Solucionar problemas de ouvintes desabilitados no Gateway de Aplicativo do Azure

Resumo

Este artigo explica o conceito de ouvintes desabilitados em Gateway de Aplicativo do Azure, os motivos por trás de sua ocorrência e as etapas para identificá-los e resolvê-los.

Você pode referenciar os certificados SSL/TLS para ouvintes do Gateway de Aplicativo do recurso de Azure Key Vault de um cliente. Seu gateway de aplicativo deve sempre ter acesso a esses recursos (e ao seu objeto de certificado) para garantir o funcionamento adequado da funcionalidade de terminação de TLS (Transport Layer Security) e a saúde geral do recurso de gateway de aplicativo.

Considere qualquer impacto no recurso do Gateway de Aplicativo ao fazer alterações ou revogar o acesso ao recurso Key Vault. Se o gateway de aplicativo não puder acessar o cofre de chaves associado ou localizar seu objeto de certificado, ele colocará automaticamente esse ouvinte em um estado desabilitado.

Qualquer configuração incorreta feita pelo cliente (como a exclusão ou desativação de certificados, ou o bloqueio do acesso do Gateway de Aplicativo pelo firewall ou pelas permissões do Key Vault) pode fazer com que o listener HTTPS baseado no Key Vault seja desativado. Problemas transitórios de conectividade não afetam os ouvintes.

Um ouvinte desativado não afeta o tráfego dos outros ouvintes em operação no Application Gateway. Por exemplo, os ouvintes HTTP ou ouvintes HTTPS para os quais o arquivo de certificado .pfx é carregado diretamente no recurso do Gateway de Aplicativo nunca são desabilitados.

A ilustração a seguir mostra um exemplo de um ouvinte afetado devido a problemas de acesso Key Vault.

Verificação periódica e seu impacto nos ouvintes

Entender o comportamento da verificação periódica do Application Gateway e seu possível impacto no estado de um listener baseado no Key Vault pode ajudá-lo a evitar essas ocorrências ou resolvê-las muito mais rapidamente.

Como funciona a verificação de Key Vault periódica

1. As instâncias do Application Gateway consultam periodicamente o recurso do Key Vault para obter uma nova versão do certificado.
2. Durante essa atividade, se as instâncias detectarem acesso interrompido ao recurso Key Vault ou a um objeto de certificado ausente, os ouvintes associados a esse key vault entrarão em um estado desabilitado. As instâncias são atualizadas com um status desabilitado para os ouvintes dentro de 60 segundos para fornecer um comportamento consistente do plano de dados.
3. Depois que o cliente resolve o problema, a mesma sondagem periódica, realizada a cada quatro horas, verifica o acesso ao objeto de certificado do Key Vault e reativa automaticamente os listeners em todas as instâncias desse gateway.

Identificar ouvintes desabilitados

• Os clientes veem o erro "ERR_SSL_UNRECOGNIZED_NAME_ALERT" se fizerem qualquer requisição para um listener desabilitado do seu Application Gateway, conforme mostrado na ilustração a seguir.

1. Você pode verificar se o erro do cliente é resultado de um listener desabilitado em seu gateway consultando a página de Resource Health do Application Gateway, conforme mostrado na ilustração a seguir.

Resolver erros de configuração de Key Vault

Você pode restringir a causa exata e encontrar etapas para resolver o problema visitando a recomendação de Assistente do Azure em sua conta. Para fazer isso, siga estas etapas:

1. Entre no portal do Azure.
2. Selecione Assistente.
3. Selecione a categoria Excelência Operacional no menu.
4. Encontre a recomendação intitulada resolver o problema do Azure Key Vault para o Gateway de Aplicações (mostrada somente se o gateway estiver enfrentando esse problema). Verifique se a assinatura correta está selecionada.
5. Selecione-o para exibir os detalhes do erro e o recurso de Key Vault associado, juntamente com o guia de solução de problemas para corrigir o problema exato.

References

Solucionando erros de cofre de chaves no Gateway de Aplicativo do Azure