Azure云VM新部署EJBCA PKI 公网8443端口无法访问故障问询

遗漏的常见配置项 #

• Azure网络层配置 #

  • 检查网络安全组(NSG)的两层关联规则：你提到的Azure侧连通性测试通过，大概率是测试规则仅对Azure平台内部测试IP段生效，或仅配置了子网/网卡其中一层的NSG入站规则，未同时在关联的子网和虚拟机网卡的NSG中添加允许你的公网IP/任意公网IP访问8442、8443端口TCP协议的入站规则，注意规则优先级数值越小优先级越高，需确保放行规则优先级高于全局阻断规则。
  • 检查公网接入配置：如果你的VM使用了NAT网关、负载均衡等服务，需确认8443端口的转发规则已正确指向EJBCA虚拟机的对应后端端口，没有被其他规则抢占。

• 虚拟机内部配置 #

  • 检查Wildfly监听地址：默认Wildfly可能仅绑定127.0.0.1，未绑定内网网卡地址或0.0.0.0，执行命令ss -tunlp | grep 8443查看监听地址，如果为127.0.0.1，需要修改Wildfly的standalone.xml配置文件，将public接口的监听地址改为0.0.0.0。
  • 检查Debian内置防火墙规则：本地端口扫描通不代表公网流量被放行，执行ufw status确认ufw是否开启且未放通8443端口，或执行iptables -L INPUT -n检查是否有阻断公网访问8443的规则。

• EJBCA部署配置 #

  • 检查执行ant deploy-keystore时是否将访问地址配置为127.0.0.1或内网IP，未配置公网IP也可能导致对外服务异常。

后续排查步骤 #

• 网络层优先排查 #

  • 在EJBCA虚拟机本地执行curl -v -k https://127.0.0.1:8443/ejbca/，确认本地访问可以正常得到返回，排除服务本身启动失败的问题。
  • 用同区域的另一台Azure虚拟机访问EJBCA的内网IP:8443，如果可以连通说明虚拟机内部服务正常，问题明确出在公网接入层；如果无法连通则排查虚拟机内部端口绑定、防火墙规则。
  • 临时将NSG入站规则添加优先级最高的测试规则：源IP填你本地的公网IP（可通过公网IP查询工具获取）、目标端口8443、协议TCP、动作允许，再次用在线端口检测工具验证端口状态。

• 应用层日志问题修复 #

  你给出的JSF、CDI相关报错警告属于EJBCA社区版与Wildfly 18的兼容问题，不影响8443端口的连通性，等网络问题解决后可通过以下方式修复：
  • 执行/wildfly安装目录/bin/jboss-cli.sh --connect --command="extension=org.jboss.as.jsf:read-resource"确认Wildfly已安装JSF扩展，缺失则手动安装对应模块。
  • 可将Wildfly降级到17.x版本，或升级EJBCA小版本解决兼容警告。

内容的提问来源于stack exchange，提问作者docker_compose