WSO2 APIM中websub_event_receiver_https_endpoint作用及路由问题

1. 两个WebSub事件接收端点参数的作用 #

这两个参数是分布式部署下APIM集群内部事件同步机制的基础配置，定义了当前节点上WebSub事件接收服务的监听地址：

• websub_event_receiver_http_endpoint = "http://localhost:9021"：对应节点本地9021端口的HTTP协议事件监听器，主要接收集群内网同可用区内的非加密事件推送，包括流量管理器下发的限流规则事件、控制平面推送的API生命周期变更事件、网关节点上报的调用统计事件等。
• websub_event_receiver_https_endpoint = "https://localhost:8021"：对应节点本地8021端口的HTTPS协议加密事件监听器，用于跨可用区、跨网络域节点间的加密事件传输，携带敏感权限信息、密钥轮换通知类的事件默认会走这个端口推送。

注意：默认配置里的localhost仅代表服务默认绑定环回地址，在你这种6节点的Pattern 4分布式部署场景下，必须把这两个地址改成对应节点在OKD内网可被其他集群节点访问的Service DNS地址，否则其他节点推送事件时会把请求打到自身的环回地址，直接导致事件同步失败。

2. 是否需要暴露8021端口并配置路由 #

不需要配置对外暴露的Route，但必须在集群内网层面打通8021、9021端口的跨节点访问权限，具体逻辑如下：

• 8021和9021是纯集群内部通信用的端口，仅接收集群内其他节点发来的事件请求，不对外提供服务，绝对不要把这两个端口通过OKD Route暴露到集群外，否则会存在未授权事件推送、集群元数据泄露、配置被恶意篡改的安全风险。
• 你当前已经配置的websub路由，对应的是APIM对外提供的公开WebSub服务端点（默认走网关/控制平面的443标准端口），用来对接外部第三方WebSub订阅方、公网WebHub回调，和8021这个内部事件接收端口完全是两套链路，不要混淆。
• 集群内网侧需要做两个配置保证链路正常：
  • 修正两个端点参数里的localhost为对应节点的OKD内网Service地址，确保其他节点可以通过内网DNS解析到目标节点的监听端口
  • 在OKD NetworkPolicy中放开CP、GM、TM节点间9021、8021端口的入方向访问权限，不要被网络策略拦截，否则会出现API发布后网关不生效、限流规则不同步、调用统计丢失的问题。

内容的提问来源于stack exchange，提问作者nankiesof