アプリケーションの到達可能性のトラブルシューティング (Connector Appliance からバックエンドアプリへ)
Secure Private Access™ を介して配信される Web、SaaS、または TCP/UDP アプリケーションの起動に失敗した場合、原因は多くの場合、Connector Appliance とバックエンドアプリケーションサーバー間のネットワークの問題です。これまで、管理者は Connector Appliance が実際にバックエンドに到達できるかどうかを確認したり、接続がどこで切断されたかを正確に確認したりする簡単な方法がありませんでした。
Monitor の [プローブの実行] オプションがこれを解決します。これにより、特定の Connector Appliance からバックエンドホストまたはアプリケーションへのオンデマンドネットワークプローブ (接続テスト) をトリガーできます。
プローブは、DNS 解決、TCP 接続、TLS ハンドシェイク、HTTP リクエストといった接続の各段階を順に実行し、各段階の結果と所要時間を報告します。
これにより、Connector Appliance コンソールにログオンすることなく、到達可能性を迅速に確認し、失敗した正確な手順を特定できます。
Monitor の次の 2 つの場所からプローブを開始できます。
- The [インフラストラクチャ] ビュー。監視対象の任意の Connector Appliance を選択し、任意のホストまたはアプリケーションをプローブします。
- Secure Private Access セッションの [アプリケーションのトポロジ] ビュー。アプリの起動が宛先に接続できなかった場合に、コンテキスト内でプローブが提供されます。
要件
- プローブの実行は、管理上のトラブルシューティングアクションです。Monitor には、フル管理者権限を持つ管理者としてサインインする必要があります。[プローブの実行] オプションは、ヘルプデスク管理者には利用できません。
- プローブをトリガーするには、Secure Private Access の資格が必要です。
- Connector Appliance は、[インフラストラクチャ] ビューで監視されている必要があります。詳しくは、「インフラストラクチャの監視」を参照してください。
- トポロジビューからプローブを開始するには、Citrix DaaS™ と Secure Private Access の両方の資格が必要です。詳しくは、「Secure Private Access の監視とトラブルシューティング」を参照してください。
プローブプロトコルと入力
プローブを開始するときは、テストするバックエンドに一致する [プロトコル] を選択します。プロトコルによって、テストされる接続段階と、提供するターゲットの詳細が決まります。
| プロトコル | テスト内容 | 提供するターゲットの詳細 |
|---|---|---|
| ICMP | バックエンドホストがConnector Applianceからのpingに応答するかどうか。 | ターゲットホスト（IPアドレスまたはホスト名）。ポートは不要です。 |
| TCP | DNS解決と、ポートでTCP接続を開けるかどうか。 | ターゲットホストとポート。 |
| SSL/TLS | DNS解決、TCP接続、およびTLSハンドシェイク（証明書ネゴシエーションを含む）。 | ターゲットホストとポート。 |
| HTTP | DNS解決、TCP接続、およびHTTPリクエストまたはレスポンス。 | アプリケーションURL。 |
| HTTPS | DNS解決、TCP接続、TLSハンドシェイク、およびHTTPSリクエストまたはレスポンス。 | アプリケーションURL。 |
プロキシリストを使用して、プローブを直接実行するか、プロキシ経由で実行するかを選択することもできます。
- 直接（プロキシなし） – Connector Applianceがターゲットに直接接続します。
-
<プロキシ> – Connector Applianceは、選択したプロキシを介してプローブをルーティングします。このリストには、プローブで利用可能なプロキシ（
FQDN:PORTまたはIP:PORTとして）が表示されます。
インフラストラクチャビューからプローブを実行する
この方法を使用するのは、選択したConnector Applianceから任意のホストまたはアプリケーションへの到達可能性をテストする場合です。たとえば、アプリが依存するバックエンドサーバーを確認する場合などです。
-
Monitorで、インフラストラクチャに移動し、Connector Applianceタブを選択します。このテーブルには、監視対象のConnector Applianceが、サーバーの状態、依存サービスの状態、接続状態、リソース使用量とともに一覧表示されます。
-
プローブを実行するConnector Applianceの行を選択し、プローブの実行をクリックします。
-
プローブの実行パネルで、プロトコルを選択し、必要に応じてプロキシを選択します。
-
プローブをプロキシ経由で実行する場合は、プロキシリストから選択します。それ以外の場合は、直接（プロキシなし）が選択されたままにします。
-
選択したプロトコルのターゲット詳細を入力します。
- ICMP、TCP、およびSSL/TLSの場合は、ターゲットホストまたはアプリケーション（IPアドレスまたはホスト名）と、該当する場合はポートを入力します。
- HTTPおよびHTTPSの場合は、アプリケーションのURLを入力します。
HTTPSのURLフィールドがあるプローブ実行パネル(/en-us/citrix-daas/media/ca-probe-url.png)
-
完了をクリックしてプローブを開始します。
モニターには進行中のアクションダイアログが表示され、実行中に各接続ステージが更新されます。
進行中のプローブ(/en-us/citrix-daas/media/ca-probe-progress.png)
-
プローブが完了したら、結果を確認します。詳細については、「プローブ結果を理解する」を参照してください。閉じるをクリックしてダイアログを閉じます。
アプリケーショントポロジビューからプローブを実行する
