503 পরিষেবা অনুপলব্ধ - SSL হ্যান্ডশেক ব্যর্থতা৷

এপিআই মনিটরিং

পদ্ধতি #১: এপিআই মনিটরিং ব্যবহার করা

এপিআই মনিটরিং ব্যবহার করে ত্রুটি নির্ণয় করতে:

1. উপযুক্ত ভূমিকা সম্পন্ন একজন ব্যবহারকারী হিসেবে Apigee Edge UI-তে সাইন ইন করুন ।

2. যে প্রতিষ্ঠানে আপনি বিষয়টি তদন্ত করতে চান, সেখানে যান।

   
3. Analyze > API Monitoring > Investigate পৃষ্ঠায় যান।
4. সেই নির্দিষ্ট সময়সীমাটি নির্বাচন করুন যার মধ্যে আপনি ত্রুটিগুলো লক্ষ্য করেছেন।

5. সময়ের সাপেক্ষে ফল্ট কোডের লেখচিত্র অঙ্কন করুন।

6. নীচে দেখানো অনুযায়ী, যে সেলটিতে messaging.adaptors.http.flow.SslHandshakeFailed ফল্ট কোডটি রয়েছে, সেটি নির্বাচন করুন:

   ( বড় ছবি দেখুন )

   

7. messaging.adaptors.http.flow.SslHandshakeFailed ফল্ট কোডটির তথ্য নিচে দেখানো অনুযায়ী প্রদর্শিত হয়:

   ( বড় ছবি দেখুন )

   

8. 'লগ দেখুন'-এ ক্লিক করুন এবং ব্যর্থ অনুরোধটির সারিটি প্রসারিত করুন।

   ( বড় ছবি দেখুন )

   
9. লগস উইন্ডো থেকে নিম্নলিখিত বিবরণগুলো নোট করুন:
   • অনুরোধ বার্তা আইডি
   • স্ট্যাটাস কোড: 503
   • ত্রুটির উৎস: target
   • ত্রুটি কোড: messaging.adaptors.http.flow.SslHandshakeFailed

ট্রেস

পদ্ধতি #২: ট্রেস টুল ব্যবহার করা

ট্রেস টুল ব্যবহার করে ত্রুটি নির্ণয় করতে:

1. ট্রেস সেশনটি সক্রিয় করুন এবং হয়
   • messaging.adaptors.http.flow.SslHandshakeFailed এরর কোড সহ 503 Service Unavailable এররটি ঘটা পর্যন্ত অপেক্ষা করুন, অথবা
   • আপনি যদি সমস্যাটি পুনরায় তৈরি করতে পারেন, 503 Service Unavailable সমস্যাটি পুনরুৎপাদন করতে API কলটি করুন।

2. নিশ্চিত করুন যে 'Show all FlowInfos' চালু আছে:

   
3. ব্যর্থ হওয়া অনুরোধগুলোর মধ্যে একটি নির্বাচন করুন এবং ট্রেসটি পরীক্ষা করুন।
4. ট্রেসের বিভিন্ন ধাপ অতিক্রম করে ত্রুটিটি কোথায় ঘটেছে তা খুঁজে বের করুন।

5. আপনি সাধারণত 'টার্গেট রিকোয়েস্ট ফ্লো স্টার্টেড' ধাপের পরে ত্রুটিটি দেখতে পাবেন, যেমনটি নিচে দেখানো হয়েছে:

   ( বড় ছবি দেখুন )

   
6. ট্রেস থেকে নিম্নলিখিতগুলির মান লক্ষ্য করুন:
   • ত্রুটি: SSL Handshake failed sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
   • ত্রুটির কারণ: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
   • error.class: com.apigee.errors.http.server.ServiceUnavailableException
   • SSL Handshake failed sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target এই ত্রুটির মানটি নির্দেশ করে যে SSL হ্যান্ডশেক ব্যর্থ হয়েছে, কারণ Apigee Edge-এর মেসেজ প্রসেসর ব্যাকএন্ড সার্ভারের সার্টিফিকেটটি যাচাই করতে পারেনি।
7. ট্রেসটিতে থাকা AX (অ্যানালিটিক্স ডেটা রেকর্ডেড) ফেজটিতে যান এবং এটিতে ক্লিক করুন।

8. Phase Details Error Headers সেকশন পর্যন্ত স্ক্রল ডাউন করুন এবং নিচে দেখানো অনুযায়ী X-Apigee-fault-code , X-Apigee-fault-source এবং X-Apigee-Message-ID- এর মান নির্ধারণ করুন:

   ( বড় ছবি দেখুন )

   
9. X-Apigee-fault-code , X-Apigee-fault-source , এবং X-Apigee-Message-ID - এই মানগুলো লক্ষ্য করুন:

ত্রুটির হেডার	মূল্য
এক্স-এপিজি-ফল্ট-কোড	messaging.adaptors.http.flow.SslHandshakeFailed
এক্স-এপিজি-ফল্ট-সোর্স	target
এক্স-এপিজি-মেসেজ-আইডি	MESSAGE_ID

এনজিআইএনএক্স

পদ্ধতি #৩: NGINX অ্যাক্সেস লগ ব্যবহার করা

NGINX অ্যাক্সেস লগ ব্যবহার করে ত্রুটি নির্ণয় করতে:

1. আপনি যদি একজন প্রাইভেট ক্লাউড ব্যবহারকারী হন, তাহলে HTTP 503 Service Unavailable সম্পর্কিত মূল তথ্য নির্ধারণ করতে NGINX অ্যাক্সেস লগ ব্যবহার করতে পারেন।

2. NGINX অ্যাক্সেস লগগুলি পরীক্ষা করুন:

   /opt/apigee/var/log/edge-router/nginx/ ORG ~ ENV . PORT# _access_log

3. একটি নির্দিষ্ট সময়কালের মধ্যে (যদি সমস্যাটি অতীতে ঘটে থাকে) messaging.adaptors.http.flow.SslHandshakeFailed এরর কোড সহ কোনো 503 এরর আছে কিনা, অথবা এখনও কোনো রিকোয়েস্ট 503 এরর দেখিয়ে ফেইল করছে কিনা, তা খুঁজে দেখুন।

4. যদি আপনি messaging.adaptors.http.flow.SslHandshakeFailed মানের সাথে মিলে যাওয়া X-Apigee-fault-code সহ কোনো 503 ত্রুটি খুঁজে পান, তাহলে X-Apigee-fault-source-এর মান নির্ধারণ করুন।

   NGINX অ্যাক্সেস লগ থেকে প্রাপ্ত ৫০৩ ত্রুটির নমুনা:

   ( বড় ছবি দেখুন )

   

   NGINX অ্যাক্সেস লগ থেকে নেওয়া উপরের নমুনা এন্ট্রিটিতে X-Apigee-fault-code এবং X-Apigee-fault-source-এর জন্য নিম্নলিখিত মানগুলি রয়েছে:

   হেডার	মূল্য
   এক্স-এপিজি-ফল্ট-কোড	messaging.adaptors.http.flow.SslHandshakeFailed
   এক্স-এপিজি-ফল্ট-সোর্স	target

মেসেজ প্রসেসর লগ

পদ্ধতি #৪: মেসেজ প্রসেসর লগ ব্যবহার করা

1. সাধারণ রোগ নির্ণয়ের ধাপগুলিতে যেমন ব্যাখ্যা করা হয়েছে, সেই অনুযায়ী API মনিটরিং, ট্রেস টুল বা NGINX অ্যাক্সেস লগ ব্যবহার করে ব্যর্থ হওয়া অনুরোধগুলির মধ্যে একটির মেসেজ আইডি নির্ধারণ করুন।

2. মেসেজ প্রসেসর লগে ( /opt/apigee/var/log/edge-message-processor/logs/system.log ) নির্দিষ্ট অনুরোধ বার্তা আইডিটি অনুসন্ধান করুন। আপনি নিম্নলিখিত ত্রুটিটি দেখতে পারেন:

   org:myorg env:test api:MyProxy rev:1
   messageid:myorg-28247-3541813-1
   NIOThread@1 ERROR HTTP.CLIENT - HTTPClient$Context.handshakeFailed() :
   SSLClientChannel[Connected: Remote:X.X.X.X:443
   Local:192.168.194.140:55102]@64596 useCount=1
   bytesRead=0 bytesWritten=0 age=233ms  lastIO=233ms
   isOpen=true handshake failed, message: General SSLEngine problem
   

   উপরোক্ত ত্রুটিটি নির্দেশ করে যে মেসেজ প্রসেসর এবং ব্যাকএন্ড সার্ভারের মধ্যে SSL হ্যান্ডশেক ব্যর্থ হয়েছে।

