503 Hizmeti Kullanılamıyor - SSL El Sıkışma Hatası

API Monitoring

1. Prosedür: API İzlemeyi Kullanma

API Monitoring'i kullanarak hatayı teşhis etmek için:

1. Apigee Edge kullanıcı arayüzünde uygun role sahip olur.

2. Sorunu incelemek istediğiniz kuruluşa geçin.

   
3. Analiz > API İzleme > İnceleme sayfası.
4. Hataları gözlemlediğiniz zaman aralığını seçin.

5. Zaman ile Hata Kodu'nun grafiğini çizin.

6. Hata kodunun bulunduğu bir hücre seçin Gösterildiği şekliyle messaging.adaptors.http.flow.SslHandshakeFailed aşağıda bulabilirsiniz:

   ( resmi büyüt)

   

7. Hata koduyla ilgili bilgi messaging.adaptors.http.flow.SslHandshakeFailed gösteriliyor aşağıda gösterilmiştir:

   ( resmi büyüt)

   

8. Günlükleri görüntüle 'yi tıklayın ve başarısız isteğin bulunduğu satırı genişletin.

   ( resmi büyüt)

   
9. Günlükler penceresinde aşağıdaki ayrıntılara dikkat edin:
   • Mesaj Kimliği İste
   • Durum Kodu: 503
   • Hata Kaynağı: target
   • Hata Kodu: messaging.adaptors.http.flow.SslHandshakeFailed

Trace

2. Prosedür: İzleme aracını kullanma

İzleme aracını kullanarak hatayı teşhis etmek için:

1. İzleme oturumunu etkinleştirin ve
   • Hata kodu içeren 503 Service Unavailable hatasını bekleyin messaging.adaptors.http.flow.SslHandshakeFailed veya
   • Sorunu yeniden oluşturabiliyorsanız API çağrısını yaparak sorunu yeniden oluşturun 503 Service Unavailable.

2. Show all FlowInfos (Tüm Akış Bilgilerini Göster) seçeneğinin etkin olduğundan emin olun:

   
3. Başarısız isteklerden birini seçin ve izini inceleyin.
4. İzlemenin farklı aşamaları arasında gezinin ve hatanın nerede oluştuğunu bulun.

5. Hatayı genellikle Hedef İstek Akışı Başlatıldı aşamasından sonra görürsünüz aşağıdaki gibidir:

   ( resmi büyüt)

   
6. İzdeki aşağıdaki değerleri not edin:
   • hata: SSL Handshake failed sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
   • error.cause: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
   • error.class: com.apigee.errors.http.server.ServiceUnavailableException
   • SSL Handshake failed sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target hatasının değeri, SSL El Sıkışmasının başarısız olduğunu gösterir. bunun nedeni, Apigee Edge'in Mesaj İşlemcisinin arka uç sunucusunun sertifikası.
7. İzlemedeki AX (Analytics Verilerinin Kaydedilen) Aşamasına gidin ve tıklayın.

8. Aşama Ayrıntıları Hata Üstbilgileri bölümüne ilerleyin ve X-Apigee-fault-code ve X-Apigee-fault-source değerleri ve Aşağıda gösterildiği gibi X-Apigee-Message-ID:

   ( resmi büyüt)

   
9. X-Apigee-fault-code, X-Apigee-fault-source değerlerini not edin. ve X-Apigee-Message-ID:

Hata başlıkları	Değer
X-Apigee-fault-code	messaging.adaptors.http.flow.SslHandshakeFailed
X-Apigee-fault-source	target
X-Apigee-Message-ID	MESSAGE_ID

NGINX

3. Prosedür: NGINX erişim günlüklerini kullanma

NGINX erişim günlüklerini kullanarak hatayı teşhis etmek için:

1. Private Cloud kullanıcısıysanız aşağıdakileri belirlemek için NGINX erişim günlüklerini kullanabilirsiniz: HTTP 503 Service Unavailable ile ilgili önemli bilgileri girin.

