如何解决AWS EC2实例上Hyperledger Fabric的GRPC错误及安全组端口问题？

我之前在AWS上部署Fabric网络的时候也碰到过一模一样的问题，当时折腾了好一阵才搞清楚根源，给你分享下解决方案：

为什么会出现随机端口问题？ #

Hyperledger Fabric的gRPC客户端（包括CLI）在和peer、orderer节点建立连接时，默认会使用操作系统的**临时端口（ephemeral ports）**作为源端口，而不是固定端口。如果你的安全组只开放了Fabric服务的固定端口（比如peer的7051、orderer的7050），没有允许这些临时端口的出站/入站流量，就会出现你看到的gRPC连接失败日志。

安全组的正确配置方案 #

要兼顾安全和功能，建议这么设置安全组：

1. 入站规则（Inbound） #

只开放Fabric服务必须对外暴露的固定端口，比如：

• Peer节点：7051（gRPC服务端口）、7053（事件服务端口，如果你用到的话）
• Orderer节点：7050（gRPC服务端口）
• CLI节点不需要开放任何入站端口，因为它是客户端，只主动发起连接，不需要接收外部主动连接

2. 出站规则（Outbound） #

如果你的Fabric节点都在同一个AWS VPC里，最安全且方便的方式是：

• 允许CLI实例的安全组和所有Fabric节点（peer、orderer）的安全组互通所有端口
• 这样既保证了gRPC临时端口的流量能正常通行，又限制了流量只在VPC内部的Fabric节点之间流动，不会暴露到公网

如果要更严格（比如限制临时端口范围），可以：

• 允许出站流量到Fabric节点的固定服务端口（7050、7051等）
• 同时允许出站流量使用操作系统的临时端口范围（Linux默认是32768-65535），这个范围可以通过cat /proc/sys/net/ipv4/ip_local_port_range查看

能不能让CLI使用特定端口范围？ #

目前Hyperledger Fabric的CLI客户端本身没有提供配置gRPC源端口范围的参数，但你可以通过修改操作系统的临时端口范围来限制：

1. 编辑/etc/sysctl.conf文件，添加或修改：

   net.ipv4.ip_local_port_range = 32768 60999
   

2. 执行sudo sysctl -p使配置生效
3. 然后在安全组的出站规则里只允许这个范围的端口到Fabric节点的服务端口

不过这个是系统级的设置，会影响到实例上所有应用的临时端口使用，需要谨慎调整。

关于你提供的错误日志 #

你贴的2018-04-06 13:33:19.399 UTC [grpc] Printf -> DEBU 3a3 transport: http2Server.HandleStreams failed to read frame: re...日志，本质就是gRPC连接被中断导致的读取失败，几乎可以肯定是安全组或防火墙阻止了双向流量——gRPC基于HTTP/2，需要客户端和服务端之间能双向通信，临时端口的流量被挡就会触发这个错误。

额外实践建议 #

• 把所有Fabric节点放在VPC的私有子网里，不要直接暴露到公网，只通过NAT网关或负载均衡对外提供必要的服务
• 使用安全组的引用功能：创建一个fabric-nodes安全组，给所有peer、orderer节点绑定，然后CLI的安全组出站规则允许和fabric-nodes安全组的所有端口通信，这样后续新增节点也不用修改安全组配置，非常灵活

内容的提问来源于stack exchange，提问作者Corey Ballou