VPN Gateway:FAQ koneksi SSL-VPN

Kategori

Penyebab

Solusi

Kesalahan konfigurasi

Server SSL atau klien dikonfigurasi secara salah.

1. Periksa konfigurasi Local CIDR Block server SSL. Pastikan blok CIDR VPC target telah ditambahkan ke Local CIDR Block. Untuk informasi selengkapnya, lihat Ubah server SSL.

2. Verifikasi bahwa perangkat lunak VPN pada klien dikonfigurasi dengan benar. Untuk informasi lebih lanjut tentang cara mengonfigurasi klien, lihat Konfigurasikan klien.

Sertifikat klien SSL kedaluwarsa

Sertifikat klien SSL telah kedaluwarsa atau tidak valid.

1. Verifikasi masa berlaku sertifikat klien SSL.

   Secara default, sertifikat klien SSL berlaku selama tiga tahun.

2. Hapus sertifikat klien SSL yang ada beserta seluruh konfigurasinya. Kemudian, unduh dan instal sertifikat klien SSL baru.

   Anda harus mengunduh dan menginstal ulang sertifikat klien SSL setelah mengaktifkan atau menonaktifkan otentikasi dua faktor, atau mengubah konfigurasi server SSL. Untuk informasi selengkapnya, lihat Unduh sertifikat klien SSL.

Batas koneksi terlampaui

Jumlah klien yang terhubung ke server SSL melebihi batas.

1. Periksa apakah jumlah klien yang terhubung ke instans VPN Gateway melebihi batas.

   • Jika jumlah koneksi SSL bersamaan melebihi batas, upgrade spesifikasi server SSL. Untuk informasi selengkapnya, lihat Ubah jumlah koneksi SSL bersamaan.

   • Sebagai alternatif, putuskan koneksi klien yang tidak aktif. Resource akan dilepas sekitar 5 menit setelah pemutusan koneksi.

     Untuk melihat informasi koneksi klien, lihat Lihat informasi klien SSL.

2. Ubah Protocol server SSL menjadi TCP. Kemudian, unduh ulang dan instal sertifikat klien SSL. Untuk informasi selengkapnya, lihat Ubah server SSL dan Unduh sertifikat klien SSL.

   Gunakan TCP untuk keandalan yang lebih baik. Sebagai protokol yang tidak andal, UDP dapat menyebabkan slot koneksi ditempati oleh koneksi yang tidak stabil.

Masalah alamat IP

Blok CIDR VPC tumpang tindih dengan blok CIDR klien.

Ubah Local CIDR Block (blok CIDR VPC atau vSwitch) atau Client CIDR Block server SSL untuk mencegah konflik alamat IP. Untuk informasi selengkapnya, lihat Ubah server SSL.

Client CIDR Block server SSL terlalu kecil. Akibatnya, tidak ada alamat IP yang dapat dialokasikan ke klien.

Pastikan jumlah alamat IP dalam blok CIDR klien yang ditentukan minimal empat kali lipat dari jumlah maksimum koneksi SSL-VPN. Untuk informasi selengkapnya, lihat Buat dan kelola server SSL.

Sebagai contoh, jika Anda menentukan 192.168.0.0/24 sebagai blok CIDR klien, sistem pertama-tama akan membagi blok subnet CIDR dengan masker subnet /30 dari 192.168.0.0/24, misalnya 192.168.0.4/30. Subnet ini menyediakan hingga empat alamat IP. Kemudian, sistem mengalokasikan satu alamat IP dari 192.168.0.4/30 ke klien dan menggunakan tiga alamat IP lainnya untuk memastikan komunikasi jaringan. Dalam kasus ini, satu klien mengonsumsi empat alamat IP. Oleh karena itu, untuk memastikan alamat IP dapat dialokasikan ke klien Anda, pastikan jumlah alamat IP dalam blok CIDR klien minimal empat kali lipat dari jumlah maksimum koneksi SSL-VPN yang didukung oleh gateway VPN terkait.

