Solución de problemas de conexión SSL-VPN - VPN Gateway - Centro de documentación de Alibaba Cloud

Si experimenta problemas al utilizar conexiones SSL-VPN, revise los registros de los clientes SSL-VPN o los registros de conexión SSL-VPN en la consola de VPN Gateway para solucionarlos.

Contexto

Este tema describe los problemas comunes de conexión SSL-VPN y los pasos para su solución. Revise los registros de los clientes SSL-VPN o los registros de conexión SSL-VPN en la consola de VPN Gateway. Consulte la sección Summary table.

Para obtener información sobre cómo consultar los registros de clientes SSL-VPN en Linux, Windows, macOS o Android, consulte la sección Log file locations for SSL-VPN clients de este tema.
Para obtener información sobre cómo consultar los registros de conexión SSL-VPN, consulte Query the logs of an SSL server.

Ubicaciones de archivos de registro para clientes SSL-VPN

La ubicación predeterminada del archivo de registro depende del sistema operativo del cliente. La siguiente tabla enumera los directorios predeterminados de archivos de registro para cada sistema operativo compatible.

Nota

Si especificó un directorio personalizado al instalar la aplicación VPN, el archivo de registro se encontrará en dicho directorio.

Sistema operativo	Directorio predeterminado del archivo de registro
Cliente Linux con OpenVPN instalado	/var/log/openvpn.log
Cliente Windows con OpenVPN instalado	De forma predeterminada, el archivo de registro se almacena en la carpeta log del directorio donde está instalado OpenVPN. Ejemplo: C:\Users\User\OpenVPN\log.
Cliente macOS con Tunnelblick instalado	/Library/Application Support/Tunnelblick/Logs
Cliente macOS con OpenVPN instalado	/Library/Application Support/OpenVPN/log/connection_name.log

Problemas comunes de conexión SSL-VPN y solución

Una vez que obtenga los registros de conexión SSL-VPN, busque palabras clave relevantes para identificar el problema. La siguiente tabla enumera los problemas comunes, las palabras clave y los pasos para solucionarlos.

Categoría	Causa	Palabra clave	Solución
Error de conexión de red	La comunicación de red es anómala.	`network is unreachable` `TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)` `TLS Error: TLS handshake failed`	Desde su cliente, ejecute el comando `ping` o `mtr` para probar la conectividad con la dirección IP pública de VPN Gateway. Si la conexión a Internet es deficiente debido a una alta latencia o pérdida de paquetes, póngase en contacto con su proveedor de servicios de Internet (ISP) para obtener asistencia. Si la conectividad de red es normal, compruebe si los registros del servidor SSL contienen la información de conexión del cliente. Si no se encuentran registros de conexión del cliente, intente cambiar el Port utilizado por el servidor SSL. A continuación, descargue e instale un nuevo certificado de cliente SSL en el cliente. Cambie el Protocol del servidor SSL a TCP para mejorar la fiabilidad. Si utiliza una conexión SSL-VPN para comunicaciones de larga distancia, como desde US (Silicon Valley) hasta Singapore, y el problema persiste después de cambiar el Protocol a TCP, se recomienda utilizar Cloud Enterprise Network y Smart Access Gateway para conectar su cliente a la VPC. Si hay varias aplicaciones VPN instaladas en su cliente, utilice solo una para crear conexiones SSL-VPN. Reinicie el cliente o reinstale la aplicación VPN en el cliente.
Desajuste de protocolo o número de puerto	El cliente y el servidor SSL utilizan protocolos o puertos diferentes.	`MANAGEMENT: >STATE:1676379239,TCP_CONNECT,,,,,,` `TCP: connect to [AF_INET]...:1194 failed: Unknown error`	Cambie el Protocol y el Port en el servidor SSL; luego, descargue e instale un nuevo certificado de cliente SSL en el cliente.
Exceso de conexiones	El número de conexiones SSL-VPN supera el límite.	`MANAGEMENT: >STATE:1676370715,WAIT,,,,,`	Compruebe si el número de clientes SSL conectados a VPN Gateway supera el límite. Si se ha superado el límite, aumente el número máximo de conexiones para VPN Gateway. Si se ha superado el límite y no desea aumentarlo, desconecte los clientes inactivos. Los recursos se liberan aproximadamente 5 minutos después de que un cliente se desconecta. Cambie el Protocol del servidor SSL a TCP; luego, descargue e instale un nuevo certificado de cliente SSL. Esto evita que las conexiones UDP poco fiables ocupen la cuota de conexión. Además, las conexiones TCP son más fiables.
Vencimiento del certificado	El certificado de cliente SSL ha caducado.	`VERIFY ERROR: certificate has expired`	Compruebe el periodo de validez del certificado de cliente SSL. El periodo de validez predeterminado del certificado de cliente SSL es de tres años. Elimine el certificado de cliente SSL actual y todas sus configuraciones; luego, descargue e instale un nuevo certificado en el cliente. Debe descargar e instalar nuevamente el certificado de cliente SSL después de habilitar o deshabilitar la autenticación de dos factores, o después de modificar la configuración del servidor SSL.
Error de configuración del certificado	La configuración del certificado no es válida.	`Options error: --ca fails with 'ca.crt': No such file or directory (errno=2)` `Options error: --cert fails with 'vsc-**.crt': No such file or directory (errno=2)` `WARNING: cannot stat file 'vsc-.key': No such file or directory (errno=2)` `Options error: --key fails with 'vsc-**.key'` `Options error: Please correct these errors.`	Elimine el certificado de cliente SSL actual y todas sus configuraciones; luego, descargue e instale un nuevo certificado en el cliente.
Versiones incompatibles de la aplicación VPN	La versión de la aplicación VPN instalada en el cliente es incompatible con el servidor SSL de Alibaba Cloud.	`Data Channel Offload doesn't support DATA_V1 packets` `Upgrade your server to` `suggesting an upgrade to the server version`	Desinstale la aplicación VPN existente del cliente e instale una versión compatible con el servidor SSL. Para obtener más información, consulte la sección "Paso 4: Configurar el cliente" del tema Connect a client to a VPC.
Direcciones IP insuficientes	El bloque CIDR de cliente en el servidor SSL no tiene suficientes direcciones IP.	`OpenVPN needs a gateway parameter for a -- route option and no default was specified by either --route-gateway or --ifconfig options`	Asegúrese de que el número de direcciones IP en el bloque CIDR de cliente sea, como mínimo, cuatro veces el número máximo de conexiones SSL-VPN admitidas por VPN Gateway. Para obtener más información, consulte Create and manage an SSL server. Por ejemplo, si especifica 192.168.0.0/24 como bloque CIDR de cliente, el sistema divide primero un bloque CIDR de subred con una máscara de subred de 30 a partir de 192.168.0.0/24, como 192.168.0.4/30. Esta subred proporciona hasta cuatro direcciones IP. Luego, el sistema asigna una dirección IP de 192.168.0.4/30 al cliente y utiliza las otras tres direcciones IP para garantizar la comunicación de red. En este caso, un cliente consume cuatro direcciones IP. Por lo tanto, para garantizar que se pueda asignar una dirección IP a su cliente, debe asegurarse de que el número de direcciones IP en el bloque CIDR de cliente sea, como mínimo, cuatro veces el número máximo de conexiones SSL-VPN admitidas por la VPN Gateway asociada.
Desajuste de algoritmo de cifrado	El servidor SSL y el cliente utilizan diferentes conjuntos de cifrado TLS y no se encuentra ningún algoritmo de cifrado coincidente.	`TLS error: The server has no TLS ciphersuites in common with the client. Your --tls-cipher setting might be too restrictive.` `OpenSSL: error:1408A0C1:SSL routines:ssl3_get_client_hello:no shared cipher`	Instale la aplicación VPN recomendada por VPN Gateway en su cliente. Para obtener más información, consulte la sección "Paso 4: Configurar el cliente" del tema Connect a client to a VPC.