2. NGINX erişim günlüklerini kontrol edin:

   /opt/apigee/var/log/edge-router/nginx/ORG~ENV.PORT#_access_log

3. Hata kodu içeren 503 hatası olup olmadığını görmek için arama yapın Belirli bir sürede messaging.adaptors.http.flow.SslHandshakeFailed (sorun ) veya 503 ile hâlâ başarısız olan istekler varsa bunları kontrol edin.

4. X-Apigee-fault-code eşleşmesinde 503 hatası bulursanız messaging.adaptors.http.flow.SslHandshakeFailed değerini, ardından X-Apigee-fault-source.'un değerini belirleyin.

   NGINX erişim günlüğünden örnek 503 hatası:

   ( resmi büyüt)

   

   NGINX erişim günlüğünden alınan yukarıdaki örnek giriş, X-Apigee-fault-code ve X-Apigee-fault-source:

   Üst bilgiler	Değer
   X-Apigee-fault-code	messaging.adaptors.http.flow.SslHandshakeFailed
   X-Apigee-fault-source	target

İleti işleyen günlükleri

4. Prosedür: Mesaj İşleyici Günlüklerini Kullanma

1. API Monitoring, İzleme aracını kullanarak başarısız isteklerden birinin ileti kimliğini belirleyin. veya NGINX Erişim Günlükleri'ni yaygın teşhis adımlarında açıklandığı şekilde tanımlar.

2. Mesaj İşleyen günlüğünde belirli bir istek iletisi kimliğini arayın (/opt/apigee/var/log/edge-message-processor/logs/system.log). Şunları görebilirsiniz: şu hata oluştu:

   org:myorg env:test api:MyProxy rev:1
   messageid:myorg-28247-3541813-1
   NIOThread@1 ERROR HTTP.CLIENT - HTTPClient$Context.handshakeFailed() :
   SSLClientChannel[Connected: Remote:X.X.X.X:443
   Local:192.168.194.140:55102]@64596 useCount=1
   bytesRead=0 bytesWritten=0 age=233ms  lastIO=233ms
   isOpen=true handshake failed, message: General SSLEngine problem
   

   Yukarıdaki hata, İleti İşleyen ile SSL anlaşmasının başarısız olduğunu gösterir. arka uç sunucusuna gidin.

   Bunun ardından aşağıda gösterildiği gibi ayrıntılı yığın izlemeyle ilgili bir istisna gelir:

   org:myorg env:test api:MyProxy rev:1
   messageid:myorg-28247-3541813-1
   NIOThread@1 ERROR ADAPTORS.HTTP.FLOW - RequestWriteListener.onException() :
   RequestWriteListener.onException(HTTPRequest@1522922c)
   javax.net.ssl.SSLHandshakeException: General SSLEngine problem
   	at sun.security.ssl.Handshaker.checkThrown(Handshaker.java:1478)
   	at sun.security.ssl.SSLEngineImpl.checkTaskThrown(SSLEngineImpl.java:535)
   	... <snipped>
   Caused by: javax.net.ssl.SSLHandshakeException: General SSLEngine problem
   	at sun.security.ssl.Alerts.getSSLException(Alerts.java:203)
   	at sun.security.ssl.SSLEngineImpl.fatal(SSLEngineImpl.java:1728)
   	... <snipped>
   Caused by: sun.security.validator.ValidatorException: PKIX path building failed:
   sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid
   certification path to requested target
   	at sun.security.validator.PKIXValidator.doBuild(PKIXValidator.java:397)
   	at sun.security.validator.PKIXValidator.engineValidate(PKIXValidator.java:302)
   	... <snipped>
     

   El sıkışma hatasının aşağıdaki nedenlerden kaynaklandığını unutmayın:

   Caused by: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

   Bu simge, Apigee Edge'in Mesaj İşleyicisi olarak SSL El Sıkışması'nın başarısız olduğunu gösterir. arka uç sunucusunun sertifikasını doğrulayamadı.