Masalah perangkat lunak VPN

Terjadi konflik perangkat lunak VPN pada klien.

1. Jika beberapa aplikasi VPN diinstal pada klien Anda, kami menyarankan agar Anda hanya menggunakan satu aplikasi untuk membuat koneksi SSL-VPN.

2. Coba restart klien atau instal ulang perangkat lunak VPN. Untuk informasi selengkapnya, lihat Konfigurasikan klien.

Lainnya

Penyebab tidak tercantum di atas.

Periksa log koneksi SSL-VPN untuk melakukan troubleshooting kegagalan. Untuk informasi selengkapnya, lihat Troubleshoot masalah koneksi SSL-VPN.

Kategori

Penyebab

Solusi

Jaringan publik tidak andal

Kualitas jaringan publik yang buruk antara klien dan VPN Gateway menyebabkan putus sambung secara intermiten.

Pada klien, jalankan perintah ping atau mtr untuk menguji kualitas jaringan dari klien ke alamat IP publik VPN Gateway.

Jika kualitas jaringan buruk (misalnya, latency tinggi atau packet loss), hubungi penyedia layanan internet (ISP) Anda untuk bantuan.

Koneksi SSL-VPN jarak jauh, seperti dari US (Silicon Valley) ke Singapura, mungkin mengalami putus sambung secara intermiten saat klien mengakses VPC.

Ubah Protocol server SSL menjadi TCP untuk keandalan yang lebih baik. Untuk informasi selengkapnya, lihat Ubah server SSL.

Jika masalah tetap berlanjut setelah mengubah Protocol menjadi TCP, kami menyarankan agar Anda menggunakan Cloud Enterprise Network (CEN) dan Smart Access Gateway (SAG) untuk menghubungkan klien ke VPC.

Perubahan konfigurasi server SSL

Klien terputus karena konfigurasi server SSL diubah.

Setelah Anda mengubah konfigurasi server SSL, sambungkan ulang klien.

Kategori

Penyebab

Solusi

Jaringan publik tidak andal

Koneksi SSL-VPN jarak jauh, seperti dari US (Silicon Valley) ke Singapura, mungkin mengalami putus sambung secara intermiten saat klien mengakses VPC.

Ubah Protocol server SSL menjadi TCP untuk keandalan yang lebih baik. Untuk informasi selengkapnya, lihat Ubah server SSL.

Jika Anda menggunakan koneksi SSL-VPN untuk komunikasi jarak jauh, seperti dari US (Silicon Valley) ke Singapura, dan masalah tetap berlanjut setelah mengubah Protocol menjadi TCP, kami menyarankan agar Anda menggunakan Cloud Enterprise Network dan Smart Access Gateway untuk menghubungkan klien Anda ke VPC.

Batas koneksi terlampaui

Jumlah klien yang terhubung ke server SSL melebihi batas.

1. Periksa apakah jumlah klien yang terhubung ke instans VPN Gateway melebihi batas.

   • Jika jumlah koneksi SSL bersamaan melebihi batas, upgrade spesifikasi server SSL. Untuk informasi selengkapnya, lihat Ubah jumlah koneksi SSL bersamaan.

   • Sebagai alternatif, putuskan koneksi klien yang tidak aktif. Resource akan dilepas sekitar 5 menit setelah pemutusan koneksi.

     Untuk melihat informasi koneksi klien, lihat Lihat informasi klien SSL.

2. Ubah Protocol server SSL menjadi TCP. Kemudian, unduh ulang dan instal sertifikat klien SSL. Untuk informasi selengkapnya, lihat Ubah server SSL dan Unduh sertifikat klien SSL.

   Gunakan TCP untuk keandalan yang lebih baik. Sebagai protokol yang tidak andal, UDP dapat menyebabkan slot koneksi ditempati oleh koneksi yang tidak stabil.

Masalah sisi klien

Klien gagal terhubung karena klien atau perangkat lunak VPN tidak berfungsi sebagaimana mestinya.