   এর পরে একটি ব্যতিক্রম দেখা দেবে, যার বিস্তারিত স্ট্যাক ট্রেস নিচে দেখানো হলো:

   org:myorg env:test api:MyProxy rev:1
   messageid:myorg-28247-3541813-1
   NIOThread@1 ERROR ADAPTORS.HTTP.FLOW - RequestWriteListener.onException() :
   RequestWriteListener.onException(HTTPRequest@1522922c)
   javax.net.ssl.SSLHandshakeException: General SSLEngine problem
   	at sun.security.ssl.Handshaker.checkThrown(Handshaker.java:1478)
   	at sun.security.ssl.SSLEngineImpl.checkTaskThrown(SSLEngineImpl.java:535)
   	... <snipped>
   Caused by: javax.net.ssl.SSLHandshakeException: General SSLEngine problem
   	at sun.security.ssl.Alerts.getSSLException(Alerts.java:203)
   	at sun.security.ssl.SSLEngineImpl.fatal(SSLEngineImpl.java:1728)
   	... <snipped>
   Caused by: sun.security.validator.ValidatorException: PKIX path building failed:
   sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid
   certification path to requested target
   	at sun.security.validator.PKIXValidator.doBuild(PKIXValidator.java:397)
   	at sun.security.validator.PKIXValidator.engineValidate(PKIXValidator.java:302)
   	... <snipped>
     

   উল্লেখ্য, হ্যান্ডশেক ব্যর্থতার কারণ হলো:

   Caused by: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

   এর থেকে বোঝা যায় যে, SSL হ্যান্ডশেক ব্যর্থ হয়েছে, কারণ Apigee Edge-এর মেসেজ প্রসেসর ব্যাকএন্ড সার্ভারের সার্টিফিকেটটি যাচাই করতে পারেনি।

প্রথম পর্যায়

পর্যায় ১: ব্যাকএন্ড সার্ভারের সার্টিফিকেট চেইন নির্ধারণ করুন

ব্যাকএন্ড সার্ভারের সার্টিফিকেট চেইন নির্ধারণ করতে নিম্নলিখিত পদ্ধতিগুলোর মধ্যে একটি ব্যবহার করুন:

openssl s_client -connect BACKEND_SERVER_HOST_NAME:PORT#

Certificate chain
 0 s:/CN=mocktarget.apigee.net
   i:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
 1 s:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
   i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
 2 s:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
   i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1

দ্বিতীয় পর্যায়

পর্যায় ২: ব্যাকএন্ড সার্ভারের সার্টিফিকেট এবং মেসেজ প্রসেসরের ট্রাস্টস্টোরে সংরক্ষিত সার্টিফিকেটগুলোর তুলনা করুন।

1. ব্যাকএন্ড সার্ভারের সার্টিফিকেট চেইন নির্ধারণ করুন ।
2. নিম্নলিখিত ধাপগুলো অনুসরণ করে মেসেজ প্রসেসরের ট্রাস্টস্টোরে সংরক্ষিত সার্টিফিকেটটি নির্ধারণ করুন:

   1. TargetEndpoint এর SSLInfo সেকশনের TrustStore এলিমেন্ট থেকে ট্রাস্টস্টোর রেফারেন্স নামটি নিন।

      চলুন একটি TargetEndpoint কনফিগারেশনের SSLInfo সেকশনের একটি নমুনা দেখি:

      <TargetEndpoint name="default">
      ...
         <HTTPTargetConnection>
            <Properties />
            <SSLInfo>
               <Enabled>true</Enabled>
               <ClientAuthEnabled>true</ClientAuthEnabled>
               <KeyStore>ref://myKeystoreRef</KeyStore>
               <KeyAlias>myKey</KeyAlias>
               <TrustStore>
                  ref://myCompanyTrustStoreRef
               </TrustStore>
            </SSLInfo>
         </HTTPTargetConnection>
         ...
      </TargetEndpoint>

   2. উপরের উদাহরণে, TrustStore রেফারেন্সের নামটি হলো myCompanyTruststoreRef ।

   3. Edge UI-তে, Environments > References নির্বাচন করুন। নির্দিষ্ট ট্রাস্টস্টোর রেফারেন্সের জন্য Reference কলামে থাকা নামটি নোট করুন। এটিই হবে আপনার ট্রাস্টস্টোরের নাম।

      ( বড় ছবি দেখুন )

      

   4. উপরের উদাহরণে ট্রাস্টস্টোরের নামটি হলো:

      myCompanyTruststoreRef : myCompanyTruststore

3. নিম্নলিখিত API-গুলো ব্যবহার করে ট্রাস্টস্টোরে (যা পূর্ববর্তী ধাপে নির্ধারণ করা হয়েছে) সংরক্ষিত সার্টিফিকেটগুলো সংগ্রহ করুন:

   1. একটি কীস্টোর বা ট্রাস্টস্টোরের সমস্ত সার্টিফিকেট পান । এই এপিআইটি নির্দিষ্ট ট্রাস্টস্টোরের সমস্ত সার্টিফিকেট তালিকাভুক্ত করে।

      পাবলিক ক্লাউড ব্যবহারকারী:

      curl -v -X GET https//api.enterprise.apigee.com/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs -H "Authorization: Bearer $TOKEN"
      

      প্রাইভেট ক্লাউড ব্যবহারকারী:

      curl -v -X GET http://MANAGEMENT_HOST:PORT_#/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs -H "Authorization: Bearer $TOKEN"
      

      কোথায়:

      • ORGANIZATION_NAME হলো প্রতিষ্ঠানের নাম।
      • ENVIRONMENT_NAME হলো পরিবেশের নাম।
      • KEYSTORE_NAME হলো কীস্টোরের নাম।
      • "OAuth 2.0 অ্যাক্সেস টোকেন সংগ্রহ করুন" অংশে বর্ণিত পদ্ধতি অনুযায়ী, $TOKEN-কে আপনার OAuth 2.0 অ্যাক্সেস টোকেনে সেট করা হয়।
      • এই উদাহরণে ব্যবহৃত curl অপশনগুলো Use curl অংশে বর্ণনা করা হয়েছে।

      নমুনা আউটপুট:

      উদাহরণ ট্রাস্টস্টোর myCompanyTruststore এর সার্টিফিকেটগুলো হলো:

      [
        "serverCert"
      ]

   2. একটি কীস্টোর বা ট্রাস্টস্টোর থেকে নির্দিষ্ট সার্টিফিকেটের বিবরণ পান । এই API-টি নির্দিষ্ট ট্রাস্টস্টোরে থাকা একটি নির্দিষ্ট সার্টিফিকেটের তথ্য প্রদান করে।

      পাবলিক ক্লাউড ব্যবহারকারী:

      curl -v -X GET https//api.enterprise.apigee.com/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs/CERT_NAME -H "Authorization: Bearer $TOKEN"
      

      প্রাইভেট ক্লাউড ব্যবহারকারী

      curl -v -X GET http://MANAGEMENT_HOST:PORT_#>/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs/CERT_NAME -H "Authorization: Bearer $TOKEN"
      

      কোথায়:

      • ORGANIZATION_NAME হলো প্রতিষ্ঠানের নাম।
      • ENVIRONMENT_NAME হলো পরিবেশের নাম।
      • KEYSTORE_NAME হলো কীস্টোরের নাম।
      • CERT_NAME হলো সার্টিফিকেটের নাম
      • "OAuth 2.0 অ্যাক্সেস টোকেন সংগ্রহ করুন" অংশে বর্ণিত পদ্ধতি অনুযায়ী, $TOKEN-কে আপনার OAuth 2.0 অ্যাক্সেস টোকেনে সেট করা হয়।
      • এই উদাহরণে ব্যবহৃত curl অপশনগুলো Use curl অংশে বর্ণনা করা হয়েছে।

      নমুনা আউটপুট

      serverCert এর বিবরণে বিষয় এবং ইস্যুকারী নিম্নরূপভাবে দেখানো হয়েছে:

      পাতা/সত্তা সনদ:

      "subject": "CN=mocktarget.apigee.net",
      "issuer": "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",

      ইন্টারমিডিয়েট সার্টিফিকেট:

      "subject" : "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",
      "issuer" : "CN=GTS Root R1, O=Google Trust Services LLC, C=US",

4. ধাপ ১-এ প্রাপ্ত আসল সার্ভার সার্টিফিকেট এবং ধাপ ৩-এ ট্রাস্টস্টোরে সংরক্ষিত সার্টিফিকেটটি মেলে কিনা তা যাচাই করুন। যদি সেগুলো না মেলে, তাহলে সেটাই সমস্যার কারণ।

   উপরে দেখানো উদাহরণ থেকে, চলুন এক এক করে সার্টিফিকেট দেখি:

   1. পাতার শংসাপত্র:

      ব্যাকএন্ড সার্ভার থেকে:

      s:/CN=mocktarget.apigee.net
      i:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4

      মেসেজ প্রসেসরের (ক্লায়েন্ট) ট্রাস্টস্টোর থেকে:

      "subject": "CN=mocktarget.apigee.net",
      "issuer": "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",

