本頁面提供逐步操作說明，協助您排解 IAP 地端部署連接器設定問題。如需其他疑難排解資訊，請參閱「Cloud Service Mesh 偵錯」。
排解錯誤 500 問題
以下列出各種問題和可能的解決方法，協助您解決嘗試存取應用程式時收到的 500 錯誤。
地端部署應用程式未連線至 Google Cloud 網路
您的內部部署應用程式可能未連線至Google Cloud 網路。從其中一個地端部署連接器 Compute Engine 執行個體，對地端部署應用程式執行 Ping，驗證連線能力。如果無法連上地端部署連接器端點，請先偵錯網路連線和設定，再繼續操作。
Envoy 未正確安裝在 VM 中
請完成下列步驟，確認 Envoy 已正確安裝：
- 從地端部署連接器登入其中一個 Compute Engine VM。地端部署連接器 VM 名稱以
opc-on-prem-app-deployment-ig-${app}開頭。 - 在 Cloud 控制台中，確認
opc-on-prem-app-deployment-gclb-urlmap負載平衡後端服務健康狀態檢查為綠色。 - 如果後端服務未顯示為健康狀態，請透過 SSH 連線至其中一個執行個體：
gcloud compute ssh INSTANCE_NAME --zone=ZONE_NAME
執行下列指令，確認 Envoy 正在運作：
ps aux | grep envoy
grep envoy以外，應該還有其他正在執行的程序。輸出內容範例：
envoy 943 0.0 0.0 5488 3076 ? Ss 06:25 0:00 /bin/bash /usr/local/bin/run-proxy.sh envoy 944 0.1 1.5 178928 57352 ? Sl 06:25 1:23 /usr/local/bin/envoy --config-path /usr/local/etc/ envoy/envoy-proxy-bootstrap.json --allow-unknown-static-fields --disable-hot-restart --log-level info --drain-time- s 60確認 Envoy 記錄目錄已在
/var/log/envoy/建立。發出下列指令，確保 VM 可以存取 gce-mesh bucket：
gcloud storage cp gs://gce-mesh/service-proxy-agent/releases/service-proxy-agent-0.2.tgz .
如果這個步驟中有任何驗證失敗，表示 Envoy 未正確安裝。如要瞭解詳情，請查看 /var/log/daemon.log 的啟動記錄。
如果您在先前的步驟中發現 Envoy 未執行，原因可能是 VPC Service Controls。VM 中的啟動指令碼會從 gce-mesh bucket 下載 Envoy 映像檔。如果 VPC Service Controls 規則不允許連線，地端部署連接器將無法運作。
如要確保 Envoy 正確安裝，請允許存取主機專案中 VPC Service Controls 的 gce-mesh storage bucket。此外，請確認 VPC 具有路由規則，允許流量傳輸至公開網際網路。這樣就能部署 Envoy。
詳情請參閱「輸入和輸出規則」。
您的地端部署應用程式未連線至 Envoy
如果可以從 VM Ping 地端部署應用程式，但無法使用地端部署連接器，可能是 Envoy 無法連線至應用程式。
如要確認 Envoy 能否連線至地端部署應用程式，請嘗試從執行 Envoy 的機器呼叫 Envoy。使用 SSH 連線至 VM opc-on-prem-app-deployment-ig-${app}，然後執行下列指令。您可以在「執行個體群組」>「詳細資料」>「通訊埠名稱對應」中找到 Envoy 通訊埠編號。
curl -x -v localhost:${envoy_port}如果無法連線至端點，請檢查下列事項：
/var/log/envoy/envoy.err.log，查看是否有任何錯誤記錄。如果沒有錯誤記錄，請執行下列指令，檢查 Cloud Service Mesh 是否已啟用，以及是否能夠設定 Envoy：sudo curl 0.0.0.0:15000/config_dump
- 確認已設定
TRAFFICDIRECTOR_INTERCEPTION_LISTENER。如果未設定TRAFFICDIRECTOR_INTERCEPTION_LISTENER，Cloud Service Mesh 就無法設定 Envoy。 - 檢查每個接聽程式是否有任何錯誤訊息。
未設定 Envoy 和 Cloud Service Mesh 帳戶權限
如果在 envoy.err.log 中看到 GRPC 403 錯誤，或 Envoy 設定中未顯示 TRAFFICDIRECTOR_INTERCEPTION_LISTENER，表示您可能未設定正確的帳戶權限。
確認 VM 服務帳戶具備 xDS v3 的 TD 存取權限：
- 確認權限：準備透過 Envoy 設定 Cloud Service Mesh
- 驗證帳戶：啟用服務帳戶
排解 ERR_SSL_VERSION_OR_CIPHER_MISMATCH 錯誤
如果瀏覽器顯示 ERR_SSL_VERSION_OR_CIPHER_MISMATCH 錯誤，但未重新導向至登入頁面，請在Google Cloud 負載平衡器詳細資料頁面中，驗證憑證狀態。
請注意，佈建 Google 管理的憑證最多可能需要 60 分鐘。
排解 Envoy 安裝問題
如果已成功部署地端部署連接器並佈建憑證，但連線仍失敗，可能表示 Envoy 未正確安裝在 VM 上。
如要確認 Envoy 是否已安裝，請透過 SSH 連線至其中一個 VM，然後執行下列指令：
ps aux | grep envoy
grep envoy以外，應有多個程序正在執行。netstat -tlpn
如果上述任一動作失敗，請採取下列行動來解決問題：
- 請確認部署連接器的子網路已啟用Private Google Access。
- 確認 VM 管理員 (OS Config API) 已啟用。
排解 IamMemberBinding 資源的部署失敗問題
如果部署或更新地端部署連接器時，發生與 IamMemberBinding 資源相關的 PERMISSION_DENIED 錯誤，可能是因為Google APIs Service Agent服務帳戶未獲授與OWNER角色，而為地端部署應用程式啟用 IAP 時，需要授予這項角色。
部署錯誤範例：
bind-iam-policy: {"ResourceType":"gcp-types/cloudresourcemanager-v1:virtual.projects.iamMemberBinding","ResourceErrorCode":"403","ResourceErrorMessage":{"code":403,"message":"Policy update access denied.","status":"PERMISSION_DENIED","statusMessage":"Forbidden","requestPath":"https://cloudresourcemanager.googleapis.com/v1/projects/<project-ID>:setIamPolicy","httpMethod":"POST"}}
bind-storage-admin-account-iam-policy: {"ResourceType":"gcp-types/cloudresourcemanager-v1:virtual.projects.iamMemberBinding","ResourceErrorCode":"403","ResourceErrorMessage":{"code":403,"message":"Policy update access denied.","status":"PERMISSION_DENIED","statusMessage":"Forbidden","requestPath":"https://cloudresourcemanager.googleapis.com/v1/projects/<project-ID>:setIamPolicy","httpMethod":"POST"}}
如果在部署時看到這些錯誤，請確認 Google APIs Service Agent 服務帳戶已獲授 OWNER 角色，然後重試。