503 পরিষেবা অনুপলব্ধ - SSL হ্যান্ডশেক ব্যর্থতা৷

API মনিটরিং

পদ্ধতি #1: API মনিটরিং ব্যবহার করা

API মনিটরিং ব্যবহার করে ত্রুটি নির্ণয় করতে:

1. Apigee Edge UI এ একটি উপযুক্ত ভূমিকা সহ ব্যবহারকারী হিসাবে সাইন ইন করুন৷

2. আপনি যে সংস্থায় সমস্যাটি তদন্ত করতে চান সেখানে যান।

   
3. এনালাইজ > API মনিটরিং > ইনভেস্টিগেট পেজে নেভিগেট করুন।
4. নির্দিষ্ট সময়সীমা নির্বাচন করুন যেখানে আপনি ত্রুটিগুলি পর্যবেক্ষণ করেছেন।

5. সময়ের বিরুদ্ধে প্লট ফল্ট কোড ।

6. একটি সেল নির্বাচন করুন যার ফল্ট কোড আছে messaging.adaptors.http.flow.SslHandshakeFailed নীচে দেখানো হয়েছে:

   ( বড় ছবি দেখুন )

   

7. ফল্ট কোড messaging.adaptors.http.flow.SslHandshakeFailed সম্পর্কে তথ্য নীচে দেখানো হয়েছে:

   ( বড় ছবি দেখুন )

   

8. লগ দেখুন ক্লিক করুন এবং ব্যর্থ অনুরোধের জন্য সারি প্রসারিত করুন।

   ( বড় ছবি দেখুন )

   
9. লগ উইন্ডো থেকে, নিম্নলিখিত বিবরণ নোট করুন:
   • বার্তা আইডি অনুরোধ করুন
   • স্ট্যাটাস কোড: 503
   • ফল্ট উত্স: target
   • ফল্ট কোড: messaging.adaptors.http.flow.SslHandshakeFailed

ট্রেস

পদ্ধতি #2: ট্রেস টুল ব্যবহার করে

ট্রেস টুল ব্যবহার করে ত্রুটি নির্ণয় করতে:

1. ট্রেস সেশন সক্রিয় করুন এবং হয়
   • 503 Service Unavailable ত্রুটির জন্য অপেক্ষা করুন ত্রুটি কোড messaging.adaptors.http.flow.SslHandshakeFailed ঘটতে ব্যর্থ হয়েছে, অথবা
   • আপনি যদি সমস্যাটি পুনরুত্পাদন করতে পারেন, তাহলে সমস্যাটি পুনরুত্পাদন করতে API কল করুন 503 Service Unavailable

2. সমস্ত ফ্লোইনফোস সক্ষম করা আছে তা নিশ্চিত করুন:

   
3. ব্যর্থ অনুরোধগুলির একটি নির্বাচন করুন এবং ট্রেস পরীক্ষা করুন।
4. ট্রেসের বিভিন্ন পর্যায়ে নেভিগেট করুন এবং কোথায় ব্যর্থতা ঘটেছে তা সনাক্ত করুন।

5. আপনি ত্রুটিটি দেখতে পাবেন সাধারণত ফেজ টার্গেট রিকোয়েস্ট ফ্লো শুরু হওয়ার পর নিচে দেখানো হয়েছে:

   ( বড় ছবি দেখুন )

   
6. ট্রেস থেকে নিম্নলিখিত মান নোট করুন:
   • ত্রুটি: SSL Handshake failed sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
   • ভুল PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
   • error.class: com.apigee.errors.http.server.ServiceUnavailableException
   • ত্রুটির মান SSL Handshake failed sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target ইঙ্গিত দেয় যে SSL হ্যান্ডশেক এ ব্যর্থ হয়েছে, বার্তা প্রসেসর ব্যাকএন্ড সার্ভারের শংসাপত্র যাচাই করতে অক্ষম ছিল৷
7. ট্রেসে AX (Analytics Data Recorded) ফেজে নেভিগেট করুন এবং এটিতে ক্লিক করুন।

8. ফেজ বিশদ ত্রুটি শিরোনাম বিভাগে নিচে স্ক্রোল করুন এবং নীচে দেখানো হিসাবে X-Apigee-fault-code এবং X-Apigee-fault-source , এবং X-Apigee-বার্তা-আইডির মান নির্ধারণ করুন:

   ( বড় ছবি দেখুন )

   
9. X-Apigee-fault-code , X-Apigee-fault-source , এবং X-Apigee-Message-ID এর মানগুলি নোট করুন:

ত্রুটি শিরোনাম	মান
এক্স-অ্যাপিজি-ফল্ট-কোড	messaging.adaptors.http.flow.SslHandshakeFailed
এক্স-অ্যাপিজি-ফল্ট-উৎস	target
এক্স-অ্যাপিজি-মেসেজ-আইডি	MESSAGE_ID

এনজিআইএনএক্স

পদ্ধতি #3: NGINX অ্যাক্সেস লগ ব্যবহার করে

NGINX অ্যাক্সেস লগ ব্যবহার করে ত্রুটি নির্ণয় করতে:

1. আপনি যদি একজন ব্যক্তিগত ক্লাউড ব্যবহারকারী হন, তাহলে আপনি HTTP 503 Service Unavailable সম্পর্কে মূল তথ্য নির্ধারণ করতে NGINX অ্যাক্সেস লগ ব্যবহার করতে পারেন।

2. NGINX অ্যাক্সেস লগগুলি পরীক্ষা করুন:

   /opt/apigee/var/log/edge-router/nginx/ ORG ~ ENV . PORT# _access_log

3. ত্রুটি কোড messaging.adaptors.http.flow.SslHandshakeFailed একটি নির্দিষ্ট সময়কালে (যদি সমস্যাটি অতীতে ঘটে থাকে) বা 503 503 সাথে কোনো অনুরোধ এখনও ব্যর্থ হয়েছে কিনা তা দেখতে অনুসন্ধান করুন।

4. আপনি যদি X-Apigee-fault-code-এর সাথে messaging.adaptors.http.flow.SslHandshakeFailed মানের সাথে 503 টি ত্রুটি খুঁজে পান, তাহলে X-Apigee-fault-source এর মান নির্ধারণ করুন।

   NGINX অ্যাক্সেস লগ থেকে নমুনা 503 ত্রুটি:

   ( বড় ছবি দেখুন )

   

   NGINX অ্যাক্সেস লগ থেকে উপরের নমুনা এন্ট্রিতে X-Apigee-fault-code এবং X-Apigee-fault-source এর জন্য নিম্নলিখিত মান রয়েছে:

   হেডার	মান
   এক্স-অ্যাপিজি-ফল্ট-কোড	messaging.adaptors.http.flow.SslHandshakeFailed
   এক্স-অ্যাপিজি-ফল্ট-উৎস	target

বার্তা প্রসেসর লগ

পদ্ধতি #4: মেসেজ প্রসেসর লগ ব্যবহার করা

1. এপিআই মনিটরিং, ট্রেস টুল, বা NGINX অ্যাক্সেস লগ ব্যবহার করে ব্যর্থ অনুরোধগুলির একটির বার্তা আইডি নির্ধারণ করুন যা সাধারণ নির্ণয়ের ধাপে ব্যাখ্যা করা হয়েছে।

2. বার্তা প্রসেসর লগ ( /opt/apigee/var/log/edge-message-processor/logs/system.log ) এ নির্দিষ্ট অনুরোধ বার্তা আইডি খুঁজুন। আপনি নিম্নলিখিত ত্রুটি লক্ষ্য করতে পারেন:

   org:myorg env:test api:MyProxy rev:1
   messageid:myorg-28247-3541813-1
   NIOThread@1 ERROR HTTP.CLIENT - HTTPClient$Context.handshakeFailed() :
   SSLClientChannel[Connected: Remote:X.X.X.X:443
   Local:192.168.194.140:55102]@64596 useCount=1
   bytesRead=0 bytesWritten=0 age=233ms  lastIO=233ms
   isOpen=true handshake failed, message: General SSLEngine problem
   

   উপরের ত্রুটিটি নির্দেশ করে যে মেসেজ প্রসেসর এবং ব্যাকএন্ড সার্ভারের মধ্যে SSL হ্যান্ডশেক ব্যর্থ হয়েছে৷

