سرویس 503 در دسترس نیست - ایجاد تونل پراکسی با 403 انجام نشد

شما در حال مشاهده مستندات Apigee Edge هستید.
به مستندات Apigee X مراجعه کنید . اطلاعات

علامت

برنامه‌ی کلاینت، کد وضعیت HTTP 503 Service Unavailable را به همراه کد خطای protocol.http.ProxyTunnelCreationFailed به عنوان پاسخی برای فراخوانی‌های API دریافت می‌کند.

پیام خطا

برنامه‌ی کلاینت کد پاسخ زیر را دریافت می‌کند:

HTTP/1.1 503 Service Unavailable

علاوه بر این، ممکن است پیام خطای زیر را مشاهده کنید:

{
   "fault":{
      "faultstring":"Proxy refused to create tunnel with response status 403",
      "detail":{
         "errorcode":"protocol.http.ProxyTunnelCreationFailed"
      }
   }
}

پروکسی رو به جلو و تونلینگ

Apigee Edge به پروکسی‌های API شما اجازه می‌دهد تا از طریق یک پروکسی سرور، همانطور که در بخش پیکربندی پروکسی رو به جلو توضیح داده شده است، با سرور backend شما ارتباط برقرار کنند. پروکسی سرور بسته به نوع پروکسی ( که با ویژگی HTTPClient.proxy.type نشان داده شده است) مورد استفاده، یک اتصال امن (HTTPS) یا غیر امن (HTTP) به سرور backend باز می‌کند و داده‌ها را در هر دو جهت منتقل می‌کند. این عمل به عنوان تونلینگ شناخته می‌شود.

به طور پیش‌فرض، Apigee Edge برای تمام ترافیک از تونلینگ استفاده می‌کند. برای غیرفعال کردن تونلینگ، ویژگی HTTPClient.use.tunneling باید روی false تنظیم شود.

کد خطا: protocol.http.ProxyTunnelCreationFailed

اگر سرور پروکسی به دلیل مشکلاتی مانند فایروال، محدودیت‌های ACL (لیست کنترل دسترسی)، مشکلات DNS، در دسترس نبودن سرور backend، timeout و غیره قادر به ایجاد تونل بین Apigee Edge و سرور backend نباشد، Apigee Edge کد خطای protocol.http.ProxyTunnelCreationFailed را برمی‌گرداند.

کد وضعیت موجود در رشته‌ی faultstring پاسخ از Apigee Edge معمولاً نشان‌دهنده‌ی یک علت سطح بالای احتمالی است که منجر به این خطا شده است.

الگوی رشته خطا:

Proxy refused to create tunnel with response status STATUS_CODE

دلایل احتمالی برخی از کدهای وضعیت مشاهده شده در faultstring:

جدول زیر دلایل احتمالی را بسته به کد وضعیت نشان داده شده در faultstring شرح می‌دهد:

بسته به کد وضعیت مشاهده شده در faultstring ، شما باید از تکنیک‌های مناسب برای عیب‌یابی مشکل استفاده کنید. این راهنما توضیح می‌دهد که اگر کد وضعیت 403 را در faultstring برای کد خطای protocol.http.ProxyTunnelCreationFailed مشاهده کردید، چگونه مشکل را عیب‌یابی کنید.

علل احتمالی

این خطا (کد وضعیت 403 ) در صورتی رخ می‌دهد که محدودیت‌های فایروال یا ACL (لیست کنترل دسترسی) روی سرور backend پیکربندی شده باشد که مانع از ایجاد تونل بین Apigee Edge و سرور backend توسط سرور پروکسی می‌شود.

