503 Dịch vụ Không khả dụng - Lỗi Bắt tay SSL

Giám sát API

Quy trình 1: Sử dụng tính năng giám sát API

Cách chẩn đoán lỗi bằng tính năng Giám sát API:

1. Đăng nhập vào giao diện người dùng Apigee Edge với tư cách là người dùng có vai trò thích hợp.

2. Chuyển sang tổ chức mà bạn muốn điều tra vấn đề này.

   
3. Chuyển đến thẻ Analyze (Phân tích) > Giám sát API > Điều tra.
4. Chọn khung thời gian cụ thể mà bạn phát hiện thấy lỗi.

5. Vẽ Mã lỗi theo Thời gian.

6. Chọn một ô có mã lỗi messaging.adaptors.http.flow.SslHandshakeFailed như minh hoạ bên dưới:

   ( xem hình ảnh lớn hơn)

   

7. Thông tin về mã lỗi messaging.adaptors.http.flow.SslHandshakeFailed được hiển thị dưới dạng được hiển thị bên dưới:

   ( xem hình ảnh lớn hơn)

   

8. Nhấp vào Xem nhật ký rồi mở rộng hàng chứa yêu cầu không thành công.

   ( xem hình ảnh lớn hơn)

   
9. Từ cửa sổ Logs (Nhật ký), hãy lưu ý những thông tin chi tiết sau:
   • Mã nhận dạng của tin nhắn yêu cầu
   • Mã trạng thái: 503
   • Nguồn lỗi: target
   • Mã lỗi: messaging.adaptors.http.flow.SslHandshakeFailed

Trace

Quy trình 2: Sử dụng công cụ Theo dõi

Cách chẩn đoán lỗi bằng công cụ Theo dõi:

1. Bật phiên theo dõi và
   • Chờ lỗi 503 Service Unavailable với mã lỗi messaging.adaptors.http.flow.SslHandshakeFailed sắp xảy ra, hoặc
   • Nếu bạn có thể tái hiện vấn đề, hãy thực hiện lệnh gọi API để tái hiện vấn đề 503 Service Unavailable

2. Đảm bảo bạn đã bật chế độ Show all FlowInfos (Hiện tất cả FlowInfos):

   
3. Chọn một trong các yêu cầu không thành công rồi kiểm tra dấu vết.
4. Di chuyển qua các giai đoạn của quá trình theo dõi và xác định nơi xảy ra lỗi.

5. Bạn thường sẽ thấy lỗi này sau giai đoạn Target request Flow required (Đã bắt đầu quy trình yêu cầu mục tiêu) như minh hoạ dưới đây:

   ( xem hình ảnh lớn hơn)

   
6. Lưu ý các giá trị của các dấu vết sau:
   • lỗi: SSL Handshake failed sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
   • error.cause: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
   • error.class: com.apigee.errors.http.server.ServiceUnavailableException
   • Giá trị của lỗi SSL Handshake failed sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target cho biết quá trình bắt tay SSL không thành công, vì Trình xử lý tin nhắn của Apigee Edge không thể xác thực chứng chỉ.
7. Chuyển đến Giai đoạn AX (Đã ghi dữ liệu Analytics) trong dấu vết và nhấp vào đó.

8. Cuộn xuống phần Tiêu đề lỗi thông tin chi tiết về giai đoạn rồi xác định các giá trị của X-Apigee-fault-code và X-Apigee-fault-source và X-Apigee-Message-ID như minh hoạ dưới đây:

   ( xem hình ảnh lớn hơn)

   
9. Lưu ý các giá trị của X-Apigee-fault-code, X-Apigee-fault-source, và X-Apigee-Message-ID:

Tiêu đề lỗi	Giá trị
X-Apigee-fault-code	messaging.adaptors.http.flow.SslHandshakeFailed
X-Apigee-fault-source	target
X-Apigee-Message-ID	MESSAGE_ID

NGINX

Quy trình 3: Sử dụng nhật ký truy cập NGINX

Cách chẩn đoán lỗi bằng nhật ký truy cập NGINX:

1. Nếu là người dùng Đám mây riêng tư, bạn có thể sử dụng nhật ký truy cập NGINX để xác định thông tin chính về HTTP 503 Service Unavailable.

2. Kiểm tra nhật ký truy cập NGINX:

   /opt/apigee/var/log/edge-router/nginx/ORG~ENV.PORT#_access_log

3. Tìm kiếm xem có lỗi 503 nào với mã lỗi hay không messaging.adaptors.http.flow.SslHandshakeFailed trong một khoảng thời gian cụ thể (nếu sự cố xảy ra trong trước đây) hoặc nếu có bất kỳ yêu cầu nào vẫn không thành công với 503.

4. Nếu bạn tìm thấy bất kỳ lỗi 503 nào với kiểu khớp X-Apigee-fault-code giá trị của messaging.adaptors.http.flow.SslHandshakeFailed, sau đó xác định giá trị của X-Apigee-fault-source.

   Lỗi 503 mẫu trong nhật ký truy cập NGINX:

   ( xem hình ảnh lớn hơn)

   

   Mục nhập mẫu ở trên từ nhật ký truy cập NGINX có các giá trị sau cho X-Apigee-fault-code và X-Apigee-fault-code

   Tiêu đề	Giá trị
   X-Apigee-fault-code	messaging.adaptors.http.flow.SslHandshakeFailed
   X-Apigee-fault-source	target

Nhật ký Trình xử lý thư

Quy trình 4: Sử dụng Nhật ký trình xử lý thư

1. Dùng công cụ Giám sát API, công cụ Theo dõi để xác định mã nhận dạng thông báo của một trong các yêu cầu không thành công hoặc Nhật ký truy cập NGINX như được giải thích trong Các bước chẩn đoán phổ biến.

2. Tìm kiếm mã thông báo yêu cầu cụ thể trong nhật ký Trình xử lý thông báo (/opt/apigee/var/log/edge-message-processor/logs/system.log). Bạn có thể quan sát lỗi sau đây:

   org:myorg env:test api:MyProxy rev:1
   messageid:myorg-28247-3541813-1
   NIOThread@1 ERROR HTTP.CLIENT - HTTPClient$Context.handshakeFailed() :
   SSLClientChannel[Connected: Remote:X.X.X.X:443
   Local:192.168.194.140:55102]@64596 useCount=1
   bytesRead=0 bytesWritten=0 age=233ms  lastIO=233ms
   isOpen=true handshake failed, message: General SSLEngine problem
   

   Lỗi trên cho biết không thể bắt tay SSL giữa Trình xử lý thông báo và máy chủ phụ trợ.

   Tiếp theo là một ngoại lệ với dấu vết ngăn xếp chi tiết như minh hoạ dưới đây:

   org:myorg env:test api:MyProxy rev:1
   messageid:myorg-28247-3541813-1
   NIOThread@1 ERROR ADAPTORS.HTTP.FLOW - RequestWriteListener.onException() :
   RequestWriteListener.onException(HTTPRequest@1522922c)
   javax.net.ssl.SSLHandshakeException: General SSLEngine problem
   	at sun.security.ssl.Handshaker.checkThrown(Handshaker.java:1478)
   	at sun.security.ssl.SSLEngineImpl.checkTaskThrown(SSLEngineImpl.java:535)
   	... <snipped>
   Caused by: javax.net.ssl.SSLHandshakeException: General SSLEngine problem
   	at sun.security.ssl.Alerts.getSSLException(Alerts.java:203)
   	at sun.security.ssl.SSLEngineImpl.fatal(SSLEngineImpl.java:1728)
   	... <snipped>
   Caused by: sun.security.validator.ValidatorException: PKIX path building failed:
   sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid
   certification path to requested target
   	at sun.security.validator.PKIXValidator.doBuild(PKIXValidator.java:397)
   	at sun.security.validator.PKIXValidator.engineValidate(PKIXValidator.java:302)
   	... <snipped>
     

   Xin lưu ý rằng lỗi bắt tay là do:

   Caused by: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

   Mã này cho biết không thể bắt tay SSL khi Trình xử lý tin nhắn của Apigee Edge không thể xác thực chứng chỉ của máy chủ phụ trợ.

Giai đoạn 1

Giai đoạn 1: Xác định chuỗi chứng chỉ của máy chủ phụ trợ

Sử dụng một trong những phương thức sau để xác định chuỗi chứng chỉ của máy chủ phụ trợ:

openssl s_client -connect BACKEND_SERVER_HOST_NAME:PORT#

Certificate chain
 0 s:/CN=mocktarget.apigee.net
   i:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
 1 s:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
   i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
 2 s:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
   i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1

Giai đoạn 2

Giai đoạn 2: So sánh chứng chỉ và chứng chỉ của máy chủ phụ trợ được lưu trữ trong Cửa hàng tin cậy của Đơn vị xử lý thư

1. Xác định chuỗi chứng chỉ của máy chủ phụ trợ.
2. Xác định chứng chỉ được lưu trữ trong kho tin cậy của Trình xử lý thư bằng cách sử dụng các bước sau:

   1. Lấy tên tham chiếu kho tin cậy từ phần tử TrustStore trong phần SSLInfo trong TargetEndpoint.

      Hãy xem xét phần SSLInfo mẫu trong TargetEndpoint cấu hình:

      <TargetEndpoint name="default">
      ...
         <HTTPTargetConnection>
            <Properties />
            <SSLInfo>
               <Enabled>true</Enabled>
               <ClientAuthEnabled>true</ClientAuthEnabled>
               <KeyStore>ref://myKeystoreRef</KeyStore>
               <KeyAlias>myKey</KeyAlias>
               <TrustStore>
                  ref://myCompanyTrustStoreRef
               </TrustStore>
            </SSLInfo>
         </HTTPTargetConnection>
         ...
      </TargetEndpoint>
      

   2. Trong ví dụ trên, tên tham chiếu TrustStore là myCompanyTruststoreRef.

   3. Trong giao diện người dùng Edge, hãy chọn Môi trường > Tệp đối chiếu. Lưu ý tên trong Cột Tham chiếu cho số tham chiếu cụ thể của kho tin cậy. Đây sẽ là tên kho tin cậy.

      ( xem hình ảnh lớn hơn)

      

   4. Trong ví dụ trên, tên kho tin cậy là:

      myCompanyTruststoreRef: myCompanyTruststore

3. Lấy chứng chỉ được lưu trữ trong kho tin cậy (được xác định ở bước trước) bằng các API sau:

   1. Tải tất cả chứng chỉ cho một kho khoá hoặc kho tin cậy. API này liệt kê tất cả trong kho tin cậy cụ thể.

      Người dùng Cloud công khai:

      curl -v -X GET https//api.enterprise.apigee.com/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs -H "Authorization: Bearer $TOKEN"
      

      Người dùng Cloud riêng tư:

      curl -v -X GET http://MANAGEMENT_HOST:PORT_#/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs -H "Authorization: Bearer $TOKEN"
      

      Địa điểm:

      • ORGANIZATION_NAME là tên của tổ chức
      • ENVIRONMENT_NAME là tên môi trường
      • KEYSTORE_NAME là tên của kho khoá
      • $TOKEN được đặt thành mã truy cập OAuth 2.0 của bạn như được mô tả trong Nhận mã truy cập OAuth 2.0
      • Các tuỳ chọn curl dùng trong ví dụ này được mô tả trong Sử dụng cuộn tròn

      Kết quả mẫu:

      Các chứng chỉ của kho lưu trữ tin cậy mẫu myCompanyTruststore là:

      [
        "serverCert"
      ]
      

   2. Nhận thông tin chi tiết về chứng chỉ cho chứng chỉ cụ thể từ Kho khoá hoặc Truststore. API này trả về thông tin về một chứng chỉ cụ thể trong kho tin cậy.

      Người dùng Cloud công khai:

      curl -v -X GET https//api.enterprise.apigee.com/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs/CERT_NAME -H "Authorization: Bearer $TOKEN"
      

      Người dùng trên đám mây riêng tư

      curl -v -X GET http://MANAGEMENT_HOST:PORT_#>/v1/organizations/ORGANIZATION_NAME/environments/ENVIRONMENT_NAME/keystores/KEYSTORE_NAME/certs/CERT_NAME -H "Authorization: Bearer $TOKEN"
      

      Địa điểm:

      • ORGANIZATION_NAME là tên của tổ chức
      • ENVIRONMENT_NAME là tên môi trường
      • KEYSTORE_NAME là tên của kho khoá
      • CERT_NAME là tên của chứng chỉ
      • $TOKEN được đặt thành mã truy cập OAuth 2.0 của bạn như được mô tả trong Nhận mã truy cập OAuth 2.0
      • Các tuỳ chọn curl dùng trong ví dụ này được mô tả trong Sử dụng cuộn tròn

      Kết quả mẫu

      Thông tin chi tiết về serverCert cho biết chủ thể và nhà phát hành như sau:

      Giấy chứng nhận là tổ chức/pháp nhân:

      "subject": "CN=mocktarget.apigee.net",
      "issuer": "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",
      

      Chứng chỉ trung cấp:

      "subject" : "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",
      "issuer" : "CN=GTS Root R1, O=Google Trust Services LLC, C=US",
      

4. Xác minh chứng chỉ máy chủ thực tế nhận được ở bước 1 và chứng chỉ được lưu trữ trong kho tin cậy có được ở bước 3 trùng khớp. Nếu chúng không khớp nhau, thì đó là nguyên nhân của vấn đề.

   Từ ví dụ ở trên, hãy xem xét một chứng chỉ tại một thời điểm:

   1. Giấy chứng nhận mô tả:

      Trên máy chủ phụ trợ:

      s:/CN=mocktarget.apigee.net
      i:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
      

      Từ kho tin cậy của Trình xử lý thư (khách hàng):

      "subject": "CN=mocktarget.apigee.net",
      "issuer": "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",
      

      Chứng chỉ leaf được lưu trữ trong kho tin cậy khớp với chứng chỉ của phần phụ trợ máy chủ.

   2. Chứng chỉ trung gian:

      Trên máy chủ phụ trợ:

      s:/C=US/O=Google Trust Services LLC/CN=GTS CA 1D4
      i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
      

      Từ kho tin cậy của Trình xử lý thư (khách hàng):

      "subject" : "CN=GTS CA 1D4, O=Google Trust Services LLC, C=US",
      "issuer" : "CN=GTS Root R1, O=Google Trust Services LLC, C=US",
      

      Chứng chỉ trung gian được lưu trữ trong kho tin cậy khớp với chứng chỉ của máy chủ phụ trợ.

   3. Chứng chỉ gốc:

      Trên máy chủ phụ trợ:

      s:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
      i:/C=US/O=Google Trust Services LLC/CN=GTS Root R1
      

      Thiếu chứng chỉ gốc trong kho tin cậy.

   4. Vì chứng chỉ gốc bị thiếu trong kho tin cậy, Trình xử lý thư gửi trường hợp ngoại lệ sau:

      sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
      

      và trả về 503 Service Unavailable kèm theo mã lỗi messaging.adaptors.http.flow.SslHandshakeFailed đến khách hàng .

FQDN chính xác

Cập nhật kho khoá của máy chủ phụ trợ bằng FQDN chính xác, chứng chỉ hợp lệ và hoàn chỉnh :

1. Nếu bạn không có chứng chỉ của máy chủ phụ trợ với đúng FQDN, thì hãy mua chứng chỉ phù hợp từ một CA (Tổ chức phát hành chứng chỉ) thích hợp.

2. Xác thực rằng bạn có chuỗi chứng chỉ hợp lệ và hoàn chỉnh của máy chủ phụ trợ.

3. Sau khi bạn có chuỗi chứng chỉ hợp lệ và hoàn chỉnh kèm theo FQDN chính xác của máy chủ phụ trợ trong chứng chỉ thực thể hoặc lá đơn giống với tên máy chủ được chỉ định trong điểm cuối đích, hãy cập nhật kho khoá của phần phụ trợ bằng chuỗi chứng chỉ hoàn chỉnh.

Sửa máy chủ phụ trợ

Cập nhật điểm cuối đích bằng tên máy chủ của máy chủ phụ trợ chính xác:

1. Nếu tên máy chủ được chỉ định không chính xác trong điểm cuối đích, hãy cập nhật điểm cuối đích có tên máy chủ chính xác khớp với FQDN trong phần phụ trợ chứng chỉ của máy chủ.

2. Lưu các thay đổi đối với proxy API.

   Trong ví dụ đã thảo luận ở trên, nếu tên máy chủ lưu trữ của máy chủ phụ trợ bị sai đã chỉ định, thì bạn có thể khắc phục bằng cách sử dụng FQDN từ chứng chỉ của máy chủ phụ trợ, là backend.apigee.net như sau:

   <TargetEndpoint name="default">
      …
      <HTTPTargetConnection>
         <Properties />
         <SSLInfo>
            <Enabled>true</Enabled>
            <TrustStore>ref://myTrustStoreRef</TrustStore>
         </SSLInfo>
         <URL>https://backend.apigee.net/resource</URL>
      </HTTPTargetConnection>
   </TargetEndpoint>