不确定是什么影响了 OpenShift 端的连接错误。

以前，我总是连接到 IBM MQ，并明确指定端口值，但这里有一些不同的情况。
如何通过 TCP 连接 OpenShift 集群中的 IBM MQ？

OpenShift 中的配置如下：

kind: Pod
apiVersion: v1
metadata:
  name: ibm-mq
  labels:
    app: ibm-mq
spec:
  containers:
    - resources:
        limits:
          cpu: '1'
          memory: 600Mi
        requests:
          cpu: '1'
          memory: 600Mi
      name: ibm-mq
      ports:
        - containerPort: 1414
          protocol: TCP
        - containerPort: 9443
          protocol: TCP
  containerStatuses:
      image: 'nexus-ci/docker-lib/ibm_mq:latest'

---
   
kind: Service
apiVersion: v1
metadata:
  name: ibm-mq
spec:
  ports:
    - name: admin
      protocol: TCP
      port: 9443
      targetPort: 9443
    - name: application
      protocol: TCP
      port: 1414
      targetPort: 1414
  selector:
    app: ibm-mq

---

kind: Route
apiVersion: route.openshift.io/v1
metadata:
  name: ibm-mq-admin
spec:
  host: ibm-mq-admin.my-domain.com
  to:
    kind: Service
    name: ibm-mq
    weight: 100
  port:
    targetPort: admin
  tls:
    termination: passthrough
    insecureEdgeTerminationPolicy: None
  wildcardPolicy: None

---

kind: Route
apiVersion: route.openshift.io/v1
metadata:
  name: ibm-mq-app
spec:
  host: ibm-mq-app.my-domain.com
  to:
    kind: Service
    name: ibm-mq
    weight: 100
  port:
    targetPort: application
  tls:
    termination: passthrough
    insecureEdgeTerminationPolicy: None
  wildcardPolicy: None

---

更新： 最终创建并部署到 OpenShift 的小型 Web 应用程序接收 HTTP 请求并通过 JMS（放置/获取文本消息）与 MQ 交互，例如：

POST /queue/{queueName}/send + <body>;
GET /queue/{queueName}/receive。

它使用 TCP 与 OpenShift 集群内的 MQ 交互，并接受外部 HTTP 连接作为常规 Web 应用程序。
其他解决方案似乎需要太多的努力，但我接受了其中一个，因为它在理论上是正确和直接的。

Answer 1

我不确定是否完全了解您的设置，但"Routes"只路由 HTTP 流量（在端口 80 或 443 onyl 上），而不是 TCP 流量。
如果您想从集群外部访问您的 MQ 服务器，有几种解决方案，一种是创建一个服务类型："NodePort"

文档：https://docs.openshift.com/container-platform/4.7/networking/configuring_ingress_cluster_traffic/configuring-ingress-cluster-traffic-nodeport.html

您的服务不是 NodePort 服务。在您的情况下，它应该类似于

kind: Service
apiVersion: v1
metadata:
  name: ibm-mq
spec:
  type: NodePort
  ports:
    - port: 1414
      targetPort: 1414
      nodePort: 30001
  selector:
    app: ibm-mq

然后从外部以任意名称访问。:30001
并删除无用的对应路由。如前所述，我假设您在我指向您的文档中阅读了该文档，该文档说该路由仅在端口 80 或 443 上路由 HTTP 流量。

文档：https://kubernetes.io/docs/concepts/services-networking/service/#nodeport

Answer 2

IBM MQ 9.2.1 及更高版本的 JMS 类将读取以下 Java 系统属性，以告诉它在启动 TLS 连接时将 SNI 标头设置为远程系统的主机名：

com.ibm.mq.cfg.SSL.OutboundSNI=HOSTNAME

要以编程方式进行设置，只需使用 System.setProperty 方法，例如：

System.setProperty("com.ibm.mq.cfg.SSL.OutboundSNI","HOSTNAME");

注意：字符串 HOSTNAME 是字面意思，不应被实际主机名替换。

如果您无法从 9.2.1 或更高版本移动到 com.ibm.mq.allclient.jar，那么在 9.2.0.0 及更高版本中，您可以改用 com.ibm.mq.cfg.SSL.AllowOutboundSNI=NO，但这在 9.2.1 及更高版本中已弃用。

如何连接到部署到 OpenShift 的 IBM MQ？

2 个答案: