Solucionar problemas de agentes de escucha deshabilitados en Azure Application Gateway

Resumen

En este artículo se explica el concepto de listeners deshabilitados en Azure Application Gateway, las causas de su aparición y los pasos para identificarlos y resolverlos.

Puede hacer referencia a los certificados SSL/TLS para los agentes de escucha de Application Gateway desde el recurso de Azure Key Vault de un cliente. La puerta de enlace de aplicación siempre debe tener acceso a estos recursos (y a su objeto de certificado) para garantizar el correcto funcionamiento de la característica de terminación de Seguridad de la capa de transporte (TLS) y el estado general del recurso de la puerta de enlace.

Considere cualquier impacto en el recurso de Application Gateway al realizar cambios o revocar el acceso al recurso de Key Vault. Si la puerta de enlace de aplicaciones no puede acceder al almacén de claves asociado o localizar su objeto de certificado, coloca automáticamente ese agente de escucha en un estado deshabilitado.

Las configuraciones incorrectas de los clientes (como la eliminación o deshabilitación de certificados o la prohibición del acceso de la puerta de enlace de aplicaciones a través del firewall o los permisos de Key Vault) pueden hacer que el agente de escucha HTTPS basado en key vault se deshabilite. Los problemas transitorios de conectividad no afectan a los detectores.

Un agente de escucha deshabilitado no afecta al tráfico de otros agentes de escucha operativos en Application Gateway. Por ejemplo, los agentes de escucha HTTP o los agentes de escucha HTTPS para los que el archivo de certificado .pfx se carga directamente en el recurso de Application Gateway nunca están deshabilitados.

La siguiente ilustración muestra un ejemplo de un listener afectado debido a problemas de acceso a Key Vault.

Comprobación periódica y su impacto en los oyentes

Comprender el comportamiento de la comprobación periódica de Application Gateway y su posible impacto en el estado de un agente de escucha basado en Key Vault puede ayudarle a anticiparse a este tipo de situaciones o a resolverlas con mucha mayor rapidez.

Funcionamiento de la comprobación periódica de Key Vault

1. Las instancias de Application Gateway sondean periódicamente el recurso del almacén de claves para obtener una nueva versión de certificado.
2. Durante esta actividad, si las instancias detectan el acceso roto al recurso de Key Vault o a un objeto de certificado que falta, los agentes de escucha asociados a ese key vault entran en un estado deshabilitado. Las instancias se actualizan al estado deshabilitado para los listeners en 60 segundos para garantizar un comportamiento coherente del plano de datos.
3. Una vez que el cliente soluciona el problema, la misma comprobación periódica que se realiza cada cuatro horas verifica el acceso al objeto de certificado en Key Vault y vuelve a habilitar automáticamente las escuchas en todas las instancias de dicha puerta de enlace.

Identifique los receptores deshabilitados

• Los clientes ven el error "ERR_SSL_UNRECOGNIZED_NAME_ALERT" si realizan alguna solicitud a un agente de escucha deshabilitado de Application Gateway, como se muestra en la ilustración siguiente.

1. Puede comprobar si el error del cliente se produce desde un agente de escucha deshabilitado en la puerta de enlace comprobando la página de Resource Health de Application Gateway, como se muestra en la ilustración siguiente.

Resolución de errores de configuración de Key Vault

Puede restringir la causa exacta y encontrar los pasos para resolver el problema visitando la recomendación de Azure Advisor en su cuenta. Para ello, siga estos pasos:

1. Inicie sesión en Azure Portal.
2. Seleccione Advisor.
3. Seleccione la categoría Excelencia operativa en el menú.
4. Busque la recomendación titulada Resolve Azure Key Vault issue for your Application Gateway (que solo se muestra si su puerta de enlace está experimentando este problema). Asegúrese de que está seleccionada la suscripción correcta.
5. Selecciónelo para ver los detalles del error y el recurso de Key Vault asociado junto con la guía de solución de problemas para corregir el problema exacto.

References

Solución de problemas de errores del almacén de claves en Azure Application Gateway