   এটি নীচে দেখানো হিসাবে বিস্তারিত স্ট্যাক ট্রেস সহ একটি ব্যতিক্রম দ্বারা অনুসরণ করা হবে:

   org:myorg env:test api:MyProxy rev:1
   messageid:myorg-28247-3541813-1
   NIOThread@1 ERROR ADAPTORS.HTTP.FLOW - RequestWriteListener.onException() :
   RequestWriteListener.onException(HTTPRequest@1522922c)
   javax.net.ssl.SSLHandshakeException: General SSLEngine problem
   	at sun.security.ssl.Handshaker.checkThrown(Handshaker.java:1478)
   	at sun.security.ssl.SSLEngineImpl.checkTaskThrown(SSLEngineImpl.java:535)
   	... <snipped>
   Caused by: javax.net.ssl.SSLHandshakeException: General SSLEngine problem
   	at sun.security.ssl.Alerts.getSSLException(Alerts.java:203)
   	at sun.security.ssl.SSLEngineImpl.fatal(SSLEngineImpl.java:1728)
   	... <snipped>
   Caused by: sun.security.validator.ValidatorException: PKIX path building failed:
   sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid
   certification path to requested target
   	at sun.security.validator.PKIXValidator.doBuild(PKIXValidator.java:397)
   	at sun.security.validator.PKIXValidator.engineValidate(PKIXValidator.java:302)
   	... <snipped>
     

   মনে রাখবেন হ্যান্ডশেক ব্যর্থতার কারণে:

   Caused by: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

   এটি নির্দেশ করে যে SSL হ্যান্ডশেক ব্যর্থ হয়েছে কারণ Apigee Edge-এর মেসেজ প্রসেসর ব্যাকএন্ড সার্ভারের শংসাপত্র যাচাই করতে অক্ষম ছিল৷

পর্যায় 1

পর্যায় 1: ব্যাকএন্ড সার্ভারের সার্টিফিকেট চেইন নির্ধারণ করুন

ব্যাকএন্ড সার্ভারের সার্টিফিকেট চেইন নির্ধারণ করতে নিম্নলিখিত পদ্ধতিগুলির মধ্যে একটি ব্যবহার করুন:

openssl s_client -connect BACKEND_SERVER_HOST_NAME:PORT#

Certificate chain
 0 s:/CN=mocktarget.apigee.net
   i:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
 1 s:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
   i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
 2 s:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
   i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1

পর্যায় 2

পর্যায় 2: ব্যাকএন্ড সার্ভারের শংসাপত্র এবং বার্তা প্রসেসরের ট্রাস্টস্টোরে সংরক্ষিত শংসাপত্রের তুলনা করুন

1. ব্যাকএন্ড সার্ভারের সার্টিফিকেট চেইন নির্ধারণ করুন ।
2. নিম্নলিখিত পদক্ষেপগুলি ব্যবহার করে বার্তা প্রসেসরের ট্রাস্টস্টোরে সংরক্ষিত শংসাপত্রটি নির্ধারণ করুন:

   1. TargetEndpoint এর SSLInfo বিভাগে TrustStore উপাদান থেকে ট্রাস্টস্টোর রেফারেন্স নামটি পান।

      আসুন একটি TargetEndpoint কনফিগারেশনের একটি নমুনা SSLInfo বিভাগে দেখি:

      <TargetEndpoint name="default">
      ...
         <HTTPTargetConnection>
            <Properties />
            <SSLInfo>
               <Enabled>true</Enabled>
               <ClientAuthEnabled>true</ClientAuthEnabled>
               <KeyStore>ref://myKeystoreRef</KeyStore>
               <KeyAlias>myKey</KeyAlias>
               <TrustStore>
                  ref://myCompanyTrustStoreRef
               </TrustStore>
            </SSLInfo>
         </HTTPTargetConnection>
         ...
      </TargetEndpoint>

   2. উপরের উদাহরণে, TrustStore রেফারেন্সের নাম হল myCompanyTruststoreRef ।

   3. এজ UI এ, পরিবেশ > রেফারেন্স নির্বাচন করুন। নির্দিষ্ট ট্রাস্টস্টোর রেফারেন্সের জন্য রেফারেন্স কলামে নামটি নোট করুন। এটি আপনার ট্রাস্টস্টোর নাম হবে।

      ( বড় ছবি দেখুন )

      

   4. উপরের উদাহরণে ট্রাস্টস্টোর নামটি হল:

      myCompanyTruststoreRef : myCompanyTruststore

3. নিম্নলিখিত APIগুলি ব্যবহার করে ট্রাস্টস্টোরে (আগের ধাপে নির্ধারিত) শংসাপত্রগুলি সংগ্রহ করুন:

   1. একটি কীস্টোর বা ট্রাস্টস্টোরের জন্য সমস্ত শংসাপত্র পান । এই API নির্দিষ্ট ট্রাস্টস্টোরে সমস্ত শংসাপত্র তালিকাভুক্ত করে।

      পাবলিক ক্লাউড ব্যবহারকারী:

      curl -v -X GET https//api.enterprise.apigee.com/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs -H "Authorization: Bearer $TOKEN"
      

      ব্যক্তিগত ক্লাউড ব্যবহারকারী:

      curl -v -X GET http://MANAGEMENT_HOST:PORT_#/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs -H "Authorization: Bearer $TOKEN"
      

      কোথায়:

      • ORGANIZATION_NAME হল সংগঠনের নাম
      • ENVIRONMENT_NAME হল পরিবেশের নাম
      • KEYSTORE_NAME হল কীস্টোরের নাম
      • $TOKEN আপনার OAuth 2.0 অ্যাক্সেস টোকেনে সেট করা আছে যেমনটি বর্ণনা করা হয়েছে একটি OAuth 2.0 অ্যাক্সেস টোকেন পান
      • এই উদাহরণে ব্যবহৃত curl বিকল্পগুলি ব্যবহার কার্ল- এ বর্ণনা করা হয়েছে

      নমুনা আউটপুট:

      উদাহরণ ট্রাস্টস্টোর myCompanyTruststore থেকে শংসাপত্রগুলি হল:

      [
        "serverCert"
      ]

   2. একটি কীস্টোর বা ট্রাস্টস্টোর থেকে নির্দিষ্ট শংসাপত্রের জন্য শংসাপত্রের বিবরণ পান । এই API নির্দিষ্ট ট্রাস্টস্টোরে একটি নির্দিষ্ট শংসাপত্র সম্পর্কে তথ্য প্রদান করে।

      পাবলিক ক্লাউড ব্যবহারকারী:

      curl -v -X GET https//api.enterprise.apigee.com/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs/CERT_NAME -H "Authorization: Bearer $TOKEN"
      

      ব্যক্তিগত ক্লাউড ব্যবহারকারী

      curl -v -X GET http://MANAGEMENT_HOST:PORT_#>/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs/CERT_NAME -H "Authorization: Bearer $TOKEN"
      

      কোথায়:

      • ORGANIZATION_NAME হল সংগঠনের নাম
      • ENVIRONMENT_NAME হল পরিবেশের নাম
      • KEYSTORE_NAME হল কীস্টোরের নাম
      • CERT_NAME হল শংসাপত্রের নাম৷
      • $TOKEN আপনার OAuth 2.0 অ্যাক্সেস টোকেনে সেট করা আছে যেমনটি বর্ণনা করা হয়েছে একটি OAuth 2.0 অ্যাক্সেস টোকেন পান
      • এই উদাহরণে ব্যবহৃত curl বিকল্পগুলি ব্যবহার কার্ল- এ বর্ণনা করা হয়েছে

      নমুনা আউটপুট

      serverCert বিশদ বিবরণ বিষয় এবং ইস্যুকারীকে নিম্নরূপ দেখায়:

      পাতা/সত্তা শংসাপত্র:

      "subject": "CN=mocktarget.apigee.net",
      "issuer": "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",

      মধ্যবর্তী সার্টিফিকেট:

      "subject" : "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",
      "issuer" : "CN=GTS Root R1, O=Google Trust Services LLC, C=US",

4. ধাপ 1-এ প্রাপ্ত প্রকৃত সার্ভার শংসাপত্র এবং ধাপ 3-এ প্রাপ্ত ট্রাস্টস্টোরে সঞ্চিত শংসাপত্র মিলেছে কিনা যাচাই করুন৷ যদি তারা মেলে না, তাহলে এটি সমস্যার কারণ।

   উপরে দেখানো উদাহরণ থেকে, আসুন একবারে একটি শংসাপত্র দেখি:

   1. পাতার শংসাপত্র:

      ব্যাকএন্ড সার্ভার থেকে:

      s:/CN=mocktarget.apigee.net
      i:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4

      বার্তা প্রসেসরের (ক্লায়েন্ট) ট্রাস্টস্টোর থেকে:

      "subject": "CN=mocktarget.apigee.net",
      "issuer": "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",

      ট্রাস্টস্টোরে সংরক্ষিত পাতার শংসাপত্রটি ব্যাকএন্ড সার্ভারের সাথে মেলে।

   2. মধ্যবর্তী সার্টিফিকেট:

      ব্যাকএন্ড সার্ভার থেকে:

      s:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
      i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1

      বার্তা প্রসেসরের (ক্লায়েন্ট) ট্রাস্টস্টোর থেকে:

      "subject" : "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",
      "issuer" : "CN=GTS Root R1, O=Google Trust Services LLC, C=US",

      ট্রাস্টস্টোরে সংরক্ষিত মধ্যবর্তী শংসাপত্রটি ব্যাকএন্ড সার্ভারের সাথে মেলে।

   3. মূল শংসাপত্র:

      ব্যাকএন্ড সার্ভার থেকে:

      s:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
      i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1

      মেসেজ প্রসেসরের ট্রাস্টস্টোরে রুট সার্টিফিকেট সম্পূর্ণভাবে অনুপস্থিত।

   4. যেহেতু রুট শংসাপত্রটি ট্রাস্টস্টোরে অনুপস্থিত, মেসেজ প্রসেসর নিম্নলিখিত ব্যতিক্রমটি নিক্ষেপ করে:

      sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

      এবং ক্লায়েন্ট অ্যাপ্লিকেশনগুলিতে ত্রুটি কোড messaging.adaptors.http.flow.SslHandshakeFailed সহ 503 Service Unavailable প্রদান করে।

সঠিক FQDN

সঠিক FQDN, বৈধ এবং সম্পূর্ণ শংসাপত্র চেইন সহ ব্যাকএন্ড সার্ভারের কীস্টোর আপডেট করুন:

1. আপনার যদি সঠিক FQDN সহ একটি ব্যাকএন্ড সার্ভারের শংসাপত্র না থাকে, তাহলে উপযুক্ত CA (শংসাপত্র কর্তৃপক্ষ) থেকে যথাযথ শংসাপত্রটি সংগ্রহ করুন৷

2. আপনার কাছে একটি বৈধ এবং সম্পূর্ণ ব্যাকএন্ড সার্ভারের সার্টিফিকেট চেইন আছে তা যাচাই করুন ৷

3. একবার আপনার কাছে বৈধ এবং সম্পূর্ণ শংসাপত্রের চেইন ব্যাকএন্ড সার্ভারের সঠিক FQDN সহ লিফ বা এন্টিটি সার্টিফিকেট যা লক্ষ্য এন্ডপয়েন্টে নির্দিষ্ট করা হোস্ট নামের সাথে অভিন্ন, সম্পূর্ণ শংসাপত্র চেইন সহ ব্যাকএন্ডের কীস্টোর আপডেট করুন।

সঠিক ব্যাকএন্ড সার্ভার

সঠিক ব্যাকএন্ড সার্ভারের হোস্ট নাম দিয়ে টার্গেট এন্ডপয়েন্ট আপডেট করুন:

1. যদি হোস্টের নাম টার্গেট এন্ডপয়েন্টে ভুলভাবে নির্দিষ্ট করা থাকে, তাহলে ব্যাকএন্ড সার্ভারের সার্টিফিকেটের FQDN-এর সাথে মেলে এমন সঠিক হোস্ট নাম পেতে টার্গেট এন্ডপয়েন্ট আপডেট করুন।

2. API প্রক্সিতে পরিবর্তনগুলি সংরক্ষণ করুন।

   উপরে আলোচিত উদাহরণে, যদি ব্যাকএন্ড সার্ভারের হোস্টের নাম ভুলভাবে নির্দিষ্ট করা থাকে, তাহলে আপনি ব্যাকএন্ড সার্ভারের সার্টিফিকেট থেকে FQDN ব্যবহার করে এটি ঠিক করতে পারেন, যা backend.apigee.net নিম্নরূপ:

   <TargetEndpoint name="default">
      …
      <HTTPTargetConnection>
         <Properties />
         <SSLInfo>
            <Enabled>true</Enabled>
            <TrustStore>ref://myTrustStoreRef</TrustStore>
         </SSLInfo>
         <URL>https://backend.apigee.net/resource</URL>
      </HTTPTargetConnection>
   </TargetEndpoint>