      ট্রাস্টস্টোরে সংরক্ষিত লিফ সার্টিফিকেটটি ব্যাকএন্ড সার্ভারের সার্টিফিকেটের সাথে মিলে যায়।

   2. ইন্টারমিডিয়েট সার্টিফিকেট:

      ব্যাকএন্ড সার্ভার থেকে:

      s:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
      i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1

      মেসেজ প্রসেসরের (ক্লায়েন্ট) ট্রাস্টস্টোর থেকে:

      "subject" : "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",
      "issuer" : "CN=GTS Root R1, O=Google Trust Services LLC, C=US",

      ট্রাস্টস্টোরে সংরক্ষিত অন্তর্বর্তী সার্টিফিকেটটি ব্যাকএন্ড সার্ভারের সার্টিফিকেটের সাথে মিলে যায়।

   3. রুট সার্টিফিকেট:

      ব্যাকএন্ড সার্ভার থেকে:

      s:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
      i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1

      মেসেজ প্রসেসরের ট্রাস্টস্টোরে রুট সার্টিফিকেটটি সম্পূর্ণভাবে অনুপস্থিত।

   4. ট্রাস্টস্টোরে রুট সার্টিফিকেটটি অনুপস্থিত থাকায়, মেসেজ প্রসেসর নিম্নলিখিত এক্সেপশনটি থ্রো করে:

      sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

      এবং ক্লায়েন্ট অ্যাপ্লিকেশনগুলিতে messaging.adaptors.http.flow.SslHandshakeFailed ত্রুটি কোড সহ 503 Service Unavailable ফেরত পাঠায়।

সঠিক FQDN

সঠিক FQDN এবং বৈধ ও সম্পূর্ণ সার্টিফিকেট চেইন দিয়ে ব্যাকএন্ড সার্ভারের কীস্টোর আপডেট করুন:

1. যদি আপনার কাছে সঠিক FQDN সহ ব্যাকএন্ড সার্ভারের সার্টিফিকেট না থাকে, তাহলে উপযুক্ত CA (সার্টিফিকেট অথরিটি) থেকে যথাযথ সার্টিফিকেট সংগ্রহ করুন।

2. আপনার ব্যাকএন্ড সার্ভারের সার্টিফিকেট চেইনটি বৈধ ও সম্পূর্ণ কিনা তা যাচাই করুন ।

3. একবার আপনার কাছে লিফ বা এনটিটি সার্টিফিকেটে ব্যাকএন্ড সার্ভারের সঠিক FQDN সহ বৈধ এবং সম্পূর্ণ সার্টিফিকেট চেইনটি চলে এলে, যা টার্গেট এন্ডপয়েন্টে নির্দিষ্ট করা হোস্ট নামের সাথে হুবহু মিলে যায়, তখন সেই সম্পূর্ণ সার্টিফিকেট চেইনটি দিয়ে ব্যাকএন্ডের কীস্টোরটি আপডেট করুন।

সঠিক ব্যাকএন্ড সার্ভার

সঠিক ব্যাকএন্ড সার্ভারের হোস্ট নেম দিয়ে টার্গেট এন্ডপয়েন্টটি আপডেট করুন:

1. যদি টার্গেট এন্ডপয়েন্টে হোস্ট নেম ভুলভাবে উল্লেখ করা হয়ে থাকে, তাহলে ব্যাকএন্ড সার্ভারের সার্টিফিকেটে থাকা FQDN-এর সাথে মেলে এমন সঠিক হোস্ট নেম দিয়ে টার্গেট এন্ডপয়েন্টটি আপডেট করুন।

2. এপিআই প্রক্সিতে পরিবর্তনগুলো সংরক্ষণ করুন।

   উপরে আলোচিত উদাহরণে, যদি ব্যাকএন্ড সার্ভারের হোস্টনেম ভুলভাবে উল্লেখ করা হয়ে থাকে, তাহলে আপনি ব্যাকএন্ড সার্ভারের সার্টিফিকেট থেকে FQDN, অর্থাৎ backend.apigee.net , নিম্নোক্তভাবে ব্যবহার করে তা ঠিক করতে পারেন:

   <TargetEndpoint name="default">
      …
      <HTTPTargetConnection>
         <Properties />
         <SSLInfo>
            <Enabled>true</Enabled>
            <TrustStore>ref://myTrustStoreRef</TrustStore>
         </SSLInfo>
         <URL>https://backend.apigee.net/resource</URL>
      </HTTPTargetConnection>
   </TargetEndpoint>