503 Hizmeti Kullanılamıyor - Proxy tüneli oluşturma işlemi 403 ile başarısız oldu

Apigee Edge belgelerini görüntülüyorsunuz.
Apigee X belgelerine gidin. bilgi

Belirti

İstemci uygulaması, API çağrılarına yanıt olarak 503 Service Unavailable HTTP durum kodunu protocol.http.ProxyTunnelCreationFailed hata koduyla birlikte alır.

Hata mesajı

İstemci uygulaması aşağıdaki yanıt kodunu alır:

HTTP/1.1 503 Service Unavailable

Ayrıca aşağıdaki hata mesajını da görebilirsiniz:

{
   "fault":{
      "faultstring":"Proxy refused to create tunnel with response status 403",
      "detail":{
         "errorcode":"protocol.http.ProxyTunnelCreationFailed"
      }
   }
}

Yönlendirme proxy'si ve tünel oluşturma

Apigee Edge, İletme proxy'sini yapılandırma bölümünde açıklandığı gibi API proxy'lerinizin bir proxy sunucusu aracılığıyla arka uç sunucunuzla iletişim kurmasına olanak tanır. Proxy sunucu, kullanılan proxy türüne ( HTTPClient.proxy.type özelliğiyle belirtilir) bağlı olarak arka uç sunucuyla güvenli (HTTPS) veya güvenli olmayan (HTTP) bir bağlantı açar ve verileri her iki yönde de aktarır. Bu işleme tünel oluşturma adı verilir.

Apigee Edge, varsayılan olarak tüm trafik için tünel oluşturmayı kullanır. Tünel oluşturmayı devre dışı bırakmak için HTTPClient.use.tunneling özelliği false olarak ayarlanmalıdır.

Hata kodu: protocol.http.ProxyTunnelCreationFailed

Apigee Edge, güvenlik duvarı, ACL (Erişim Kontrol Listesi) kısıtlamaları, DNS sorunları, arka uç sunucusunun kullanılamaması, zaman aşımları vb. gibi sorunlar nedeniyle proxy sunucusu Apigee Edge ile arka uç sunucusu arasında tünel oluşturamıyorsa protocol.http.ProxyTunnelCreationFailed hata kodunu döndürür.

Apigee Edge'den gelen yanıttaki faultstring durum kodu genellikle bu hataya yol açan olası bir üst düzey nedeni gösterir.

Faultstring şablonu:

Proxy refused to create tunnel with response status STATUS_CODE

Hata dizesinde gözlemlenen durum kodlarından bazılarının olası nedenleri:

Aşağıdaki tabloda, faultstring içinde belirtilen durum koduna bağlı olarak olası nedenler açıklanmaktadır:

faultstring içinde gözlemlenen durum koduna bağlı olarak, sorunu gidermek için uygun teknikleri kullanmanız gerekir. Bu oyun kitabı, hata kodu protocol.http.ProxyTunnelCreationFailed için faultstring bölümünde durum kodu 403 ile karşılaşırsanız sorunu nasıl gidereceğinizi açıklar.

Olası nedenler

Bu hata (durum kodu 403), arka uç sunucusunda tünelin proxy sunucusu tarafından Apigee Edge ile arka uç sunucusu arasında oluşturulmasını engelleyen güvenlik duvarı veya ACL (Erişim Kontrol Listesi) kısıtlamaları yapılandırılmışsa oluşur.

