App Mesh 安全故障排除

该证书不是由TLS客户端策略信任包中定义的证书颁发机构之一签署的。

证书不再有效（已过期）。

主题备用名称 (SAN) 与请求DNS的主机名不匹配。

确保后端服务提供的证书有效，由您的TLS客户端策略信任包中的一个证书颁发机构签名，并且符合中定义的标准传输层安全 (TLS)。

如果您收到的错误与下面的错误类似，则表示该请求正在绕过 Envoy 代理并直接到达应用程序。发送流量时，Envoy 上的统计数据不会发生变化，这表明 Envoy 不在解密流量的路上。在虚拟节点的代理配置中，确保 AppPorts 包含应用程序正在侦听的正确值。

upstream connect error or disconnect/reset before headers. reset reason: connection failure, transport failure reason: TLS error: 268435703:SSL routines:OPENSSL_internal:WRONG_VERSION_NUMBER

使用以下命令确保TLS证书已在 Envoy 配置中引导。

curl http://my-app.default.svc.cluster.local:9901/certs

在返回的输出中，您应该至少看到一个用于TLS终止的证书的条certificates[].cert_chain目。

确保代理监听器的成功入站连接数与SSL握手次数加上重复使用的SSL会话数完全相同，如以下示例命令和输出所示。

curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "listener.0.0.0.0_15000" | grep downstream_cx_total
listener.0.0.0.0_15000.downstream_cx_total: 11
curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "listener.0.0.0.0_15000" | grep ssl.connection_error
listener.0.0.0.0_15000.ssl.connection_error: 1
curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "listener.0.0.0.0_15000" | grep ssl.handshake
listener.0.0.0.0_15000.ssl.handshake: 9
curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "listener.0.0.0.0_15000" | grep ssl.session_reused
listener.0.0.0.0_15000.ssl.session_reused: 1
# Total CX (11) - SSL Connection Errors (1) == SSL Handshakes (9) + SSL Sessions Re-used (1)

使用以下命令确保已在 Envoy 配置中引导TLS信任库。

curl http://my-app.default.svc.cluster.local:9901/certs

您应该在下certificates[].ca_certs方看到至少一个条目，显示在创建期间TLS用于验证后端证书的证书。

确保成功连接到后端集群的出站连接数与SSL握手次数加上重复使用的SSL会话数完全相同，如以下示例命令和输出所示。

curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "virtual-node-name" | grep upstream_cx_total
cluster.cds_egress_mesh-name_virtual-node-name_protocol_port.upstream_cx_total: 11
curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "virtual-node-name" | grep ssl.connection_error
cluster.cds_egress_mesh-name_virtual-node-name_protocol_port.ssl.connection_error: 1
curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "virtual-node-name" | grep ssl.handshake
cluster.cds_egress_mesh-name_virtual-node-name_protocol_port.ssl.handshake: 9
curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "virtual-node-name" | grep ssl.session_reused
cluster.cds_egress_mesh-name_virtual-node-name_protocol_port.ssl.session_reused: 1
# Total CX (11) - SSL Connection Errors (1) == SSL Handshakes (9) + SSL Sessions Re-used (1)

确保该 TargetGroup 端口与虚拟节点定义的侦听器端口相匹配。

对于发起TLS与您的服务的连接的应用程序负载均衡器，请确保将TargetGroup协议设置为HTTPS。HTTP如果正在使用运行状况检查，请确保将 HealthCheckProtocol 设置为 HTTPS。

对于发起TLS与您的服务的连接的网络负载均衡器，请确保将TargetGroup协议设置为TLS。TCP如果正在使用运行状况检查，请确保将 HealthCheckProtocol 设置为 TCP。