VPN Gateway:Preguntas frecuentes sobre conexiones SSL-VPN

Categoría

Causa

Solución

Error de configuración

El servidor SSL o el cliente están configurados de manera incorrecta.

1. Revise la configuración de Local CIDR Block del servidor SSL. Asegúrese de que el bloque CIDR de la VPC de destino esté agregado en Local CIDR Block. Para obtener más información, consulte Modify an SSL server.

2. Compruebe que el software de VPN en el cliente esté configurado correctamente. Para conocer cómo configurar un cliente, consulte Configure a client.

Certificado de cliente SSL caducado

El certificado de cliente SSL caducó o no es válido.

1. Compruebe la validez del certificado de cliente SSL.

   De forma predeterminada, un certificado de cliente SSL tiene una vigencia de tres años.

2. Elimine el certificado de cliente SSL actual junto con toda su configuración. Después, descargue e instale un nuevo certificado de cliente SSL.

   Debe volver a descargar e instalar el certificado de cliente SSL después de habilitar o deshabilitar la autenticación de dos factores, o bien tras modificar la configuración del servidor SSL. Para obtener más información, consulte Download an SSL client certificate.

Se superó el límite de conexiones

La cantidad de clientes conectados al servidor SSL supera el límite permitido.

1. Compruebe si la cantidad de clientes conectados a la instancia de VPN Gateway supera el límite.

   • Si la cantidad de conexiones SSL simultáneas supera el límite, actualice la especificación del servidor SSL. Para obtener más información, consulte Change the number of concurrent SSL connections.

   • Como alternativa, desconecte los clientes inactivos. Los recursos se liberan aproximadamente 5 minutos después de la desconexión.

     Para consultar la información de conexión de los clientes, consulte View SSL client information.

2. Cambie el Protocol del servidor SSL a TCP. Luego, vuelva a descargar e instalar el certificado de cliente SSL. Para obtener más información, consulte Modify an SSL server y Download an SSL client certificate.

   Utilice TCP para obtener mayor confiabilidad. UDP es un protocolo no confiable y puede provocar que las conexiones inestables ocupen los espacios disponibles.

Problema de dirección IP

El bloque CIDR de la VPC se superpone con el bloque CIDR del cliente.

Modifique Local CIDR Block (el bloque CIDR de la VPC o del vSwitch) o Client CIDR Block del servidor SSL para evitar conflictos de direcciones IP. Para obtener más información, consulte Modify an SSL server.

El valor de Client CIDR Block del servidor SSL es demasiado pequeño. Como resultado, no se pueden asignar direcciones IP a los clientes.

Asegúrese de que la cantidad de direcciones IP en el bloque CIDR del cliente sea como mínimo cuatro veces mayor que la cantidad máxima de conexiones SSL-VPN. Para obtener más información, consulte Create and manage an SSL server.

Por ejemplo, si especifica 192.168.0.0/24 como bloque CIDR del cliente, el sistema primero divide un bloque CIDR de subred con una máscara de subred de 30 a partir de 192.168.0.0/24, como 192.168.0.4/30. Esta subred proporciona hasta cuatro direcciones IP. Luego, el sistema asigna una dirección IP de 192.168.0.4/30 al cliente y utiliza las otras tres direcciones IP para garantizar la comunicación de red. En este caso, un cliente consume cuatro direcciones IP. Por lo tanto, para asegurar que se pueda asignar una dirección IP a su cliente, debe asegurarse de que la cantidad de direcciones IP en el bloque CIDR del cliente sea como mínimo cuatro veces mayor que la cantidad máxima de conexiones SSL-VPN admitidas por la puerta de enlace VPN asociada.

Problema con el software de VPN

Existe un conflicto de software de VPN en el cliente.

1. Si tiene varias aplicaciones de VPN instaladas en el cliente, se recomienda usar solo una para establecer la conexión SSL-VPN.

2. Reinicie el cliente o reinstale el software de VPN. Para obtener más información, consulte Configure a client.

Otros

La causa no aparece en la lista anterior.

Revise los registros de la conexión SSL-VPN para solucionar el error. Para obtener más información, consulte Troubleshoot SSL-VPN connection issues.

Categoría

Causa

Solución

Red pública poco confiable

La mala calidad de la red pública entre el cliente y VPN Gateway provoca desconexiones intermitentes.

En el cliente, ejecute el comando ping o mtr para probar la calidad de la red desde el cliente hasta la dirección IP pública de VPN Gateway.

Si la calidad de la red es deficiente (por ejemplo, latencia alta o pérdida de paquetes), comuníquese con su proveedor de servicios de Internet (ISP) para solicitar asistencia.

Las conexiones SSL-VPN de larga distancia, como de EE. UU. (Silicon Valley) a Singapur, pueden presentar desconexiones intermitentes cuando el cliente accede a la VPC.

Cambie el Protocol del servidor SSL a TCP para obtener mayor confiabilidad. Para obtener más información, consulte Modify an SSL server.

Si el problema persiste después de cambiar Protocol a TCP, se recomienda utilizar Cloud Enterprise Network (CEN) y Smart Access Gateway (SAG) para conectar el cliente a la VPC.

Cambio en la configuración del servidor SSL

El cliente se desconecta porque se modificó la configuración del servidor SSL.

Después de modificar la configuración del servidor SSL, vuelva a conectar el cliente.

Categoría

Causa

Solución

Red pública poco confiable

Las conexiones SSL-VPN de larga distancia, como de EE. UU. (Silicon Valley) a Singapur, pueden presentar desconexiones intermitentes cuando el cliente accede a la VPC.

Cambie el Protocol del servidor SSL a TCP para obtener mayor confiabilidad. Para obtener más información, consulte Modify an SSL server.

Si utiliza una conexión SSL-VPN para comunicaciones de larga distancia, como de EE. UU. (Silicon Valley) a Singapur, y el problema persiste después de cambiar Protocol a TCP, se recomienda usar Cloud Enterprise Network y Smart Access Gateway para conectar el cliente a la VPC.

Se superó el límite de conexiones

La cantidad de clientes conectados al servidor SSL supera el límite permitido.

1. Compruebe si la cantidad de clientes conectados a la instancia de VPN Gateway supera el límite.

   • Si la cantidad de conexiones SSL simultáneas supera el límite, actualice la especificación del servidor SSL. Para obtener más información, consulte Change the number of concurrent SSL connections.

   • Como alternativa, desconecte los clientes inactivos. Los recursos se liberan aproximadamente 5 minutos después de la desconexión.

     Para consultar la información de conexión de los clientes, consulte View SSL client information.

2. Cambie el Protocol del servidor SSL a TCP. Luego, vuelva a descargar e instalar el certificado de cliente SSL. Para obtener más información, consulte Modify an SSL server y Download an SSL client certificate.

   Utilice TCP para obtener mayor confiabilidad. UDP es un protocolo no confiable y puede provocar que las conexiones inestables ocupen los espacios disponibles.

Problema del lado del cliente

El cliente no logra conectarse porque el cliente o el software de VPN no funcionan según lo esperado.

Reinicie el cliente, o bien reinstale y vuelva a configurar el software de VPN. Para conocer cómo instalar y configurar el software de VPN, consulte Configure a client.

Hora no sincronizada

La diferencia de hora entre el cliente y el servidor SSL es demasiado grande, lo que provoca un error en la verificación SSL.

La diferencia de hora entre el cliente y el servidor SSL no puede superar los 10 minutos. Ajuste la hora del cliente para sincronizarla con una fuente de hora estándar.

1. Consulte la hora actual en el cliente.

   Por ejemplo, en un sistema operativo Linux, ejecute el comando date para consultar la hora actual. Si difiere significativamente de la hora estándar, debe ajustarla.

2. Sincronice la hora mediante un servicio de protocolo de hora de red (NTP).

   Por ejemplo, en un sistema operativo Linux, ejecute los siguientes comandos para sincronizar la hora:

   yum install -y ntp    # Install the NTP service.
   ntpdate pool.ntp.org  # Synchronize the time.
   date                  # Check whether the time is synchronized.

Causa

Solución

La directiva de control de acceso de la aplicación cliente bloquea las solicitudes de ping.

Compruebe si la directiva de control de acceso de la aplicación cliente bloquea las solicitudes de ping. Si es así, modifique la directiva de control de acceso. Para obtener más información, consulte la guía de usuario del cliente.

De forma predeterminada, el firewall de un sistema operativo Windows bloquea las solicitudes de ping. Debe modificar la regla de entrada del firewall para permitir ICMPv4-In.

El firewall del sistema operativo en la instancia ECS de destino está bloqueando los paquetes ICMP.

Si las entradas de ruta en el cliente son correctas (puede ver la ruta hacia el bloque CIDR de la VPC al ejecutar route print o ip route), pero aún así no puede hacer ping a la instancia ECS en la VPC, revise la configuración del firewall del sistema operativo en la instancia ECS de destino:

1. Compruebe el estado de firewalld: ejecute systemctl status firewalld. Si la salida muestra active (running), el firewall está activo.

2. Consulte los detalles del firewall: ejecute firewall-cmd --list-all. Compruebe si el campo icmp-blocks contiene echo-request.

3. Deshabilite temporalmente el firewall para verificar: ejecute systemctl stop firewalld e intente hacer ping de nuevo. Si el ping funciona correctamente, el problema proviene de firewalld.

4. Revise las reglas de iptables: ejecute iptables -L INPUT -n para buscar reglas DROP o REJECT aplicadas a ICMP.

5. Compruebe SELinux: ejecute getenforce. Si devuelve Enforcing, puede establecerlo temporalmente en Permissive ejecutando setenforce 0 para comprobar si SELinux es la causa.

6. Compruebe que la ACL de red del vSwitch de la instancia permita el tráfico ICMP en sus reglas de entrada y salida.

El cliente tiene instalado OpenVPN 2.6 o una versión posterior. DCO (Data Channel Offload) viene habilitado de forma predeterminada en estas versiones y puede ser incompatible con SSL-VPN de Alibaba Cloud. Como resultado, el cliente indica que la conexión se estableció y las reglas del security group ya permiten el tráfico, pero aun así no puede hacer ping a las instancias ECS en la VPC.

Agregue el parámetro disable-dco como última línea del archivo de configuración de certificado config.ovpn en el cliente, guarde el archivo y vuelva a conectarse a la SSL-VPN.

Escenario

Causa

Solución

Un cliente puede usar correctamente el comando ping para acceder a la VPC, pero la VPC falla al usar ping para acceder al cliente.

La directiva de control de acceso de la aplicación cliente bloquea las solicitudes de ping.

Compruebe si la directiva de control de acceso de la aplicación cliente bloquea las solicitudes de ping. Si es así, modifique la directiva de control de acceso. Para obtener más información, consulte la guía de usuario del cliente.

De forma predeterminada, el firewall de un sistema operativo Windows bloquea las solicitudes de ping. Debe modificar la regla de entrada del firewall para permitir ICMPv4-In.

El uso de ping para acceder al cliente desde la VPC funciona correctamente, pero el uso del comando ping para acceder a la VPC desde el cliente falla.

Las rutas de tráfico de salida y de retorno entre el cliente y la VPC son distintas.

1. Si usa Cloud Enterprise Network (CEN) en su red, revise las configuraciones de ruta de todos los nodos de reenvío entre el cliente y la VPC. Asegúrese de que el tráfico entre el cliente y la VPC siga la misma ruta en ambas direcciones.

2. Compruebe si el recurso de la VPC, como una instancia ECS, tiene una dirección IP pública. Si el recurso cuenta con una dirección IP pública y la dirección IP de destino del tráfico de la VPC hacia el cliente también es pública, el tráfico podría enrutarse por Internet en lugar de hacerlo por la red privada.

Causa

Solución

El cliente no tiene una ruta hacia el servidor DNS, por lo que la resolución de nombres de dominio no está disponible.

1. Agregue el bloque CIDR del servidor DNS en Local CIDR Block del servidor SSL para que el cliente conozca la ruta hacia el servidor DNS.

   Por ejemplo, si usa Alibaba Cloud DNS PrivateZone para gestionar nombres de dominio, puede agregar 100.100.2.136/32 y 100.100.2.138/32 a Local CIDR Block del servidor SSL. De esta manera, el cliente podrá usar el servicio de resolución de nombres de dominio.

2. En el cliente, ejecute el comando ping o mtr para probar la conectividad con la aplicación. Si la conexión es normal, significa que la conexión SSL-VPN, el cliente, el servidor y las rutas funcionan según lo esperado. En este caso, deberá continuar con la solución de problemas según los servicios en la nube desplegados y la aplicación.

Categoría

Causa

Solución

Problema de enrutamiento

El valor de Local CIDR Block del servidor SSL no se especificó o está configurado de manera incorrecta.

1. Revise la configuración de Local CIDR Block del servidor SSL. Asegúrese de que el bloque CIDR al que el cliente necesita acceder esté agregado correctamente en Local CIDR Block del servidor SSL. Para obtener más información, consulte Modify an SSL server.

2. Compruebe que el cliente haya recibido las rutas hacia Local CIDR Block del servidor SSL.

   • En un cliente Windows, ejecute el comando ipconfig para consultar la dirección IP asignada al cliente. Luego, ejecute el comando route print para comprobar que el cliente recibió las rutas hacia Local CIDR Block del servidor SSL.

   • En un cliente Linux, ejecute el comando ifconfig para consultar la dirección IP asignada al cliente. Luego, ejecute el comando ip route show all para comprobar que el cliente recibió las rutas hacia Local CIDR Block del servidor SSL.

Problema de configuración del bloque CIDR

Local CIDR Block se superpone con Client CIDR Block del servidor SSL.

Revise la configuración del servidor SSL. Asegúrese de que Local CIDR Block y Client CIDR Block no se superpongan. Para obtener más información, consulte Modify an SSL server.

El valor de Destination CIDR Block de una entrada de ruta para una conexión IPsec-VPN en el mismo VPN Gateway entra en conflicto con Client CIDR Block del servidor SSL.

Cambie la entrada de ruta de la conexión IPsec-VPN por una más específica, o bien cambie Client CIDR Block del servidor SSL por otro bloque CIDR. Esto evita que Destination CIDR Block entre en conflicto con Client CIDR Block. Para obtener más información, consulte Modify a policy-based route, Modify a destination-based route o Modify an SSL server.

Problema con las reglas del security group

Las reglas del security group de la aplicación en la VPC o las directivas de control de acceso de la aplicación cliente no permiten la comunicación entre el cliente y la VPC.

1. Revise las reglas del security group de la aplicación en la VPC. Asegúrese de que permitan el tráfico entre el cliente y la VPC. Para obtener más información, consulte View security group rules y Add a security group rule.

2. Revise las directivas de control de acceso de la aplicación cliente. Asegúrese de que permitan el tráfico entre el cliente y la VPC.

Problema con el software de VPN

Las versiones incompatibles de OpenVPN en el cliente (demasiado antiguas o demasiado recientes) pueden impedir que reciba o procese los paquetes de respuesta de VPN Gateway.

Por ejemplo, un cliente Windows con OpenVPN 2.6.6 instalado podría no lograr hacer ping a los recursos en la nube.

Se recomienda descargar y usar la versión de OpenVPN proporcionada en la documentación de VPN Gateway. Para obtener más información, consulte Configure a client. Como alternativa, si el cliente tiene instalado OpenVPN 2.6 o una versión posterior, DCO (Data Channel Offload) viene habilitado de forma predeterminada en estas versiones y puede ser incompatible con SSL-VPN de Alibaba Cloud. En ese caso, agregue el parámetro disable-dco como última línea del archivo de configuración de certificado config.ovpn en el cliente, guarde el archivo y vuelva a conectarse.

Categoría

Causa

Solución

Problema de especificación de VPN Gateway

Un pico de tráfico supera el ancho de banda de la instancia de VPN Gateway.

Revise los datos de monitoreo de tráfico de la instancia de VPN Gateway en la consola de VPN Gateway para identificar picos de tráfico.

Puede actualizar la instancia de VPN Gateway. Para obtener más información, consulte Upgrade or renew a VPN gateway.

Configuración del servidor SSL

El servidor SSL usa UDP, un protocolo no confiable, para establecer la conexión SSL-VPN con el cliente.

1. Cambie el Protocol del servidor SSL a TCP. Esto permite que el servidor SSL establezca una conexión SSL-VPN confiable con el cliente. Para obtener más información, consulte Modify an SSL server.

2. Vuelva a descargar el certificado de cliente SSL e instálelo en el cliente. Para obtener más información, consulte Download an SSL client certificate y Configure a client.

Red pública poco confiable

El cliente se desconecta de forma intermitente debido a la mala calidad de la red pública entre el cliente y VPN Gateway.

En el cliente, ejecute el comando ping o mtr para probar la calidad de la red desde el cliente hasta la dirección IP pública de VPN Gateway.

Si la calidad de la red es deficiente, comuníquese con su ISP para solicitar asistencia.

Categoría

Causa

Solución

Problema de especificación de VPN Gateway

Un pico de tráfico supera el ancho de banda de la instancia de VPN Gateway.

Revise los datos de monitoreo de tráfico de la instancia de VPN Gateway en la consola de VPN Gateway para identificar picos de tráfico.

Puede actualizar la instancia de VPN Gateway. Para obtener más información, consulte Upgrade or renew a VPN gateway.

Versión obsoleta de VPN Gateway

Las versiones anteriores de VPN Gateway tienen un rendimiento de reenvío menor, lo que puede provocar latencia alta cuando hay mucho tráfico.

Actualice las instancias de VPN Gateway creadas antes del 1 de abril de 2021. Las versiones más recientes ofrecen un rendimiento de reenvío SSL-VPN optimizado. Para obtener más información, consulte Upgrade a VPN gateway.