Coba restart klien, atau instal ulang dan konfigurasi ulang perangkat lunak VPN. Untuk informasi selengkapnya tentang cara menginstal dan mengonfigurasi perangkat lunak VPN, lihat Konfigurasikan klien.

Waktu tidak sinkron

Selisih waktu antara klien dan server SSL terlalu besar, menyebabkan verifikasi SSL gagal.

Selisih waktu antara klien dan server SSL tidak boleh melebihi 10 menit. Sesuaikan waktu klien agar disinkronkan dengan sumber waktu standar.

1. Periksa waktu saat ini pada klien.

   Sebagai contoh, pada sistem operasi Linux, jalankan perintah date untuk melihat waktu saat ini. Jika berbeda signifikan dari waktu standar, Anda harus menyesuaikannya.

2. Sinkronkan waktu dengan menggunakan layanan Network Time Protocol (NTP).

   Sebagai contoh, pada sistem operasi Linux, jalankan perintah berikut untuk menyinkronkan waktu:

   yum install -y ntp    # Instal layanan NTP.
   ntpdate pool.ntp.org  # Sinkronkan waktu.
   date                  # Periksa apakah waktu sudah tersinkronisasi.

Penyebab

Solusi

Kebijakan kontrol akses aplikasi klien memblokir permintaan ping.

Periksa apakah kebijakan kontrol akses aplikasi klien memblokir permintaan ping. Jika iya, ubah kebijakan kontrol akses tersebut. Untuk informasi selengkapnya, lihat panduan pengguna aplikasi klien.

Secara default, firewall sistem operasi Windows memblokir permintaan ping. Anda harus mengubah aturan masuk firewall untuk mengizinkan ICMPv4-In.

Firewall sistem operasi pada instans ECS tujuan memblokir paket ICMP.

Jika entri rute pada klien sudah benar (Anda dapat melihat rute ke blok CIDR VPC dengan menjalankan route print atau ip route), tetapi Anda tetap tidak dapat melakukan ping ke instans ECS di VPC, periksa pengaturan firewall sistem operasi pada instans ECS tujuan:

1. Periksa status firewalld: Jalankan systemctl status firewalld. Jika output menunjukkan active (running), firewall aktif.

2. Lihat detail firewall: Jalankan firewall-cmd --list-all. Periksa apakah bidang icmp-blocks berisi echo-request.

3. Nonaktifkan sementara firewall untuk verifikasi: Jalankan systemctl stop firewalld dan coba ping lagi. Jika ping berhasil, masalah disebabkan oleh firewalld.

4. Periksa aturan iptables: Jalankan iptables -L INPUT -n untuk memeriksa adanya aturan DROP atau REJECT untuk ICMP.

5. Periksa SELinux: Jalankan getenforce. Jika statusnya Enforcing, Anda dapat sementara mengaturnya menjadi Permissive dengan menjalankan setenforce 0 untuk memeriksa apakah SELinux adalah penyebabnya.

6. Verifikasi bahwa ACL jaringan untuk vSwitch instans mengizinkan traffic ICMP melalui aturan masuk dan keluarnya.

Klien memiliki OpenVPN 2.6 atau versi lebih baru yang diinstal. DCO (Data Channel Offload) diaktifkan secara default pada versi-versi ini dan mungkin tidak kompatibel dengan SSL-VPN Alibaba Cloud. Akibatnya, klien melaporkan bahwa koneksi telah terbentuk dan aturan grup keamanan sudah mengizinkan traffic, tetapi Anda tetap tidak dapat melakukan ping ke instans ECS di VPC.

Tambahkan parameter disable-dco sebagai baris terakhir pada file konfigurasi sertifikat config.ovpn di klien, simpan file tersebut, lalu sambungkan ulang ke SSL-VPN.

Skenario

Penyebab

Solusi

Klien berhasil menggunakan perintah ping untuk mengakses VPC, tetapi VPC gagal saat menggunakan ping untuk mengakses klien.

Kebijakan kontrol akses aplikasi klien memblokir permintaan ping.

