Percona Monitoring and Management 安装后无法访问Web界面

Question

安装Percona Monitoring and Management (PMM) 后无法访问Web界面，常见原因之一是防火墙或安全组未开放PMM默认端口（通常为443或80）。即使服务已正常启动，若系统防火墙（如iptables或firewalld）或云服务商安全组规则未放行对应端口，外部请求将被阻断，导致浏览器无法加载PMM Web页面。建议检查服务器本地防火墙设置，确认pmm-server容器或服务监听状态，并确保网络策略允许目标端口通信。

Answer 1

1. 初步排查：确认 PMM 服务是否正常运行

在遇到无法访问 PMM Web 界面的问题时，首要任务是确认 pmm-server 容器或服务是否已成功启动。可以通过以下命令检查容器状态：

docker ps | grep pmm-server

若容器未运行，需查看日志定位问题：

docker logs pmm-server

确保输出中无严重错误（如端口冲突、存储挂载失败等），并观察是否有类似“PMM Server is ready”的提示信息。

2. 端口监听状态验证

PMM 默认使用 HTTPS 端口 443 和 HTTP 端口 80 提供 Web 访问服务。即使容器运行正常，若未正确绑定端口或被其他进程占用，外部仍无法访问。

使用 netstat 或 ss 命令检查本地端口监听情况：

ss -tuln | grep ':443\|:80'

预期输出应包含 0.0.0.0:443 或 [::]:443 的 LISTEN 状态。若无输出，则可能是容器启动时未映射端口，或配置文件中禁用了对应协议。

3. 防火墙策略分析（系统级）

Linux 主机常启用 firewalld 或 iptables 进行流量控制。即使服务监听正常，防火墙可能拦截入站请求。

对于使用 firewalld 的系统（如 CentOS/RHEL 7+）：

firewall-cmd --list-services
firewall-cmd --permanent --add-service=https
firewall-cmd --reload

若使用 iptables，可通过以下命令临时放行端口：

iptables -I INPUT -p tcp --dport 443 -j ACCEPT
iptables-save > /etc/iptables/rules.v4

4. 云环境安全组规则审查

在 AWS、阿里云、腾讯云等 IaaS 平台部署 PMM 时，安全组（Security Group） 是关键网络屏障。即使主机防火墙开放，若安全组未允许 443/80 入站流量，外部访问仍将被阻断。

建议操作流程如下：

1. 登录云控制台，进入实例详情页
2. 查看关联的安全组列表
3. 编辑入站规则，添加类型为“HTTPS”或自定义 TCP 端口 443 的规则
4. 源地址建议设置为特定 IP 段或 0.0.0.0/0（测试环境）
5. 保存后等待策略生效（通常秒级）

5. 多维度连通性测试方案

为全面验证网络可达性，可采用分层测试法：

测试层级	工具/命令	目的
本地回环	curl -k https://localhost	验证服务本地响应能力
局域网可达	curl -k https://<server_ip>	从同网段机器测试
TCP 连通性	telnet <server_ip> 443	检测端口是否开放
DNS 解析	nslookup pmm.example.com	排除域名解析问题
路径追踪	traceroute --tcp --port=443 <server_ip>	识别中间节点拦截

6. Docker 网络与端口映射深度诊断

当 PMM 以容器方式部署时，Docker 的网络模式直接影响端口暴露行为。常见问题包括：

• 容器未使用 -p 443:443 显式映射端口
• 使用了 host 网络但宿主防火墙未放行
• SELinux 或 AppArmor 限制容器网络权限

可通过以下命令检查容器端口映射：

docker port pmm-server

输出示例：
443/tcp -> 0.0.0.0:443
若无此输出，说明端口未正确暴露。

7. 架构视角下的综合排错流程图

以下是基于企业级运维实践构建的 PMM Web 访问故障排查流程：

graph TD
    A[用户无法访问 PMM Web] --> B{pmm-server 容器运行?}
    B -- 否 --> C[启动容器并查看日志]
    B -- 是 --> D{端口443监听?}
    D -- 否 --> E[检查Docker端口映射]
    D -- 是 --> F{本地curl成功?}
    F -- 否 --> G[检查Nginx/PMM服务状态]
    F -- 是 --> H{跨主机telnet 443通?}
    H -- 否 --> I[检查firewalld/iptables]
    H -- 是 --> J{云安全组放行?}
    J -- 否 --> K[配置安全组规则]
    J -- 是 --> L[检查负载均衡或反向代理]
    L --> M[最终用户可访问]
    

8. 高阶场景：混合部署与反向代理集成

在生产环境中，PMM 常通过 Nginx 或 HAProxy 反向代理对外提供服务，此时原始端口可能非直接暴露。需确认：

• 代理服务器是否正确转发至 https://127.0.0.1:8443（PMM 内部端口）
• SSL 证书配置是否匹配域名
• X-Forwarded-* 头部是否传递客户端真实IP

Nginx 示例配置片段：

server {
    listen 443 ssl;
    server_name pmm.prod.internal;
    ssl_certificate /etc/nginx/certs/pmm.crt;
    ssl_certificate_key /etc/nginx/certs/pmm.key;

    location / {
        proxy_pass https://127.0.0.1:8443;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}