Algoritmos de cifrado inconsistentes	Las configuraciones de algoritmos de cifrado en el servidor SSL y el cliente son inconsistentes.	`Authenticate/Decrypt packet error: cipher final failed`	Compruebe si el algoritmo de cifrado del certificado de cliente SSL instalado en el cliente coincide con el del servidor SSL. Si los algoritmos de cifrado son inconsistentes, elimine el certificado de cliente SSL actual y todas sus configuraciones, vuelva a descargar el certificado y luego instálelo en el cliente. El algoritmo de cifrado para el certificado de cliente SSL es el valor del campo `cipher` en el archivo config.ovpn. Para ver el algoritmo de cifrado del servidor SSL, realice las siguientes operaciones: Vaya a la página SSL Servers en la consola de VPN Gateway. Busque el servidor SSL que desea gestionar. Haga clic en Details en la columna Actions. En la página de detalles del servidor SSL, consulte el algoritmo de cifrado.
Conflicto de ID de paquete	La conexión de red es inestable o el algoritmo de cifrado del servidor SSL está establecido en none.	`Authenticate/Decrypt packet error: bad packet ID (may be a replay)`	Cambie el protocol utilizado por el servidor SSL a TCP para mayor fiabilidad. Compruebe si el Encryption Algorithm del servidor SSL está establecido en none. Si es así, cambie el Encryption Algorithm a un algoritmo AES, como AES-128-CBC, AES-192-CBC o AES-256-CBC. Después de modificar la configuración del servidor SSL, elimine el certificado de cliente SSL actual y todas sus configuraciones, vuelva a descargar el certificado y luego instálelo en el cliente.
Problema de sincronización horaria	La verificación SSL falla o la diferencia horaria entre el cliente y el servidor SSL supera los 10 minutos.	`OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed` `TLS_ERROR: BIO read tls_read_plaintext error` `TLS Error: TLS object -> incoming plaintext read error` `TLS Error: TLS handshake failed`	La diferencia horaria entre el cliente y el servidor SSL no debe superar los 10 minutos. Sincronice la hora del cliente con una fuente de hora estándar. Compruebe el periodo de validez del certificado de cliente SSL. El periodo de validez predeterminado del certificado de cliente SSL es de tres años.
Error en la verificación del certificado	La verificación del certificado SSL falla.	`No server certificate verification method has been enabled`	Compruebe la validez del certificado de cliente SSL. De forma predeterminada, los certificados de cliente SSL tienen una validez de tres años. Elimine el certificado de cliente SSL actual y todas sus configuraciones; luego, descargue e instale un nuevo certificado en el cliente. Debe descargar e instalar nuevamente el certificado de cliente SSL después de habilitar o deshabilitar la autenticación de dos factores, o después de modificar la configuración del servidor SSL.
Error en la autenticación de dos factores	La autenticación de dos factores falla.	`AUTH: Received control message: AUTH_FAILED` `TCP/UDP: Closing socket` `SIGUSR1[soft,auth-failure] received, process restarting` `MANAGEMENT: >STATE:1676381342,RECONNECTING,auth-failure,,,,,`	Compruebe si introdujo un nombre de usuario y una contraseña válidos. Compruebe si la cuenta está configurada en la instancia de IDaaS, si la cuenta está deshabilitada y si la instancia de IDaaS ha caducado. Para obtener más información, consulte What is IDaaS? Si la instancia de IDaaS no es la causa, pruebe con otra cuenta. Elimine el certificado de cliente SSL actual y todas sus configuraciones; luego, descargue e instale un nuevo certificado en el cliente. Debe descargar e instalar nuevamente el certificado de cliente SSL después de habilitar o deshabilitar la autenticación de dos factores, o después de modificar la configuración del servidor SSL.
Adaptador TAP faltante	El cliente no tiene un adaptador Ethernet virtual TAP.	`There are no TAP-Windows adapters on this system. You should be able to create a TAP` `CreateFile failed on TAP device` `All TAP-Win32 adapters on this system are currently in use`	Confirme que seleccionó la opción TAP virtual Ethernet adapter cuando instaló el software OpenVPN. Si no seleccionó esta opción durante la instalación, cree un adaptador Ethernet virtual TAP o reinstale OpenVPN. Cierre OpenVPN. Luego, ejecute OpenVPN como administrador.
Programa ovpnagent detenido	El programa ovpnagent en un cliente macOS no se está ejecutando.	`Transport Error: socket_protect error`	Ejecute el siguiente comando mediante la CLI del cliente para iniciar el programa ovpnagent: `/Library/Frameworks/OpenVPNConnect.framework/Versions/Current/usr/sbin/ovpnagent` Para clientes macOS, se recomienda utilizar Tunnelblick para crear conexiones SSL-VPN.
Reconexión frecuente del cliente	El cliente se reconecta automáticamente al servidor.	`Connection reset, restarting [-1]SIGUSR1[soft,connection-reset] received, client-instance restarting` `TCP/UDP: Closing socket`	Compruebe si el cliente se reinició o reconectó a la hora indicada en los registros. Compruebe la validez del certificado de cliente SSL. De forma predeterminada, los certificados de cliente SSL tienen una validez de tres años. Compruebe la hora del sistema del cliente. La diferencia horaria entre el cliente y el servidor SSL no debe superar los 10 minutos. Sincronice la hora del cliente con una fuente de hora estándar.
Problemas de configuración de ACL de red	La ACL de red vinculada al vSwitch de la VPC no permite el tráfico entrante desde el bloque CIDR del cliente VPN	La conexión SSL-VPN se establece correctamente, pero no se puede acceder a los recursos en la VPC.	Revise la ACL de red vinculada al vSwitch de la VPC al que pertenece la conexión SSL-VPN. Confirme que la regla de entrada de la ACL de red permite el bloque CIDR de cliente configurado en el servidor SSL. El bloque CIDR de cliente se refiere al bloque CIDR desde el cual se asignan direcciones IP a los clientes en el servidor SSL, por ejemplo, 10.200.200.0/24. Si la regla de entrada no permite el bloque CIDR de cliente, agregue una regla de entrada para permitir el tráfico desde este bloque CIDR.