Periksa apakah kebijakan kontrol akses aplikasi klien memblokir permintaan ping. Jika iya, ubah kebijakan kontrol akses tersebut. Untuk informasi selengkapnya, lihat panduan pengguna aplikasi klien.

Secara default, firewall sistem operasi Windows memblokir permintaan ping. Anda harus mengubah aturan masuk firewall untuk mengizinkan ICMPv4-In.

Menggunakan ping untuk mengakses klien dari VPC berhasil, tetapi menggunakan perintah ping untuk mengakses VPC dari klien gagal.

Jalur traffic keluar dan balik antara klien dan VPC berbeda.

1. Jika Anda menggunakan Cloud Enterprise Network (CEN) dalam jaringan Anda, periksa konfigurasi rute semua node penerusan antara klien dan VPC. Pastikan traffic antara klien dan VPC mengikuti jalur yang sama di kedua arah.

2. Periksa apakah resource VPC, seperti instans ECS, memiliki alamat IP publik. Jika resource tersebut memiliki alamat IP publik dan alamat IP tujuan untuk traffic dari VPC ke klien adalah alamat IP publik, traffic mungkin diarahkan melalui Internet daripada jaringan pribadi.

Penyebab

Solusi

Client tidak memiliki rute ke server DNS, sehingga resolusi nama domain tidak tersedia.

1. Tambahkan blok CIDR server DNS ke Local CIDR Block server SSL agar client dapat mempelajari rute ke server DNS.

   Sebagai contoh, jika Anda menggunakan Alibaba Cloud DNS PrivateZone untuk manajemen nama domain, Anda dapat menambahkan 100.100.2.136/32 dan 100.100.2.138/32 ke Local CIDR Block server SSL. Dengan demikian, client dapat menggunakan layanan resolusi nama domain.

2. Pada client, jalankan perintah ping atau mtr untuk menguji konektivitas ke aplikasi. Jika koneksi normal, koneksi SSL-VPN, client, server, dan rute berfungsi sebagaimana mestinya. Dalam hal ini, Anda perlu melakukan troubleshooting lebih lanjut berdasarkan layanan cloud yang diterapkan dan aplikasi tersebut.

Kategori

Penyebab

Solusi

Masalah routing

Local CIDR Block server SSL tidak ditentukan atau dikonfigurasi secara salah.

1. Periksa konfigurasi Local CIDR Block server SSL. Pastikan blok CIDR yang akan diakses oleh klien telah ditambahkan dengan benar ke Local CIDR Block server SSL. Untuk informasi selengkapnya, lihat Ubah server SSL.

2. Verifikasi bahwa klien telah menerima rute ke Local CIDR Block server SSL.

   • Pada klien Windows, jalankan perintah ipconfig untuk melihat alamat IP yang dialokasikan ke klien. Kemudian, jalankan perintah route print untuk memverifikasi bahwa klien telah menerima rute ke Local CIDR Block server SSL.

   • Pada klien Linux, jalankan perintah ifconfig untuk melihat alamat IP yang dialokasikan ke klien. Kemudian, jalankan perintah ip route show all untuk memverifikasi bahwa klien telah menerima rute ke Local CIDR Block server SSL.

Masalah konfigurasi blok CIDR

Local CIDR Block tumpang tindih dengan Client CIDR Block server SSL.

Periksa konfigurasi server SSL. Pastikan Local CIDR Block dan Client CIDR Block tidak tumpang tindih. Untuk informasi selengkapnya, lihat Ubah server SSL.

Destination CIDR Block entri rute untuk koneksi IPsec-VPN pada VPN Gateway yang sama bertentangan dengan Client CIDR Block server SSL.

Ubah entri rute untuk koneksi IPsec-VPN menjadi yang lebih spesifik, atau ubah Client CIDR Block server SSL menjadi blok CIDR yang berbeda. Hal ini mencegah Destination CIDR Block bertentangan dengan Client CIDR Block. Untuk informasi selengkapnya, lihat Ubah rute berbasis kebijakan, Ubah rute berbasis tujuan, atau Ubah server SSL.