1. Aşama

1. Aşama: Arka uç sunucusunun sertifika zincirini belirleme

Arka uç sunucusunun sertifika zincirini belirlemek için aşağıdaki yöntemlerden birini kullanın:

openssl s_client -connect BACKEND_SERVER_HOST_NAME:PORT#

Certificate chain
 0 s:/CN=mocktarget.apigee.net
   i:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
 1 s:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
   i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
 2 s:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
   i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1

2. Aşama

2. Aşama: Arka uç sunucusunun sertifikasını ve Mesaj İşleyici'nin güven deposu

1. Arka uç sunucusunun sertifika zincirini belirleyin.
2. İleti İşleyici’nin güven deposunda saklanan sertifikayı belirlemek için şu adımları uygulayın:

   1. TrustStore öğesinden güven deposu referans adını alın (TargetEndpoint etiketinin SSLInfo bölümüne bakın).

      TargetEndpoint öğesindeki örnek SSLInfo bölümüne göz atalım yapılandırma:

      <TargetEndpoint name="default">
      ...
         <HTTPTargetConnection>
            <Properties />
            <SSLInfo>
               <Enabled>true</Enabled>
               <ClientAuthEnabled>true</ClientAuthEnabled>
               <KeyStore>ref://myKeystoreRef</KeyStore>
               <KeyAlias>myKey</KeyAlias>
               <TrustStore>
                  ref://myCompanyTrustStoreRef
               </TrustStore>
            </SSLInfo>
         </HTTPTargetConnection>
         ...
      </TargetEndpoint>

   2. Yukarıdaki örnekte TrustStore referans adı: myCompanyTruststoreRef.

   3. Edge kullanıcı arayüzünde Ortamlar > Referanslar. Dosyadaki adı not edin Belirli Trustedstore referansı için Referans sütunu. Bu, güven deposu adı.

      ( resmi büyüt)

      

   4. Yukarıdaki örnekte güven deposu adı şu şekildedir:

      myCompanyTruststoreRef: myCompanyTruststore

3. Truststore'da depolanan sertifikaları al (önceki adımda belirlenir) kullanın:

   1. Bir anahtar deposu veya güven deposu için tüm sertifikaları alın. Bu API, işletmenizin sertifikalarınız da var.

      Herkese açık Cloud kullanıcısı:

      curl -v -X GET https//api.enterprise.apigee.com/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs -H "Authorization: Bearer $TOKEN"
      

      Private Cloud kullanıcısı:

      curl -v -X GET http://MANAGEMENT_HOST:PORT_#/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs -H "Authorization: Bearer $TOKEN"
      

      Yer:

      • ORGANIZATION_NAME, kuruluşun adıdır
      • ENVIRONMENT_NAME, ortamın adıdır
      • KEYSTORE_NAME, anahtar deposunun adıdır
      • $TOKEN, OAuth 2.0 erişim jetonunuz olarak şu şekilde ayarlanmıştır: OAuth 2.0 erişim jetonu alma
      • Bu örnekte kullanılan curl seçenek başlıklı konuda açıklanmaktadır. Curl kullanma

      Örnek çıkış:

      myCompanyTruststore örneği güven deposundaki sertifikalar şunlardır:

      [
        "serverCert"
      ]

   2. Bir Anahtar Deposu veya Truststore'dan belirli bir sertifikanın Sertifika Ayrıntılarını alın. Bu API, API'deki belirli bir sertifikadaki belirli bir sertifikanın güven deposu.

      Herkese açık Cloud kullanıcısı:

      curl -v -X GET https//api.enterprise.apigee.com/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs/CERT_NAME -H "Authorization: Bearer $TOKEN"
      

      Private Cloud kullanıcısı

      curl -v -X GET http://MANAGEMENT_HOST:PORT_#>/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs/CERT_NAME -H "Authorization: Bearer $TOKEN"
      

      Yer:

      • ORGANIZATION_NAME, kuruluşun adıdır
      • ENVIRONMENT_NAME, ortamın adıdır
      • KEYSTORE_NAME, anahtar deposunun adıdır
      • CERT_NAME, sertifikanın adıdır
      • $TOKEN, OAuth 2.0 erişim jetonunuz olarak şu şekilde ayarlanmıştır: OAuth 2.0 erişim jetonu alma
      • Bu örnekte kullanılan curl seçenek başlıklı konuda açıklanmaktadır. Curl kullanma

