503 Usługa jest niedostępna – nie udało się utworzyć tunelu proxy z błędem 403

Przeglądasz dokumentację Apigee Edge.
Przejdź do Dokumentacja Apigee X. informacje.

Krótki opis problemu

Aplikacja kliencka otrzymuje kod stanu HTTP 503 Service Unavailable z parametrem kod błędu protocol.http.ProxyTunnelCreationFailed jako odpowiedź na wywołania interfejsu API.

Komunikat o błędzie

Aplikacja kliencka otrzymuje ten kod odpowiedzi:

HTTP/1.1 503 Service Unavailable

Możesz też zobaczyć następujący komunikat o błędzie:

{
   "fault":{
      "faultstring":"Proxy refused to create tunnel with response status 403",
      "detail":{
         "errorcode":"protocol.http.ProxyTunnelCreationFailed"
      }
   }
}

Przekieruj serwer proxy i tunelowanie

Apigee Edge zezwala serwerom proxy interfejsu API na komunikację z serwerem backendu przez serwer proxy zgodnie z opisem na stronie Skonfiguruj serwer proxy przekierowania. Serwer proxy otwiera bezpieczny (HTTPS) lub niezabezpieczone (HTTP) z serwerem backendu w zależności od typu serwera proxy przez usługę HTTPClient.proxy.type) i przesyła dane, w obu kierunkach. Jest to tzw. tunelowanie.

Domyślnie Apigee Edge używa tunelowania dla całego ruchu. Aby wyłączyć tunelowanie, właściwość Pole HTTPClient.use.tunneling musi mieć wartość false.

Kod błędu: Protocol.http.ProxyTunnelCreationFailed

Apigee Edge zwraca kod błędu protocol.http.ProxyTunnelCreationFailed, jeśli Serwer proxy nie może utworzyć tunelu między Apigee Edge a serwerem backendu z powodu problemy takie jak zapora sieciowa, ograniczenia ACL (listy kontroli dostępu), problemy z systemem DNS, serwer backendu niedostępność, przekroczenie limitu czasu itp.

Zwykle kod stanu w faultstring odpowiedzi z Apigee Edge wskazuje ogólną możliwą przyczynę tego błędu.

Szablon błędu:

Proxy refused to create tunnel with response status STATUS_CODE

Możliwe przyczyny niektórych kodów stanu zaobserwowanych w ciągu błędów:

W poniższej tabeli opisano możliwe przyczyny w zależności od kodu stanu wskazanego w faultstring:

W zależności od kodu stanu zaobserwowanego w faultstring musisz użyć za pomocą odpowiednich metod, aby rozwiązać problem. Z tego poradnika dowiesz się, jak rozwiązać problemy problem, jeśli w tabeli faultstring widzisz kod stanu 403 dla kodu błędu protocol.http.ProxyTunnelCreationFailed.

Możliwe przyczyny

Ten błąd (kod stanu 403) występuje, jeśli istnieje zapora sieciowa lub lista kontroli dostępu (ACL) listy kontrolnej) skonfigurowanych na serwerze backendu, które uniemożliwiają uruchomienie tunelu utworzona między Apigee Edge a serwerem backendu przez serwer proxy.

Typowe kroki diagnostyki

Użyj jednego z tych narzędzi lub metod, aby zdiagnozować ten błąd:

Przyczyna: serwer proxy odmówił utworzenia tunelu ze stanem odpowiedzi 403

Diagnostyka

1. Określ kod błędu i źródło błędu dla 503 Service Unavailable przy użyciu narzędzia Trace Tool lub logów dostępu NGINX, jak opisano w artykule Najczęstsze czynności diagnostyczne.
2. Zapoznaj się z komunikatem o błędzie i określ kod stanu. wskazany w faultstring jako błąd podczas tworzenia tunelu.
3. W tym scenariuszu kod stanu to 403, co oznacza Zabroniony.
4. Oznacza to, że nie masz wystarczających uprawnień, aby utworzyć tunel. Może to spowodować zwykle występuje w przypadku ograniczeń zapory sieciowej lub listy kontroli dostępu (ACL), które uniemożliwia utworzenie tunelu.
5. Sprawdź wszystkie ograniczenia zapory sieciowej i/lub listy kontroli dostępu skonfigurowane na serwerze backendu, może uniemożliwić utworzenie tunelu.
6. W zależności od typu zapory sieciowej lub ograniczeń listy kontroli dostępu (ACL) musisz rozwiązać ten problem. w odpowiedni sposób.

7. Przeanalizujmy przykładowe ograniczenie zapory sieciowej, aby wyjaśnić, jak rozwiązać ten problem. problem:

   Scenariusz: ograniczenie zapory sieciowej na serwerze backendu oczekuje, że nagłówek hosta powinien być zawsze zawierają nazwę hosta serwera backendu

   Nagłówek hosta przekazywany przez Apigee Edge możesz określić na jeden z tych sposobów:

   Śledzenie

   Aby określić nagłówek hosta za pomocą śledzenia:

   1. Upewnij się, że pole faultstring zawiera Proxy refused to create tunnel with response status 403, korzystając ze śledzenia, jak wyjaśniliśmy w tym artykule: Najczęstsze czynności diagnostyczne.
   2. Przejdź do etapu Target Request Przepływ uruchomiony i przejrzyj Nagłówki żądań
   3. Sprawdź wartość nazwy hosta podanej w polu Nagłówek hosta w polu Request Headers (Nagłówki żądań).
   4. Jeśli nagłówek Host zawiera nazwę hosta proxy, jest to wartość przyczynę tego błędu.
   5. Dzieje się tak, ponieważ zapora sieciowa jest skonfigurowana na serwerze backendu tak, aby akceptowała dyrektywę żądania tylko wtedy, gdy Nagłówek hosta zawiera nazwę serwera backendu.
   6. Gdy serwer proxy próbuje utworzyć tunel z serwerem backendu, kończy się niepowodzeniem i zostaje wyświetlony błąd

      Proxy refused to create tunnel with response status 403.

