App Mesh 安全故障排除

该证书未由 TLS 客户端策略信任包中定义的证书颁发机构之一签名。

证书不再有效（已过期）。

主题备用名称 (SAN) 与请求的 DNS 主机名不匹配。

确保后端服务提供的证书有效，由您的 TLS 客户端策略信任包中的一个证书颁发机构签名，并且符合中定义的标准 传输层安全性协议 (TLS)。

如果您收到的错误与下面的错误类似，则表示该请求正在绕过 Envoy 代理并直接到达应用程序。发送流量时，Envoy 上的统计数据不会发生变化，这表明 Envoy 不在解密流量的路上。在虚拟节点的代理配置中，确保 AppPorts 包含应用程序正在侦听的正确值。

upstream connect error or disconnect/reset before headers. reset reason: connection failure, transport failure reason: TLS error: 268435703:SSL routines:OPENSSL_internal:WRONG_VERSION_NUMBER

使用以下命令确保已在 Envoy 配置中引导 TLS 证书。

curl http://my-app.default.svc.cluster.local:9901/certs

在返回的输出中，您应看到至少一个条目 certificates[].cert_chain 指定 TLS 端点。

确保代理侦听器的成功入站连接数与 SSL 握手次数加上重复使用的 SSL 会话数完全相同，如以下示例命令和输出所示。

curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "listener.0.0.0.0_15000" | grep downstream_cx_total
listener.0.0.0.0_15000.downstream_cx_total: 11
curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "listener.0.0.0.0_15000" | grep ssl.connection_error
listener.0.0.0.0_15000.ssl.connection_error: 1
curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "listener.0.0.0.0_15000" | grep ssl.handshake
listener.0.0.0.0_15000.ssl.handshake: 9
curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "listener.0.0.0.0_15000" | grep ssl.session_reused
listener.0.0.0.0_15000.ssl.session_reused: 1
# Total CX (11) - SSL Connection Errors (1) == SSL Handshakes (9) + SSL Sessions Re-used (1)

使用以下命令确保已在 Envoy 配置中引导 TLS 信任库。

curl http://my-app.default.svc.cluster.local:9901/certs

您应该在 certificates[].ca_certs 下方看到至少一个条目，显示在发起 TLS 期间用于验证后端证书的证书。

确保成功连接到后端集群的出站连接数与 SSL 握手次数加上重复使用的 SSL 会话数完全相同，如以下示例命令和输出所示。

curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "virtual-node-name" | grep upstream_cx_total
cluster.cds_egress_mesh-name_virtual-node-name_protocol_port.upstream_cx_total: 11
curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "virtual-node-name" | grep ssl.connection_error
cluster.cds_egress_mesh-name_virtual-node-name_protocol_port.ssl.connection_error: 1
curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "virtual-node-name" | grep ssl.handshake
cluster.cds_egress_mesh-name_virtual-node-name_protocol_port.ssl.handshake: 9
curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "virtual-node-name" | grep ssl.session_reused
cluster.cds_egress_mesh-name_virtual-node-name_protocol_port.ssl.session_reused: 1
# Total CX (11) - SSL Connection Errors (1) == SSL Handshakes (9) + SSL Sessions Re-used (1)

确保该 TargetGroup 端口与虚拟节点定义的侦听器端口相匹配。

对于通过 HTTP 向您的服务发起 TLS 连接的应用程序负载均衡器，请确保将 TargetGroup 协议设置为 HTTPS。如果正在使用运行状况检查，请确保将 HealthCheckProtocol 设置为 HTTPS。

对于通过 TCP 向您的服务发起 TLS 连接的网络负载均衡器，请确保将 TargetGroup 协议设置为 TLS。如果正在使用运行状况检查，请确保将 HealthCheckProtocol 设置为 TCP。