مراحل تشخیص مشترک

برای تشخیص این خطا از یکی از ابزارها/تکنیک‌های زیر استفاده کنید:

علت: پروکسی از ایجاد تونل با وضعیت پاسخ ۴۰۳ خودداری کرد

تشخیص

1. کد خطا و منبع خطا را برای 503 Service Unavailable با استفاده از ابزار Trace یا گزارش‌های دسترسی NGINX، همانطور که در مراحل تشخیص مشترک توضیح داده شده است، تعیین کنید.
2. پیام خطا را بررسی کنید و کد وضعیت نشان داده شده در faultstring را برای عدم موفقیت در ایجاد تونل تعیین کنید.
3. در این سناریو، کد وضعیت 403 است که به معنی ممنوعه (Forbidden ) است.
4. این بدان معناست که حقوق یا امتیازات کافی برای ایجاد تونل وجود ندارد. این معمولاً زمانی اتفاق می‌افتد که محدودیت‌هایی از سوی فایروال یا ACL (لیست کنترل دسترسی) وجود داشته باشد که از ایجاد تونل جلوگیری کند.
5. هرگونه محدودیت فایروال و/یا ACL که روی سرور backend شما پیکربندی شده و می‌تواند از ایجاد تونل جلوگیری کند را بررسی کنید.
6. بسته به نوع فایروال و/یا محدودیت‌های ACL، باید مشکل را به طور مناسب برطرف کنید.

7. بیایید یک مثال از محدودیت فایروال بزنیم تا نحوه عیب‌یابی و حل این مشکل را توضیح دهیم:

   سناریو: محدودیت فایروال روی سرور backend انتظار دارد که Host Header همیشه حاوی نام میزبان سرور backend باشد.

   شما می‌توانید از یکی از روش‌های زیر برای تعیین Host Header ارسال شده توسط Apigee Edge استفاده کنید:

   ردیابی

   برای تعیین Host Header با استفاده از Trace:

   1. با استفاده از ردیابی، همانطور که در مراحل تشخیص مشترک توضیح داده شده است، مطمئن شوید که رشته faultstring شامل خطای Proxy refused to create tunnel with response status 403 .
   2. به مرحله‌ی «جریان درخواست هدف آغاز شده» بروید و هدرهای درخواست را بررسی کنید.
   3. مقدار نام میزبان مشخص شده در سربرگ میزبان در بخش سربرگ‌های درخواست را تأیید کنید.
   4. اگر هدر Host شامل نام میزبان پروکسی باشد، دلیل این خطا همین است.
   5. دلیل این امر این است که فایروال روی سرور backend پیکربندی شده است تا فقط درخواست‌هایی را بپذیرد که Host Header حاوی نام سرور backend باشد.
   6. بنابراین وقتی سرور پروکسی سعی می‌کند تونلی با سرور backend ایجاد کند، با خطای زیر مواجه می‌شود:

      Proxy refused to create tunnel with response status 403 .

      نمونه ردیابی که هدر میزبان را با نام میزبان پروکسی نشان می‌دهد

      ( تصویر را بزرگتر ببینید )

      

      در نمونه ردیابی نشان داده شده در بالا، نشان می‌دهد که Host Header شامل نام پروکسی هاست www.proxyserver.com . از آنجایی که یک محدودیت فایروال روی سرور backend پیکربندی شده است که انتظار دارد فقط نام میزبان سرور backend در Host Header موجود باشد، خطای Proxy refused to create tunnel with response status 403 دریافت می‌کنید.

   تی‌سی‌پی‌دامپ

   برای تعیین Host Header با استفاده از tcpdump

   1. با دستور زیر، یک tcpdump روی سرور پروکسی برای درخواست‌های دریافتی از کامپوننت Message Processor در Apigee Edge ضبط کنید:

      tcpdump -i any -s 0 host MP_IP_ADDRESS -w FILE_NAME
      

      برای اطلاعات بیشتر در مورد استفاده از دستور tcpdump ، به tcpdump مراجعه کنید.

   2. داده‌های tcpdump را با استفاده از ابزار Wireshark یا ابزاری مشابه تجزیه و تحلیل کنید.

