VPN Gateway:Troubleshoot masalah koneksi SSL-VPN

Sistem operasi

Direktori file log default

Klien Linux dengan OpenVPN terinstal

/var/log/openvpn.log

Klien Windows dengan OpenVPN terinstal

Secara default, file log disimpan di folder log dari direktori tempat OpenVPN diinstal.

Contoh: C:\Users\User\OpenVPN\log.

Klien macOS dengan Tunnelblick terinstal

/Library/Application Support/Tunnelblick/Logs

Klien macOS dengan OpenVPN terinstal

/Library/Application Support/OpenVPN/log/connection_name.log

Kategori

Penyebab

Kata kunci

Solusi

Kegagalan koneksi jaringan

Komunikasi jaringan tidak normal.

• network is unreachable

• TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)

• TLS Error: TLS handshake failed

1. Dari klien Anda, jalankan perintah ping atau mtr untuk menguji konektivitas ke Alamat IP publik VPN Gateway.

   • Jika koneksi internet buruk karena latensi tinggi atau kehilangan paket, hubungi penyedia layanan internet (ISP) Anda untuk bantuan.

   • Jika konektivitas jaringan normal, periksa apakah log server SSL berisi informasi koneksi klien.

     Jika tidak ditemukan catatan koneksi klien, coba ubah Port yang digunakan oleh server SSL. Kemudian, unduh dan instal sertifikat klien SSL baru di klien.

2. Ubah Protocol server SSL menjadi TCP untuk keandalan yang lebih baik.

   Jika Anda menggunakan koneksi SSL-VPN untuk komunikasi jarak jauh, seperti dari AS (Silicon Valley) ke Singapura, dan masalah tetap terjadi setelah mengubah Protocol menjadi TCP, kami merekomendasikan penggunaan Cloud Enterprise Network dan Smart Access Gateway untuk menghubungkan klien Anda ke VPC.

3. Jika beberapa aplikasi VPN terinstal di klien Anda, gunakan hanya satu untuk membuat koneksi SSL-VPN.

4. Restart klien atau instal ulang aplikasi VPN di klien.

Ketidaksesuaian protokol atau nomor port

Klien dan server SSL menggunakan protokol atau port yang berbeda.

• MANAGEMENT: >STATE:1676379239,TCP_CONNECT,,,,,,

• TCP: connect to [AF_INET]*.*.*.*:1194 failed: Unknown error

Ubah Protocol dan Port pada server SSL, lalu unduh dan instal sertifikat klien SSL baru di klien.

Koneksi berlebih

Jumlah koneksi SSL-VPN melebihi batas.

MANAGEMENT: >STATE:1676370715,WAIT,,,,,

1. Periksa apakah jumlah klien SSL yang terhubung ke gateway VPN melebihi batas.

   • Jika batas terlampaui, tingkatkan jumlah maksimum koneksi untuk gateway VPN.

   • Jika batas terlampaui dan Anda tidak ingin menambahkannya, putuskan koneksi klien yang tidak aktif. Sumber daya akan dilepas sekitar 5 menit setelah klien terputus.

2. Ubah Protocol server SSL menjadi TCP, lalu unduh dan instal sertifikat klien SSL baru.

   Hal ini mencegah koneksi UDP yang tidak andal menghabiskan kuota koneksi. Selain itu, koneksi TCP lebih andal.

Sertifikat kedaluwarsa

Sertifikat klien SSL telah kedaluwarsa.

VERIFY ERROR: certificate has expired

1. Periksa periode validitas sertifikat klien SSL.

   Periode validitas default sertifikat klien SSL adalah tiga tahun.

2. Hapus sertifikat klien SSL saat ini beserta seluruh konfigurasinya, lalu unduh dan instal sertifikat baru di klien.

   Anda harus mengunduh dan menginstal ulang sertifikat klien SSL setelah mengaktifkan atau menonaktifkan otentikasi dua faktor, atau setelah memodifikasi konfigurasi server SSL.

Kesalahan konfigurasi sertifikat

Konfigurasi sertifikat tidak valid.

• Options error: --ca fails with 'ca.crt': No such file or directory (errno=2)

• Options error: --cert fails with 'vsc-****.crt': No such file or directory (errno=2)

• WARNING: cannot stat file 'vsc-****.key': No such file or directory (errno=2)

• Options error: --key fails with 'vsc-****.key'

• Options error: Please correct these errors.

Hapus sertifikat klien SSL saat ini beserta seluruh konfigurasinya, lalu unduh dan instal sertifikat baru di klien.

Versi aplikasi VPN tidak kompatibel

Versi aplikasi VPN yang terinstal di klien tidak kompatibel dengan server SSL Alibaba Cloud.

