503 Service Unavailable - 403 でプロキシ トンネルの作成失敗

原因: プロキシがレスポンス ステータス 403 のトンネルの作成を拒否した

診断

1. 一般的な診断手順で説明されているように、Trace ツールまたは NGINX アクセスログを使用して、503 Service Unavailable の障害コードと障害ソースを特定します。
2. エラー メッセージを確認し、faultstring に表示されているステータス コード（トンネル作成の失敗について）を特定します。
3. このシナリオでは、ステータス コードは 403（禁止）です。
4. これは、トンネルを作成するための十分な権限がないことを意味します。これは通常、ファイアウォールまたは ACL（アクセス制御リスト）の制限によってトンネルの作成が妨げられている場合に発生することがあります。
5. バックエンド サーバーで構成されており、トンネルの作成を妨げる可能性のあるファイアウォールや ACL 制限を確認します。
6. ファイアウォールや ACL の制限の種類に応じて、問題を適切に修正する必要があります。

7. ここでは、ファイアウォールの制限の例を取り上げ、この問題のトラブルシューティング方法と解決方法について説明します。

   シナリオ: バックエンド サーバーのファイアウォールの制限で、Host ヘッダーに常にバックエンド サーバーのホスト名が含まれていると想定する

   次のいずれかの方法で、Apigee Edge から渡された Host ヘッダーを特定できます。

   Trace

   Trace を使用して Host ヘッダーを特定するには:

   1. 一般的な診断手順で説明されているトレースを使用して、faultstring に Proxy refused to create tunnel with response status 403 が含まれていることを確認します。
   2. 「Target Request Flow Started」フェーズに移動し、リクエスト ヘッダーを確認します。
   3. [リクエスト ヘッダー] セクションの Host ヘッダーで指定されているホスト名の値を確認します。
   4. Host ヘッダーにプロキシホスト名が含まれている場合、それがこのエラーの原因です。
   5. これは、ホストヘッダーにバックエンド サーバーの名前が含まれている場合にのみ、リクエストを受け入れるようにファイアウォールがバックエンド サーバーで構成されているためです。
   6. このため、プロキシ サーバーがバックエンド サーバーとのトンネルを作成しようとすると、次のエラーで失敗します。

      Proxy refused to create tunnel with response status 403.

      Host ヘッダーにプロキシのホスト名が含まれていることを示すトレースの例

      （ 拡大画像を表示）

      

      上記のサンプル トレースでは、ホストヘッダーにプロキシホスト www.proxyserver.com. の名前が含まれていることがわかります。これは、バックエンド サーバーにファイアウォール制限が構成されているため、Host ヘッダーにはバックエンド サーバーのホスト名のみが含まれるため、エラー Proxy refused to create tunnel with response status 403 が表示されます。

   tcpdump

   tcpdump を使用してホストヘッダーを特定するには

   1. 次のコマンドを実行し、Apigee Edge の Message Processor コンポーネントからのリクエストについて、プロキシ サーバーで tcpdump を取得します。

      tcpdump -i any -s 0 host MP_IP_ADDRESS -w FILE_NAME
      

      tcpdump コマンドの使用方法の詳細については、 tcpdump をご覧ください。

   2. Wireshark ツールまたは同様のツールを使用して tcpdump データを分析します。

   3. Wireshark を使用した場合の tcpdump の分析例を次に示します。

      （ 拡大画像を表示）

      
   4. パケット番号 13、14、15 は、Message Processor が 3 方向 TCP handshake プロセスによってプロキシ サーバーへの接続を確立していることを示します。
   5. パケット 16 では、Message Processor がプロキシホスト httpbin.org に接続しています（上の例を参照）。

   6. パケット 16 を選択し、パケットの内容を詳しく調べます。具体的には、Message Processor によってプロキシ サーバーに渡される Host Header を調べます。

      
   7. 上のサンプルは、ホストヘッダー httpin.org を示しています。これはプロキシ サーバーのホスト名です。このため、プロキシ サーバーが上記のホストヘッダー httpin.org を渡してバックエンド サーバーとのトンネルを作成しようとすると、エラー Proxy refused to create tunnel with response status 403 で失敗します。

解像度

シナリオ: プロキシ サーバーに対するファイアウォールの制限で、Host ヘッダーに常にバックエンド サーバーのホスト名が含まれていると想定する

バックエンド サーバーのファイアウォールが、Message Processor がバックエンド サーバーのホスト名を送信している間、ホスト ヘッダーに常にバックエンド サーバーのホスト名が含まれるように構成されているために、このエラーの原因であることが確認できたら、次の手順で問題を解決します。backendbackend

1. 次の例のように、TargetEndpoint でプロパティ use.proxy.host.header.with.target.uri を true に設定します。

   TargetEndpoint 構成の例:

   <TargetEndpoint name="default">
     <HTTPTargetConnection>
       <URL>https://mocktarget.apigee.net/json</URL>
       <Properties>
         <Property name="use.proxy.host.header.with.target.uri">true</Property>
       </Properties>
     </HTTPTargetConnection>
   </TargetEndpoint>
   

2. Message Processor で、 転送プロキシに関連するその他のプロパティが次のように構成されていることを確認します。

   1. 各 Message Processor のファイル /opt/apigee/customer/application/message-processor.properties を確認します。

   2. ユースケースまたは要件に従って次のプロパティが設定されていることを確認します。

      プロパティのサンプル値:

      conf_http_HTTPClient.use.proxy=true
      conf/http.properties+HTTPClient.proxy.type=HTTP
      conf/http.properties+HTTPClient.proxy.host=PROXY_SERVER_HOST_NAME
      conf/http.properties+HTTPClient.proxy.port=PORT_#
      conf/http.properties+HTTPClient.proxy.user=USERNAME
      conf/http.properties+HTTPClient.proxy.password=PASSWORD
      

診断情報の収集が必要な場合

上記の手順でも問題が解決しない場合は、次の診断情報を収集して Apigee Edge サポートに連絡してください。

Private Cloud ユーザーの場合は、次の情報を入力します。

• 失敗したリクエストについて確認された完全なエラー メッセージ
• 環境名
• API プロキシ バンドル
• API リクエストのトレース ファイル

• NGINX アクセスログ

  /opt/apigee/var/log/edge-router/nginx/ORG~ENV.PORT#_access_log

  ここで、ORG、ENV、PORT# は実際の値に置き換えられます。

• Message Processor のシステムログ

  /opt/apigee/var/log/edge-message-processor/logs/system.log
  

参照

• 転送プロキシを構成する
• SSL トンネリング