Masalah aturan grup keamanan

Aturan grup keamanan aplikasi VPC atau kebijakan kontrol akses aplikasi klien tidak mengizinkan komunikasi antara klien dan VPC.

1. Periksa aturan grup keamanan aplikasi VPC. Pastikan aturan grup keamanan mengizinkan traffic antara klien dan VPC. Untuk informasi selengkapnya, lihat Lihat aturan grup keamanan dan Tambahkan aturan grup keamanan.

2. Periksa kebijakan kontrol akses aplikasi klien. Pastikan kebijakan kontrol akses mengizinkan traffic antara klien dan VPC.

Masalah perangkat lunak VPN

Versi OpenVPN yang tidak kompatibel pada klien (terlalu lama atau terlalu baru) dapat mencegah klien menerima atau memproses paket respons dari VPN Gateway.

Sebagai contoh, klien Windows yang memiliki OpenVPN 2.6.6 diinstal mungkin gagal melakukan ping ke resource cloud.

Kami menyarankan agar Anda mengunduh dan menggunakan versi OpenVPN yang disediakan dalam dokumentasi VPN Gateway. Untuk informasi selengkapnya, lihat Konfigurasikan klien. Atau, jika klien memiliki OpenVPN 2.6 atau versi lebih baru yang diinstal, DCO (Data Channel Offload) diaktifkan secara default pada versi-versi ini dan mungkin tidak kompatibel dengan SSL-VPN Alibaba Cloud. Dalam hal ini, tambahkan parameter disable-dco sebagai baris terakhir pada file konfigurasi sertifikat config.ovpn di klien, simpan file tersebut, lalu sambungkan ulang.

Kategori

Penyebab

Solusi

Masalah spesifikasi VPN Gateway

Lonjakan traffic melebihi bandwidth instans VPN Gateway.

Periksa data pemantauan traffic instans VPN Gateway di Konsol VPN Gateway untuk lonjakan traffic.

Anda dapat meng-upgrade instans VPN Gateway. Untuk informasi selengkapnya, lihat Upgrade atau perpanjang gateway VPN.

Konfigurasi server SSL

Server SSL menggunakan UDP, protokol yang tidak andal, untuk membuat koneksi SSL-VPN dengan client.

1. Ubah Protocol server SSL menjadi TCP. Hal ini memungkinkan server SSL membuat koneksi SSL-VPN yang andal dengan client. Untuk informasi selengkapnya, lihat Ubah server SSL.

2. Unduh ulang sertifikat klien SSL dan instal di client. Untuk informasi selengkapnya, lihat Unduh sertifikat klien SSL dan Konfigurasikan client.

Jaringan publik tidak andal

Client terputus secara intermiten karena kualitas jaringan publik yang buruk antara client dan VPN Gateway.

Pada client, jalankan perintah ping atau mtr untuk menguji kualitas jaringan dari client ke alamat IP publik VPN Gateway.

Jika kualitas jaringan buruk, hubungi ISP Anda untuk bantuan.

Kategori

Penyebab

Solusi

Masalah spesifikasi VPN Gateway

Lonjakan traffic melebihi bandwidth instans VPN Gateway.

Periksa data pemantauan traffic instans VPN Gateway di Konsol VPN Gateway untuk lonjakan traffic.

Anda dapat meng-upgrade instans VPN Gateway. Untuk informasi selengkapnya, lihat Upgrade atau perpanjang gateway VPN.

Versi VPN Gateway lama

Versi VPN Gateway yang lebih lama memiliki performa penerusan yang lebih rendah, yang dapat menyebabkan latency tinggi di bawah beban traffic berat.

Upgrade VPN Gateway yang dibuat sebelum 1 April 2021. Versi yang lebih baru menawarkan performa penerusan SSL-VPN yang dioptimalkan. Untuk informasi selengkapnya, lihat Upgrade gateway VPN.