Problemen met uitgeschakelde listeners in Azure Application Gateway oplossen

Samenvatting

In dit artikel worden het concept van uitgeschakelde listeners in Azure Application Gateway, de redenen waarom deze voorkomen en de stappen om deze te identificeren en op te lossen toegelicht.

U kunt verwijzen naar de SSL/TLS-certificaten voor listeners van Application Gateway vanuit de Azure Key Vault resource van een klant. Uw toepassingsgateway moet altijd toegang hebben tot deze resources (en het bijbehorende certificaatobject) om een soepele werking te garanderen van de beëindigingsfunctie Transport Layer Security (TLS) en de algehele status van de gatewayresource.

Houd rekening met eventuele gevolgen voor uw Application Gateway-resource bij het aanbrengen van wijzigingen of het intrekken van toegang tot uw Key Vault resource. Als de toepassingsgateway geen toegang heeft tot de gekoppelde sleutelkluis of het bijbehorende certificaatobject kan vinden, wordt die listener automatisch in een uitgeschakelde status geplaatst.

Opmerking

Deze actie wordt alleen geactiveerd voor configuratiefouten.

Onjuiste configuraties van klanten (zoals het verwijderen of uitschakelen van certificaten of het verbieden van de toegang van de toepassingsgateway via de firewall of machtigingen van Key Vault) kunnen ertoe leiden dat de key vault https-listener wordt uitgeschakeld. Tijdelijke verbindingsproblemen hebben geen invloed op de listeners.

Een uitgeschakelde listener heeft geen invloed op het verkeer voor andere operationele listeners op uw Application Gateway. De HTTP-listeners of HTTPS-listeners waarvoor het PFX-certificaatbestand rechtstreeks wordt geüpload op de Application Gateway-resource, worden bijvoorbeeld nooit uitgeschakeld.

De volgende afbeelding toont een voorbeeld van een getroffen listener door toegangsproblemen met Key Vault.

Een afbeelding van getroffen luisteraars.

Periodieke controle en de impact ervan op listeners

Inzicht in het gedrag van de periodieke controle van de Application Gateway en de mogelijke impact ervan op de status van een op Key Vault gebaseerde listener kan u helpen dergelijke situaties te voorkomen of ze veel sneller op te lossen.

Hoe de periodieke Key Vault-controle werkt

  1. Application Gateway-exemplaren controleren periodiek de Key Vault-resource om een nieuwe versie van het certificaat op te halen.
  2. Als de instanties tijdens deze activiteit detecteren dat er geen toegang meer is tot de Key Vault-resource of dat er een certificaatobject ontbreekt, worden de listeners die aan die Key Vault zijn gekoppeld uitgeschakeld. De instances worden binnen 60 seconden bijgewerkt naar een uitgeschakelde status voor de listeners om consistent gedrag van het datavlak te waarborgen.
  3. Nadat de klant het probleem heeft opgelost, controleert dezelfde periodieke poll van vier uur de toegang tot het Key Vault certificaatobject en worden listeners automatisch opnieuw ingeschakeld op alle exemplaren van die gateway.

Uitgeschakelde listeners identificeren

  • De clients zien de fout 'ERR_SSL_UNRECOGNIZED_NAME_ALERT' als ze een aanvraag indienen bij een uitgeschakelde listener van uw Application Gateway, zoals wordt weergegeven in de volgende afbeelding.

Schermopname van de clientfout ERR_SSL_UNRECOGNIZED_NAME_ALERT.

  1. U kunt controleren of de clientfout het resultaat is van een uitgeschakelde listener op uw gateway door de Resource Health pagina van uw Application Gateway te controleren, zoals wordt weergegeven in de volgende afbeelding.

Schermafbeelding van de door de gebruiker geïnitieerde resource-statusgebeurtenis op de pagina Resourcestatus van Application Gateway.

Key Vault-configuratiefouten oplossen

U kunt de exacte oorzaak beperken en stappen vinden om het probleem op te lossen door naar de Azure Advisor aanbeveling in uw account te gaan. Volg hiervoor deze stappen:

  1. Meld u aan bij het Azure-portaal.
  2. Selecteer Advisor.
  3. Selecteer de categorie Operational Excellence in het menu.
  4. Zoek de aanbeveling met de titel Resolve Azure Key Vault probleem voor uw Application Gateway (alleen weergegeven als uw gateway dit probleem ondervindt). Zorg ervoor dat het juiste abonnement is geselecteerd.
  5. Selecteer deze om de foutdetails en de bijbehorende Key Vault resource weer te geven, samen met de gids voor probleemoplossing om uw exacte probleem op te lossen.

Opmerking

De uitgeschakelde listeners worden automatisch ingeschakeld als de Application Gateway-resource detecteert dat het onderliggende probleem is opgelost. Deze controle vindt elke vier uur plaats. U kunt dit versnellen door kleine wijzigingen in Application Gateway uit te voeren (bijvoorbeeld HTTP-instelling, resourcetags, enzovoort). Deze wijziging dwingt een controle bij de Key Vault af.

References

Problemen oplossen van sleutelkastfouten in Azure Application Gateway

  • Laatst bijgewerkt om