Rozwiązywanie problemów z wyłączonymi odbiornikami w usłudze Azure Application Gateway

Podsumowanie

W tym artykule wyjaśniono pojęcie wyłączonych detektorów nasłuchu w usłudze Azure Application Gateway, przyczyny ich występowania oraz sposoby ich identyfikacji i rozwiązywania.

Możesz odwoływać się do certyfikatów SSL/TLS dla nasłuchujących usługi Application Gateway w zasobie Azure Key Vault klienta. Brama aplikacji musi zawsze mieć dostęp do tych zasobów (oraz do obiektu jej certyfikatu), aby zapewnić bezproblemowe działanie funkcji terminacji protokołu Transport Layer Security (TLS) oraz ogólną kondycję zasobu bramy.

Podczas wprowadzania zmian lub odwołwania dostępu do zasobu usługi Key Vault należy wziąć pod uwagę jakikolwiek wpływ na zasób usługi Application Gateway. Jeśli brama aplikacji nie może uzyskać dostępu do skojarzonego magazynu kluczy lub odnaleźć obiektu certyfikatu, automatycznie przełącza ten odbiornik nasłuchujący w stan wyłączony.

Wszelkie błędy konfiguracji klienta (takie jak usuwanie lub wyłączanie certyfikatów lub zakaz dostępu bramy aplikacji za pośrednictwem zapory lub uprawnień Key Vault) mogą spowodować wyłączenie odbiornika HTTPS opartego na key vault. Przejściowe problemy z łącznością nie mają wpływu na odbiorniki.

Wyłączony odbiornik nie wpływa na ruch innych odbiorników operacyjnych w usłudze Application Gateway. Na przykład odbiorniki HTTP lub odbiorniki HTTPS, dla których plik certyfikatu PFX jest bezpośrednio przekazywany do zasobu usługi Application Gateway, nigdy nie są wyłączone.

Poniższa ilustracja przedstawia przykład elementu nasłuchującego, na który wpływają problemy z dostępem do usługi Key Vault.

Okresowe sprawdzanie i jego wpływ na odbiorniki

Zrozumienie działania mechanizmu cyklicznego sprawdzania w usłudze Application Gateway oraz jego potencjalnego wpływu na stan nasłuchującego korzystającego z usługi Key Vault może pomóc w zapobieganiu takim sytuacjom lub w ich znacznie szybszym rozwiązywaniu.

Jak działa okresowe sprawdzanie Key Vault

1. Wystąpienia usługi Application Gateway okresowo sondują zasób usługi Key Vault, aby uzyskać nową wersję certyfikatu.
2. W trakcie tego działania, jeśli wystąpienia wykrywają przerwany dostęp do zasobu Key Vault lub brakującego obiektu certyfikatu, odbiorniki skojarzone z tym key vault przechodzą do stanu wyłączonego. Instancje są aktualizowane do stanu wyłączonego dla nasłuchiwaczy w ciągu 60 sekund, aby zapewnić spójne działanie płaszczyzny danych.
3. Po rozwiązaniu problemu przez klienta to samo cykliczne sprawdzenie wykonywane co cztery godziny weryfikuje dostęp do obiektu certyfikatu w usłudze Key Vault i automatycznie ponownie włącza nasłuchy we wszystkich wystąpieniach tej bramy.

Identyfikowanie wyłączonych odbiorników

• Klienci widzą błąd „ERR_SSL_UNRECOGNIZED_NAME_ALERT”, jeśli wysyłają dowolne żądanie do wyłączonego odbiornika usługi Application Gateway, jak pokazano na ilustracji poniżej.

1. Możesz sprawdzić, czy błąd klienta wynika z wyłączonego odbiornika w bramie, sprawdzając stronę Resource Health usługi Application Gateway, jak pokazano na poniższej ilustracji.

Rozwiązywanie błędów konfiguracji Key Vault

Możesz dokładnie ustalić przyczynę i znaleźć kroki prowadzące do rozwiązania problemu, przechodząc do zalecenia usługi Azure Advisor na swoim koncie. W tym celu wykonaj następujące kroki:

1. Zaloguj się do portalu Azure.
2. Wybierz pozycję Advisor.
3. Wybierz kategorię Doskonałość operacyjna z menu.
4. Znajdź zalecenie zatytułowane Resolve problem z Azure Key Vault dla usługi Application Gateway (pokazane tylko wtedy, gdy brama ma ten problem). Upewnij się, że wybrana została poprawna subskrypcja.
5. Wybierz go, aby wyświetlić szczegóły błędu i skojarzony zasób Key Vault wraz z przewodnikiem rozwiązywania problemów, aby rozwiązać dokładny problem.

References

Rozwiązywanie błędów usługi Key Vault w Azure Application Gateway