La soluzione AEM per gli errori di mancata corrispondenza SAN TLS 421 con le reti CDN gestite dal cliente
È possibile che si verifichino errori di mancata corrispondenza SAN TLS HTTP 421 quando una rete CDN, un proxy o un WAF gestito dal cliente invia l’intestazione host o il valore SNI errato al dominio di ingresso Adobe per Adobe Experience Manager as a Cloud Service. In molti casi, la richiesta non riesce anche perché le intestazioni inoltrate richieste sono mancanti o incomplete. Solitamente, il problema viene risolto aggiornando la configurazione dell’origine in modo che la rete CDN utilizzi il dominio di ingresso Adobe per Host e SNI, mentre si inoltrano il dominio del sito originale ed eventuali intestazioni di autenticazione richieste.
Descrizione description
Ambiente
Adobe Experience Manager as a Cloud Service
Problema/Sintomi
È possibile che questo problema si verifichi quando un CDN, un WAF, un proxy o un load balancer gestito dal cliente inoltra un’intestazione Host o un valore SNI che non corrisponde al dominio di ingresso Adobe per l’origine di pubblicazione AEM.
- La richiesta ha esito negativo prima di raggiungere il livello di pubblicazione e restituisce una richiesta HTTP 421 con indirizzo errato.
- La risposta potrebbe indicare che l’host richiesto non corrisponde ai nomi alternativi del soggetto del certificato.
- In alcune distribuzioni basate su proxy, è invece possibile che venga visualizzato un messaggio che indica che l’host non corrisponde a SNI.
- Puoi confermare il problema confrontando le impostazioni della richiesta di origine con il dominio di ingresso Adobe e testando direttamente l’origine. Una richiesta correttamente formata in genere restituisce HTTP 200 o 301, mentre un host o un valore SNI non corrispondente può restituire HTTP 421.
Risoluzione resolution
Per risolvere il problema, effettua le seguenti operazioni:
- Identificare il dominio di ingresso Adobe per l’ambiente di pubblicazione interessato in Cloud Manager e utilizzare il dominio di pubblicazione nel formato
publish-p<program>-e<environment>.adobeaemcloud.comcome destinazione di origine. In questo modo puoi indirizzare le richieste all’endpoint Adobe corretto per l’ambiente. Verifica il valore sottoponendo direttamente a test il dominio di ingresso e confermando che una richiesta formulata correttamente restituisce una risposta HTTP 200 o 301. - Configura la CDN, il proxy o il WAF per utilizzare il dominio di ingresso Adobe come valore SNI di origine. Questo consente a Handshake TLS di utilizzare il certificato che corrisponde al dominio di ingresso Adobe. Verifica la configurazione nell’output di debug CDN o proxy e verifica che il valore SNI corrisponda esattamente al dominio di ingresso Adobe.
- Imposta l’intestazione dell’host di origine sullo stesso dominio di ingresso Adobe. In questo modo la richiesta corrisponde al certificato e alla destinazione di routing previsti dall’infrastruttura CDN gestita da Adobe. Verificare la modifica ripetendo il test della richiesta e confermando che l’errore di mancata corrispondenza della SAN HTTP 421 precedente non si verifica più a causa di una mancata corrispondenza dell’host o del certificato.
- Inoltra il dominio del sito originale nell’intestazione
X-Forwarded-Hostin modo che AEM possa risolvere correttamente il dominio in ingresso dopo che la richiesta ha raggiunto l’origine. In questo modo il routing basato su host continua a funzionare come previsto per il dominio rivolto al cliente. Verifica il comportamento confermando che la richiesta viene risolta nel sito o nell’host virtuale previsto. - Se la configurazione utilizza l’autenticazione CDN gestita dal cliente, configurare e inviare il valore
X-AEM-Edge-Keydefinito per l’ambiente in Cloud Manager. Questo consente ai servizi CDN gestiti da Adobe di riconoscere la richiesta come attendibile ed elaborare correttamente le intestazioni inoltrate. Verifica la configurazione confermando che la richiesta non avrà più esito negativo a causa dell’autenticazione Edge mancante. - Ripetere la richiesta fino alla fine. Se utilizzi cURL per la convalida, esegui il targeting del dominio di ingresso di Adobe e includi le intestazioni
Host,X-Forwarded-Hoste, se necessario,X-AEM-Edge-Keyrichieste. Il risultato previsto è che la richiesta restituisce HTTP 200 o 301 invece di HTTP 421. Verifica il risultato confermando che sia i test browser che cURL ora vengono indirizzati correttamente al sito previsto.
Se si verificano i seguenti sintomi e i passaggi per la risoluzione dei problemi producono i seguenti risultati, invia un ticket al supporto Adobe:
- HTTP 421 continua dopo che il dominio di origine, l’intestazione Host e il valore SNI corrispondono al dominio di ingresso Adobe.
- La richiesta continua a non riuscire dopo l’inoltro di
X-Forwarded-Hoste, se richiesto, di unX-AEM-Edge-Keyvalido. - La rete CDN, il proxy o il WAF non possono eseguire l’override dell’intestazione Host o del valore SNI per le richieste di origine.
Apri un caso e includi il testo esatto dell’errore, il dominio interessato, il dominio di ingresso Adobe, i risultati dei test bonificati ed eventuali output di debug CDN rilevanti.