Sık karşılaşılan teşhis adımları

Bu hatayı teşhis etmek için aşağıdaki araçlardan/tekniklerden birini kullanın:

Nedeni: Proxy, 403 yanıt durumuyla tünel oluşturmayı reddetti

Teşhis

1. 503 Service Unavailable için Hata Kodunu ve Hata Kaynağını, Genel teşhis adımları bölümünde açıklandığı gibi İzleme Aracı veya NGINX erişim günlüklerini kullanarak belirleyin.
2. Hata Mesajı'nı inceleyin ve tünel oluşturma işlemindeki hataya neden olan faultstring'de belirtilen durum kodunu belirleyin.
3. Bu senaryoda durum kodu 403'dır. Bu, Yasak anlamına gelir.
4. Bu, tüneli oluşturmak için yeterli hak veya ayrıcalık olmadığı anlamına gelir. Bu durum genellikle tünelin oluşturulmasını engelleyen güvenlik duvarı veya EKL (Erişim Kontrol Listesi) kısıtlamaları olduğunda ortaya çıkar.
5. Arka uç sunucunuzda yapılandırılan ve tünel oluşturulmasını engelleyebilecek güvenlik duvarı ve/veya ACL kısıtlamalarını inceleyin.
6. Güvenlik duvarı ve/veya ACL kısıtlamalarının türüne bağlı olarak sorunu uygun şekilde düzeltmeniz gerekir.

7. Bu sorunu nasıl gidereceğinizi ve çözeceğinizi açıklamak için örnek bir güvenlik duvarı kısıtlaması ele alalım:

   Senaryo: Arka uç sunucusundaki güvenlik duvarı kısıtlaması, ana makine üstbilgisinin her zaman arka uç sunucusu ana makine adını içermesini bekliyor

   Apigee Edge tarafından iletilen Host üstbilgisini belirlemek için aşağıdaki yöntemlerden birini kullanabilirsiniz:

   Trace

   Trace'i kullanarak ana makine başlığını belirlemek için:

   1. faultstring içinde Proxy refused to create tunnel with response status 403 bulunduğunu, Yaygın teşhis adımları bölümünde açıklandığı şekilde izleme kullanarak doğrulayın.
   2. Target Request Flow Started (Hedef istek akışı başlatıldı) aşamasına gidin ve Request Headers'ı (İstek başlıkları) inceleyin.
   3. İstek Başlıkları bölümündeki Ana makine başlığında belirtilen ana makine adının değerini doğrulayın.
   4. Host başlığı proxy ana makine adını içeriyorsa bu hatanın nedeni budur.
   5. Bunun nedeni, güvenlik duvarının arka uç sunucusunda yalnızca Host üstbilgisi arka uç sunucusunun adını içeriyorsa istekleri kabul edecek şekilde yapılandırılmış olmasıdır.
   6. Bu nedenle, proxy sunucu arka uç sunucuyla tünel oluşturmaya çalıştığında

      Proxy refused to create tunnel with response status 403.

      Ana makine üstbilgisinin proxy ana makine adını içerdiğini gösteren örnek izleme

      ( daha büyük resmi görüntüle)

      

      Yukarıda gösterilen örnek izlemede, Host Header'ın proxy ana makinesinin adını içerdiği gösteriliyor. www.proxyserver.com. Arka uç sunucusunda yalnızca arka uç sunucusu ana makine adının Host Header'da bulunmasını bekleyen bir güvenlik duvarı kısıtlaması yapılandırıldığından Proxy refused to create tunnel with response status 403 hatasını alıyorsunuz.

   tcpdump

   tcpdump kullanarak ana makine üstbilgisini belirlemek için:

   1. Aşağıdaki komutla Apigee Edge'in Mesaj İşleyici bileşeninden gelen istekler için proxy sunucusunda tcpdump yakalayın:

      tcpdump -i any -s 0 host MP_IP_ADDRESS -w FILE_NAME
      

      tcpdump komutunu kullanma hakkında daha fazla bilgi için tcpdump başlıklı makaleyi inceleyin.

   2. tcpdump verilerini Wireshark aracı veya benzer bir araç kullanarak analiz edin.