Comprobar reglas de security group

Asegúrese de que la regla de security group de la instancia ECS permita el acceso desde el cliente.
Las reglas de security group tienen prioridades. Si un security group contiene dos reglas con la misma prioridad pero acciones diferentes (permitir y denegar), la regla de denegación tiene precedencia. Ejemplo:
Síntoma: No se pueden hacer ping a los recursos en la VPC después de establecer la conexión SSL-VPN.

Causa: El security group contiene dos reglas ICMP entrantes, ambas con prioridad 1:
- Denegar todos los orígenes (0.0.0.0/0)
- Permitir el bloque CIDR del cliente VPN (10.200.200.0/24)
Cuando dos reglas tienen la misma prioridad, la regla de denegación tiene precedencia, lo que provoca que se bloquee el tráfico ICMP.

Solución: Aumente el valor de prioridad de la regla de denegación (por ejemplo, cámbielo de 1 a 2) para que la regla de permiso (prioridad 1) coincida y surta efecto primero.

Comprobar el firewall del sistema operativo de la instancia ECS

Si la conexión SSL-VPN se establece correctamente pero no puede hacer ping a la instancia ECS ni acceder a los servicios en ella, inicie sesión en la instancia ECS para comprobar si el firewall del sistema operativo bloquea el tráfico del cliente VPN.

Ejecute el siguiente comando para comprobar el estado del servicio firewalld.
```
systemctl status firewalld
```
Si firewalld está en estado active (running), el firewall se está ejecutando. Ejecute sudo systemctl stop firewalld para deshabilitar temporalmente el firewall y luego pruebe la conectividad nuevamente. Si el tráfico se restaura después de deshabilitar el firewall, significa que las reglas de firewalld están bloqueando el tráfico VPN. Configure una regla para permitir el bloque CIDR del cliente VPN.
Ejecute el siguiente comando para ver las reglas de iptables.
```
iptables -L
```
Compruebe si la salida contiene una regla DROP o REJECT que bloquee el tráfico desde el bloque CIDR del cliente VPN. Si existe dicha regla, ejecute sudo iptables -I INPUT -s <VPN client CIDR block> -j ACCEPT para agregar una regla de permiso.
Ejecute el siguiente comando para comprobar el estado de SELinux.
```
getenforce
```
Si se devuelve Enforcing, SELinux está en modo de aplicación. Ejecute sudo setenforce 0 para cambiar temporalmente al modo permisivo y luego pruebe nuevamente. Si el tráfico se restaura, la directiva de SELinux afecta la comunicación VPN. Ajuste la directiva de SELinux para permitir el tráfico VPN.

Referencias

Las siguientes referencias pueden ayudarle a solucionar problemas de conexión SSL-VPN.

Para modificar la configuración del servidor SSL, consulte Modify an SSL server.
Para modificar la especificación de conexión del servidor SSL, consulte Modify SSL concurrent connections.
Para crear un certificado de cliente SSL, consulte Create and manage SSL client certificates.
Para descargar un certificado de cliente SSL, consulte Download an SSL client certificate.
Sección "Paso 4: Configurar el cliente" en el tema Connect a client to a VPC
Para ver la información de registro del servidor SSL, consulte View the logs of the SSL server.
Para ver la información de conexión del cliente, consulte View SSL client connections.

Nota

Para modificar las configuraciones del cliente al solucionar problemas de conexión SSL-VPN, consulte la guía de usuario de su cliente.