Uygulama açılmıyor (404, 403, 502)
Tedarikçi genel adresi açıyor, giriş yapıyor ve uygulama yerine bir hata sayfası görüyor.
Belirti
Giriş yapıldıktan sonra tarayıcı kısa bir hata sayfası gösteriyor. Üzerindeki sayı tanının kendisidir: 404 adresin hiçbir şeye karşılık gelmediğini, 403 isteğin tanınıp reddedildiğini, 502 ise izin verildiğini ama connector'ın uygulamaya ulaşamadığını söyler. Herhangi bir sayfadan önce gelen sertifika uyarısı ya da kendine dönen bir giriş, sondaki iki kendi-sunucu durumudur.
Önce şunlara bakın
- Hata sayfasındaki sayıyı ve altındaki sebep satırını okuyun. 403 sebebini yazar (yetki yok, onay bekliyor, saat dışı, reddedildi, süresi doldu); o satır bu sayfanın yarısını tek başına çözer.
- Infrastructure → Resources altında kaynağı bulup erişilebilirlik sütununa bakın: Reachable ya da Unreachable. 502 ile birlikte Unreachable doğrudan connector tarafını gösterir.
- Access altında Check access ile tedarikçiyi ve kaynağı seçin. Proxy'nin uyguladığı kuralların aynısını değerlendirir ve hangisinin reddettiğini söyler.
Olası sebepler
404: adres bir kaynağa karşılık gelmiyor
Nasıl anlaşılır: Girişten önce ya da sonra düz bir 404. Adres çubuğundaki ad kaynağın adından bir harf farklı, kaynak silinmiş ya da özel (BYO) bir alan adı girilmiş ama hiç doğrulanmamış.
Çözüm: Infrastructure → Resources altında kaynağı açın ve oradaki adı tedarikçinin yazdığıyla karşılaştırın; konsoldaki adresi olduğu gibi gönderin. Özel alan adında kaynaktaki doğrulama işlemini çalıştırın ve alan adının A kaydının sunucuya baktığından emin olun. Adreslerin nasıl kurulduğu için bkz. genel adres.
403: yetki yok, onay bekliyor ya da zaman penceresi dışında
Nasıl anlaşılır: 403 sayfası şunlardan birini yazar: yetki yok, onay bekliyor, saat dışı, reddedildi, süresi doldu. Konsoldaki Check access aynı kullanıcı ve kaynak için aynı kararı gösterir.
Çözüm: Her sebebin tek bir müdahale yeri vardır. Yetki yok: Access altında yetki oluşturun (bkz. yetki verme). Onay bekliyor: bir Admin ya da Operator Access → Pending requests altında onaylar (bkz. erişim istekleri). Saat dışı: yetkinin haftalık takvimi yetkinin kendi saat diliminde değerlendirilir; pencereyi genişletin ya da dilimi kontrol edin. Süresi doldu ya da reddedildi: yeni bir yetki gerekir; eskisi denetim izi için saklanır.
403: kaynak IP izin listesi
Nasıl anlaşılır: Tedarikçi her kaynakta reddediliyor, başka ağdaki bir başka tedarikçi ise giriyor. Tedarikçi evden, mobil paylaşımdan ya da listelediğinizden farklı bir ofisten çalışıyor.
Çözüm: Infrastructure → Policy altında Vendor source-IP allowlist listesini okuyun. Her istekte tedarikçinin gerçek genel adresiyle karşılaştırılır; tedarikçinin o anki ağı CIDR'lerden birinin içinde olmalıdır. Ekleyin ya da kısıtlama gerekmiyorsa listeyi boşaltın. Konsolun kendisi bu listeye tabi değildir, kendinizi dışarıda bırakamazsınız (bkz. kaynak IP izin listesi).
502: connector iç adrese ulaşamıyor
Nasıl anlaşılır: Girişten sonra 502 ve kaynak Unreachable görünüyor. İç adreste IP ya da port yanlış, uygulamanın kendisi kapalı ya da connector makinesiyle uygulama arasında bir güvenlik duvarı var.
Çözüm: Kendi bilgisayarınızdan değil, connector makinesinden deneyin: kaynağın iç adresiyle curl -sI http://10.0.5.20:8080. Bu adres connector'ın ulaştığı adrestir, tarayıcının ulaşabileceği değil. curl orada başarısızsa uygulamayı ya da ağı düzeltin; çalışıyorsa connector'ın gerçekten çevrimiçi olduğuna bakın (bkz. connector çevrimdışı görünüyor).
502: ALLOWED_TARGETS ya da egress politikası engelliyor
Nasıl anlaşılır: Connector makinesinden curl başarılı olsa da 502. Connector'ın günlüğünde reddedilen bir bağlantı var ve sayfasındaki Denied attempts sayacı tedarikçi her denediğinde artıyor.
Çözüm: Connector yalnızca sınırının izin verdiği hedefe bağlanır. İki yere bakın: konteynerdeki ALLOWED_TARGETS değişkeni (CIDR, ad ya da ad:port listesi) ve konsolda connector sayfasındaki Egress policy. Hedef ikisini de geçmelidir. Kaynağın iç adresini dışarıda bırakan hangisiyse ona ekleyin; konsol politikası konteyner listesini yalnızca daraltabilir, genişletemez (bkz. erişim sınırı).
Sertifika hatası (kendi sunucunuzda)
Nasıl anlaşılır: Yalnızca kendi sunucunuzda. Tarayıcı herhangi bir sayfa yüklenmeden sertifika uyarısı veriyor, manager.… adresindeki konsol ise sorunsuz açılıyor.
Çözüm: Uygulama başına sertifika ilk ziyarette verilir; ama yalnızca gerçek bir kaynak olan adlar için ve yalnızca *.access.<alan-adınız> joker A kaydı sunucuya bakıyorsa. Infrastructure → Custom domain → Verify DNS çalıştırın; kırmızı sonuç joker kaydın eksik ya da hâlâ yayılmakta olduğunu söyler, bu dakikalar sürer. Sonra adın bir kaynak olarak var olduğunu doğrulayın (bkz. DNS ve TLS doğrulama).
Giriş döngüsü: COOKIE_DOMAIN (kendi sunucunuzda)
Nasıl anlaşılır: Yalnızca kendi sunucunuzda. Tedarikçi konsolda başarıyla giriş yapıyor, uygulama adresine yönlendiriliyor ve kaç kez denese de yeniden giriş sayfasına düşüyor.
Çözüm: Oturum çerezini konsol yazar ve her <uygulama>.access.<alan-adınız> adresinde de okunabilmesi gerekir. Bu ancak .env içindeki COOKIE_DOMAIN başında nokta olan .access.<alan-adınız> biçimindeyse çalışır. Düzeltip manager konteynerini yeniden başlatın (bkz. kurulum dosyaları ve .env).
Hâlâ çözülmediyse
- Sayfadaki hata numarası ve sebep satırı, olduğu gibi
- Kaynağın konsolda görünen adı ve iç adresi
- O kullanıcı ve kaynak için Check access sonucu
- Connector makinesinden iç adrese yapılan curl çıktısı
- Zaman damgasıyla birlikte ilgili Audit kaydı