   3. Wireshark kullanılarak tcpdump ile ilgili örnek bir analiz aşağıda verilmiştir:

      ( daha büyük resmi görüntüle)

      
   4. 13, 14 ve 15 numaralı paketler, Mesaj İşleyici'nin üç yönlü TCP el sıkışma süreciyle proxy sunucusuna bağlantı kurduğunu gösteriyor.
   5. 16 numaralı pakette, Mesaj İşleyici, proxy ana makinesine httpbin.org bağlanmıştır (yukarıdaki örnekte gösterilmiştir).

   6. Paket 16'yı seçin ve paketin içeriğini ayrıntılı olarak inceleyin. Özellikle de Mesaj İşleyici tarafından proxy sunucusuna iletilen Host Header'ı (Ana Makine Başlığı) inceleyin.

      
   7. Yukarıdaki örnekte, proxy sunucusunun ana makine adı olan Host Header httpin.org gösterilmektedir. Bu nedenle, proxy sunucusu yukarıdaki Host Header'ı httpin.org ileterek arka uç sunucusuyla tünel oluşturmaya çalıştığında Proxy refused to create tunnel with response status 403 hatasıyla başarısız olur.

Çözünürlük

Senaryo: Proxy sunucusundaki güvenlik duvarı kısıtlaması, ana makine üstbilgisinin her zaman arka uç sunucunun ana makine adını içermesini bekliyor

Bu hatanın, arka uç sunucusundaki güvenlik duvarının Host Header'ın her zaman backend sunucusu ana makine adını içerecek şekilde yapılandırılmasından kaynaklandığını belirlediyseniz ve Mesaj İşleyici proxy sunucusu ana makine adını gönderiyorsa sorunu çözmek için aşağıdaki adımları uygulayın:

1. Aşağıdaki örnekte gösterildiği gibi, TargetEndpoint'te use.proxy.host.header.with.target.uri özelliğini true olarak ayarlayın:

   Örnek TargetEndpoint yapılandırması:

   <TargetEndpoint name="default">
     <HTTPTargetConnection>
       <URL>https://mocktarget.apigee.net/json</URL>
       <Properties>
         <Property name="use.proxy.host.header.with.target.uri">true</Property>
       </Properties>
     </HTTPTargetConnection>
   </TargetEndpoint>

2. Yönlendirme proxy'si ile ilgili diğer özelliklerin, Mesaj İşleyici'de aşağıdaki gibi yapılandırıldığından emin olun:

   1. Her bir Mesaj İşleyici'deki /opt/apigee/customer/application/message-processor.properties dosyasını inceleyin.

   2. Aşağıdaki özelliklerin kullanım alanınıza veya koşullarınıza göre ayarlandığından emin olun:

      Özellikler için örnek değerler:

      conf_http_HTTPClient.use.proxy=true
      conf/http.properties+HTTPClient.proxy.type=HTTP
      conf/http.properties+HTTPClient.proxy.host=PROXY_SERVER_HOST_NAME
      conf/http.properties+HTTPClient.proxy.port=PORT_#
      conf/http.properties+HTTPClient.proxy.user=USERNAME
      conf/http.properties+HTTPClient.proxy.password=PASSWORD

Teşhis bilgilerini toplamalıdır

Yukarıdaki talimatları uyguladıktan sonra sorun devam ederse aşağıdaki teşhis bilgilerini toplayın ve Apigee Edge Destek Ekibi ile iletişime geçin:

Private Cloud kullanıcısıysanız aşağıdaki bilgileri sağlayın:

• Başarısız olan istekler için gözlemlenen hata mesajının tamamı
• Ortam adı
• API proxy paketi
• API istekleri için izleme dosyası

• NGINX erişim günlükleri

  /opt/apigee/var/log/edge-router/nginx/ORG~ENV.PORT#_access_log

  Nerede: ORG, ENV ve PORT# gerçek değerlerle değiştirilir.

• Mesaj işleyici sistem günlükleri

  /opt/apigee/var/log/edge-message-processor/logs/system.log

Referanslar

• İletme proxy'sini yapılandırma
• SSL Tünelleme