   3. در اینجا یک نمونه تحلیل از tcpdump با استفاده از Wireshark آورده شده است:

      ( تصویر را بزرگتر ببینید )

      
   4. بسته‌های شماره ۱۳ ، ۱۴ و ۱۵ نشان می‌دهند که پردازشگر پیام از طریق یک فرآیند دست‌دهی سه‌طرفه TCP در حال برقراری ارتباط با سرور پروکسی است.
   5. در بسته ۱۶ ، پردازشگر پیام به میزبان پروکسی httpbin.org (که در مثال بالا نشان داده شده است) متصل شده است.

   6. بسته ۱۶ را انتخاب کنید و محتوای بسته و به طور خاص Host Header که توسط پردازنده پیام به سرور پروکسی منتقل می‌شود را با جزئیات بررسی کنید.

      
   7. نمونه بالا Host Header httpin.org را نشان می‌دهد که نام میزبان سرور پروکسی است. بنابراین، هنگامی که سرور پروکسی سعی می‌کند با ارسال Host Header httpin.org فوق، تونلی با سرور backend ایجاد کند، با خطای Proxy refused to create tunnel with response status 403 مواجه می‌شود.

وضوح تصویر

سناریو: محدودیت فایروال روی سرور پروکسی انتظار دارد که Host Header همیشه حاوی نام میزبان سرور backend باشد.

اگر متوجه شدید که این خطا به دلیل پیکربندی فایروال سرور backend به گونه‌ای است که انتظار دارد Host Header همیشه حاوی نام میزبان سرور backend باشد، در حالی که پردازنده پیام، نام میزبان سرور پروکسی را ارسال می‌کند، مراحل زیر را برای حل مشکل انجام دهید:

1. همانطور که در مثال زیر نشان داده شده است، ویژگی use.proxy.host.header.with.target.uri را در TargetEndpoint روی true تنظیم کنید:

   نمونه پیکربندی TargetEndpoint:

   <TargetEndpoint name="default">
     <HTTPTargetConnection>
       <URL>https://mocktarget.apigee.net/json</URL>
       <Properties>
         <Property name="use.proxy.host.header.with.target.uri">true</Property>
       </Properties>
     </HTTPTargetConnection>
   </TargetEndpoint>

2. مطمئن شوید که سایر ویژگی‌های مربوط به forward proxy در Message Processor به صورت زیر پیکربندی شده‌اند:

   1. فایل /opt/apigee/customer/application/message-processor.properties را روی هر یک از پردازنده‌های پیام بررسی کنید.

   2. مطمئن شوید که ویژگی‌های زیر مطابق با مورد استفاده یا الزامات شما تنظیم شده‌اند:

      مقادیر نمونه برای ویژگی‌ها:

      conf_http_HTTPClient.use.proxy=true
      conf/http.properties+HTTPClient.proxy.type=HTTP
      conf/http.properties+HTTPClient.proxy.host=PROXY_SERVER_HOST_NAME
      conf/http.properties+HTTPClient.proxy.port=PORT_#
      conf/http.properties+HTTPClient.proxy.user=USERNAME
      conf/http.properties+HTTPClient.proxy.password=PASSWORD

باید اطلاعات تشخیصی جمع‌آوری کند

اگر مشکل حتی پس از دنبال کردن دستورالعمل‌های بالا ادامه داشت، اطلاعات تشخیصی زیر را جمع‌آوری کنید و سپس با پشتیبانی Apigee Edge تماس بگیرید:

اگر کاربر Private Cloud هستید، اطلاعات زیر را ارائه دهید:

• پیام خطای کامل مشاهده شده برای درخواست‌های ناموفق
• نام محیط
• بسته پروکسی API
• فایل ردیابی برای درخواست‌های API

• گزارش‌های دسترسی NGINX

  /opt/apigee/var/log/edge-router/nginx/ ORG ~ ENV . PORT# _access_log

  که در آن: ORG ، ENV و PORT# با مقادیر واقعی جایگزین شده‌اند.

• گزارش‌های سیستم پردازشگر پیام

  /opt/apigee/var/log/edge-message-processor/logs/system.log

منابع

• پیکربندی پروکسی فوروارد
• تونلینگ SSL