      Przykładowy log czasu pokazujący, że nagłówek hosta zawiera nazwę hosta serwera proxy

      ( wyświetl większy obraz)

      

      W przykładowym logu czasu powyżej widać, że Nagłówek hosta zawiera nazwa hosta proxy.www.proxyserver.com. Ponieważ ograniczenie zapory sieciowej skonfigurowane na serwerze backendu, które oczekuje wyłącznie nazwa hosta serwera backendu, która ma być zawarta w nagłówku hosta, otrzymasz wartość błąd Proxy refused to create tunnel with response status 403.

   tcpdump

   Aby określić nagłówek hosta za pomocą narzędzia tcpdump

   1. Przechwyć interfejs tcpdump na serwerze proxy dla żądań pochodzących z Komponent procesora wiadomości Apigee Edge za pomocą tego polecenia:

      tcpdump -i any -s 0 host MP_IP_ADDRESS -w FILE_NAME
      

      Więcej informacji o używaniu polecenia tcpdump znajdziesz w sekcji tcpdump.

   2. Analizuj dane typu tcpdump, korzystając z Wireshark lub podobnego narzędzia. .

   3. Oto przykładowa analiza tcpdump za pomocą programu Wireshark:

      ( wyświetl większy obraz)

      
   4. Numery 13, 14 i 15 wskazują, że wiadomość Procesor nawiązuje połączenie z serwerem proxy za pomocą trójkierunkowego protokołu TCP procesu uzgadniania połączenia.
   5. W pakiecie 16 procesor wiadomości połączył się z hostem serwera proxy httpbin.org (widoczne w przykładzie powyżej).

   6. Wybierz pakiet 16 i szczegółowo zapoznaj się z jego treścią oraz zwłaszcza nagłówek hosta przekazywany do serwera proxy przez komponent Message Procesor.

      
   7. W przykładzie powyżej widać nagłówek hosta httpin.org, który to nazwa hosta serwera proxy. Dlatego gdy serwer proxy próbuje utwórz tunel z serwerem backendu, przekazując powyższy nagłówek hosta httpin.org kończy się błędem Proxy refused to create tunnel with response status 403.

Rozdzielczość

Scenariusz: ograniczenie zapory sieciowej na serwerze proxy oczekuje, że nagłówek hosta powinien zawsze zawierają nazwę hosta serwera backendu

Jeśli wiesz, że ten błąd jest spowodowany tym, że zapora sieciowa na serwerze backendu skonfigurowano w taki sposób, że element Nagłówek hosta powinien zawsze zawierać serwer backend. podczas gdy procesor wiadomości wysyła nazwę hosta serwera proxy, a następnie wykonaj wykonaj te czynności, by rozwiązać problem:

1. Ustaw właściwość use.proxy.host.header.with.target.uri na „true” w Docelowy punkt końcowy jak w tym przykładzie:

   Przykładowa konfiguracja docelowego punktu końcowego:

   <TargetEndpoint name="default">
     <HTTPTargetConnection>
       <URL>https://mocktarget.apigee.net/json</URL>
       <Properties>
         <Property name="use.proxy.host.header.with.target.uri">true</Property>
       </Properties>
     </HTTPTargetConnection>
   </TargetEndpoint>

2. Upewnij się, że pozostałe właściwości powiązane z zapytaniem proxy przekierowania są skonfigurowane w procesorze wiadomości w ten sposób:

   1. Sprawdź plik /opt/apigee/customer/application/message-processor.properties na każdym z procesorów wiadomości.

   2. Upewnij się, że te właściwości są ustawione zgodnie z Twoim przypadkiem użycia lub wymaganiami:

      Przykładowe wartości właściwości:

      conf_http_HTTPClient.use.proxy=true
      conf/http.properties+HTTPClient.proxy.type=HTTP
      conf/http.properties+HTTPClient.proxy.host=PROXY_SERVER_HOST_NAME
      conf/http.properties+HTTPClient.proxy.port=PORT_#
      conf/http.properties+HTTPClient.proxy.user=USERNAME
      conf/http.properties+HTTPClient.proxy.password=PASSWORD

Musi zbierać informacje diagnostyczne

Jeśli po wykonaniu powyższych czynności problem nie ustąpi, zwróć uwagę na informacje diagnostyczne, a następnie skontaktuj się z zespołem pomocy Apigee Edge:

Jeśli jesteś użytkownikiem Private Cloud, podaj te informacje:

• Pełny komunikat o błędzie zaobserwowany dla nieudanych żądań
• Nazwa środowiska
• Pakiet serwerów proxy interfejsu API
• Plik śledzenia żądań do interfejsu API

• Logi dostępu NGINX

  /opt/apigee/var/log/edge-router/nginx/ORG~ENV.PORT#_access_log

  Gdzie: wartości ORG, ENV i PORT# są zastępowane rzeczywistymi wartościami.

• Logi systemowe procesora wiadomości

  /opt/apigee/var/log/edge-message-processor/logs/system.log

Pliki referencyjne

• Skonfiguruj serwer proxy przekierowania
• Tunelowanie SSL