      Örnek Çıkış

      serverCert ayrıntılarında, konu ve kartı veren aşağıdaki şekilde gösterilmektedir:

      Yaprak/Varlık Sertifikası:

      "subject": "CN=mocktarget.apigee.net",
      "issuer": "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",

      Orta Düzey Sertifika:

      "subject" : "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",
      "issuer" : "CN=GTS Root R1, O=Google Trust Services LLC, C=US",

4. 1. adımda elde edilen gerçek sunucu sertifikasının ve sertifikanın 3. adımdaki eşleşmede bulunan güven deposunda saklanır. Bunlar eşleşmezse bir neden sunmalısınız.

   Yukarıda gösterilen örnekten her seferinde tek bir sertifikaya bakalım:

   1. Yaprak sertifikası:

      Arka uç sunucusundan:

      s:/CN=mocktarget.apigee.net
      i:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4

      İleti İşleyici'nin (istemci) güven deposundan:

      "subject": "CN=mocktarget.apigee.net",
      "issuer": "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",

      Truststore'da depolanan yaprak sertifikası, arka ucun sertifikasıyla eşleşir sunucu.

   2. Ara sertifika:

      Arka uç sunucusundan:

      s:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
      i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1

      İleti İşleyici'nin (istemci) güven deposundan:

      "subject" : "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",
      "issuer" : "CN=GTS Root R1, O=Google Trust Services LLC, C=US",

      Truststore'da depolanan ara sertifika, arka uç sunucusuna gidin.

   3. Kök sertifika:

      Arka uç sunucusundan:

      s:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
      i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1

      Kök sertifika, İleti İşleyen'in güven deposu.

   4. Truststore'da kök sertifika eksik olduğundan, İleti İşleyici şu istisnayı devreye sokar:

      sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

      ve hata koduyla 503 Service Unavailable değerini döndürür Müşteri için messaging.adaptors.http.flow.SslHandshakeFailed izin verir.

Doğru FQDN

Arka uç sunucusunun anahtar deposunu doğru FQDN, geçerli ve eksiksiz sertifika ile güncelleyin zincir:

1. Doğru FQDN'ye sahip bir arka uç sunucusunun sertifikası yoksa uygun CA'dan (Sertifika Yetkilisi) uygun sertifikayı alın.

2. arka uç sunucusunun sertifika zincirinin geçerli ve eksiksiz olmasını sağlayın.

3. Sertifika zincirinin doğru FQDN'sini içeren geçerli ve eksiksiz sertifika zincirine sahip olduğunuzda, yaprak veya varlık sertifikasında, ana makine adıyla aynı olan arka uç sunucusu belirtilenden sonra, arka ucun anahtar deposunu tam sertifika zincirine sahip.

Doğru arka uç sunucusu

Hedef uç noktasını doğru arka uç sunucusunun ana makine adıyla güncelleyin:

1. Ana makine adı, hedef uç noktasında yanlış belirtildiyse hedef uç noktasının arka uçtaki FQDN ile eşleşen doğru ana makine adına sahip olmasını sağlayın sunucu sertifikası.

2. API proxy'sinde yapılan değişiklikleri kaydedin.

   Yukarıda açıklanan örnekte, arka uç sunucu ana makine adı yanlışsa arka uç sunucusunun sertifikasındaki FQDN'yi kullanarak sorunu düzeltebilirsiniz. Bu backend.apigee.net şu şekildedir:

   <TargetEndpoint name="default">
      …
      <HTTPTargetConnection>
         <Properties />
         <SSLInfo>
            <Enabled>true</Enabled>
            <TrustStore>ref://myTrustStoreRef</TrustStore>
         </SSLInfo>
         <URL>https://backend.apigee.net/resource</URL>
      </HTTPTargetConnection>
   </TargetEndpoint>