この方法は、Secure Private Accessアプリの起動失敗のトラブルシューティングをすでに行っている場合に使用します。プローブはコンテキスト内で提供され、プロトコルとターゲットは失敗したアプリケーションから事前に入力されます。
Web、SaaS、またはTCP/UDPアプリが、Connector Applianceがバックエンドに到達できないために起動に失敗した場合、アプリケーショントポロジはConnector Applianceとバックエンドアプリケーション間のセグメントをアプリ起動エラーとして強調表示し、概要ペインには宛先に接続できないため、アプリケーションの起動に失敗しましたと表示されます。
-
影響を受けるセッションのSecure Private Accessセッション詳細ページを開きます。一般的なパスは、ユーザーを検索し、アクティビティマネージャーを開き、起動済みアプリ（セッション）タブを選択し、エラー（アプリ接続）ステータスを報告するアプリケーションをクリックすることです。セッションへの移動の詳細については、「Secure Private Accessの監視とトラブルシューティング」を参照してください。
アプリ接続エラーのあるアプリを表示するアクティビティマネージャー(/en-us/citrix-daas/media/ca-probe-activity-manager.png)
-
アプリケーショントポロジで、リソースの場所にあるConnector Applianceノードを見つけます。このホップで起動に失敗した場合、ノードにはプローブの実行ボタン（およびCAヘルスを表示リンク）が表示されます。
アプリ起動エラーとプローブ実行ボタンがあるアプリケーショントポロジ(/en-us/citrix-daas/media/ca-probe-topology.png)
-
Run probe をクリックします。Run probe パネルが開き、失敗した起動から Protocol とアプリケーションの URL が事前に入力されます。必要に応じて詳細を調整します。
-
Done をクリックしてプローブを開始し、完了したら結果を確認します。
プローブを実行すると、選択したConnector Applianceがアプリケーションエンドポイントに到達できるかどうかが確認されます。プローブが成功してもアプリの起動に失敗する場合は、Connector Applianceからバックエンドへの到達可能性を除外し、他の調査に集中できます。プローブが失敗した場合、結果には失敗した段階が表示され、根本的なネットワークまたはバックエンドの問題を特定できます。
プローブ結果を理解する
プローブが完了すると、Monitorは各接続段階の結果と所要時間を表示します。ダイアログには、テストされた Application endpoint とプローブを実行した Connector Appliance も表示されます。
プローブの成功
すべての段階が成功した場合、ダイアログには Connectivity test successful と表示され、完了した各段階がリストされます。例：
- DNSが正常に解決されました。
- ターゲットホストへの接続が確立されました。
- ターゲットホストへのTLS接続が確立されました。
- ステータスライン
HTTP/1.1 301 Moved PermanentlyのHTTP応答を受信しました。
注：
表示されるステージはプロトコルによって異なります。たとえば、TLSステージはSSL/TLSおよびHTTPSプローブの場合にのみ表示され、HTTPリクエストまたはレスポンスステージはHTTPおよびHTTPSプローブの場合にのみ表示されます。
プロキシ経由のプローブ
プロキシ経由でプローブを実行すると、結果にはターゲットホストステージの前にプロキシ接続ステージが含まれます。たとえば、プロキシへの接続が確立されましたやプロキシ経由でターゲットホストへの接続が確立されましたなどです。
プロキシ経由のプローブ進行中(/en-us/citrix-daas/media/ca-probe-proxy-progress.png)
プロキシ経由の接続テスト結果が成功しました(/en-us/citrix-daas/media/ca-probe-proxy-success.png)
プローブの失敗
ステージが失敗した場合、結果は失敗したステージを特定し、関連するエラーの詳細（たとえば、接続拒否などのTCP接続エラー）を表示します。プローブは選択されたConnector Applianceから実行されるため、失敗したステージはパスがどこで途切れているかを示します。
- DNS解決の失敗 – Connector Applianceがホスト名を解決できません。DNS設定と入力したホスト名またはURLを確認してください。
- TCP接続の失敗 – ホストに到達できないか、ポートが閉じられているかブロックされています。ターゲットホスト、ポート、ファイアウォールルール、およびバックエンドサービスが実行されていることを確認してください。
- TLSハンドシェイクの失敗 – TCP接続は成功しましたが、TLSネゴシエーションが失敗しました。証明書、TLSバージョン、SNIまたはホスト名を確認してください。
- HTTPリクエストの失敗 – 接続は成功しましたが、アプリケーションがエラーを返すか、応答しません。アプリケーションとURLパスを確認してください。
考慮事項
- プローブはオンデマンドの時点接続テストです。継続的な監視は提供しません。
- プローブは選択されたConnector Applianceのデータパスから実行されるため、結果はそのConnector Applianceから見たネットワークのビューを反映します。
- プローブは約2分以内に完了することが期待されます。
- Monitorからは、Connector Applianceからのパケットトレースの収集はサポートされていません。パケットトレースが必要な場合は、ネットワーク管理者がConnector Applianceコンソールから収集する必要があります。
- アプリケーショントポロジのConnector Applianceからバックエンドアプリケーションへのホップにおける接続遅延値は、受動的で定期的な測定値です（過去1時間のP90）。そのホップのオンデマンドで特定の時点での到達可能性テストが必要な場合は、プローブを使用してください。詳細については、「Connector Applianceからバックエンドアプリケーションへの遅延」を参照してください。