• Data Channel Offload doesn't support DATA_V1 packets

• Upgrade your server to

• suggesting an upgrade to the server version

Uninstal aplikasi VPN yang ada dari klien dan instal versi yang kompatibel dengan server SSL. Untuk informasi lebih lanjut, lihat bagian "Langkah 4: Konfigurasi klien" dalam topik Hubungkan klien ke VPC.

Alamat IP tidak mencukupi

Blok CIDR klien pada server SSL tidak memiliki cukup alamat IP.

OpenVPN needs a gateway parameter for a -- route option and no default was specified by either --route-gateway or --ifconfig options

Pastikan jumlah alamat IP dalam blok CIDR klien minimal empat kali lipat dari jumlah maksimum koneksi SSL-VPN yang didukung oleh gateway VPN. Untuk informasi lebih lanjut, lihat Buat dan kelola server SSL.

Sebagai contoh, jika Anda menentukan 192.168.0.0/24 sebagai blok CIDR klien, sistem pertama-tama membagi blok CIDR subnet dengan masker subnet /30 dari 192.168.0.0/24, misalnya 192.168.0.4/30. Subnet ini menyediakan hingga empat alamat IP. Kemudian, sistem mengalokasikan satu alamat IP dari 192.168.0.4/30 ke klien dan menggunakan tiga alamat IP lainnya untuk memastikan komunikasi jaringan. Dalam kasus ini, satu klien mengonsumsi empat alamat IP. Oleh karena itu, untuk memastikan alamat IP dapat dialokasikan ke klien Anda, pastikan jumlah alamat IP dalam blok CIDR klien minimal empat kali lipat dari jumlah maksimum koneksi SSL-VPN yang didukung oleh gateway VPN terkait.

Ketidaksesuaian algoritma enkripsi

Server SSL dan klien menggunakan paket sandi TLS yang berbeda sehingga tidak ditemukan algoritma enkripsi yang cocok.

• TLS error: The server has no TLS ciphersuites in common with the client. Your --tls-cipher setting might be too restrictive.

• OpenSSL: error:1408A0C1:SSL routines:ssl3_get_client_hello:no shared cipher

Instal aplikasi VPN yang direkomendasikan oleh VPN Gateway di klien Anda. Untuk informasi lebih lanjut, lihat bagian "Langkah 4: Konfigurasi klien" dalam topik Hubungkan klien ke VPC.

Algoritma enkripsi tidak konsisten

Konfigurasi algoritma enkripsi pada server SSL dan klien tidak konsisten.

Authenticate/Decrypt packet error: cipher final failed

Periksa apakah algoritma enkripsi sertifikat klien SSL yang terinstal di klien konsisten dengan algoritma server SSL.

Jika algoritma enkripsi tidak konsisten, hapus sertifikat klien SSL saat ini beserta seluruh konfigurasinya, unduh ulang sertifikat tersebut, lalu instal sertifikat di klien.

• Algoritma enkripsi untuk sertifikat klien SSL adalah nilai bidang cipher dalam file config.ovpn.

• Untuk melihat algoritma enkripsi server SSL, lakukan langkah-langkah berikut: Buka halaman SSL Servers di Konsol VPN Gateway. Temukan server SSL yang ingin Anda kelola. Klik Details di kolom Actions. Di halaman detail server SSL, lihat algoritma enkripsinya.

Konflik ID paket

Koneksi jaringan tidak stabil atau algoritma enkripsi server SSL diatur ke none.

Authenticate/Decrypt packet error: bad packet ID (may be a replay)

1. Ubah protocol yang digunakan oleh server SSL menjadi TCP untuk keandalan yang lebih tinggi.

2. Periksa apakah Encryption Algorithm untuk server SSL diatur ke none. Jika iya, ubah Encryption Algorithm menjadi algoritma AES, seperti AES-128-CBC, AES-192-CBC, atau AES-256-CBC.

3. Setelah Anda memodifikasi konfigurasi server SSL, hapus sertifikat klien SSL saat ini beserta seluruh konfigurasinya, unduh ulang sertifikat tersebut, lalu instal sertifikat di klien.

Masalah sinkronisasi waktu

Verifikasi SSL gagal atau selisih waktu antara klien dan server SSL melebihi 10 menit.

• OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed

• TLS_ERROR: BIO read tls_read_plaintext error

• TLS Error: TLS object -> incoming plaintext read error

• TLS Error: TLS handshake failed

1. Selisih waktu antara klien dan server SSL tidak boleh melebihi 10 menit. Sinkronkan waktu klien dengan sumber waktu standar.

2. Periksa periode validitas sertifikat klien SSL.

   Periode validitas default sertifikat klien SSL adalah tiga tahun.

Kegagalan verifikasi sertifikat

Verifikasi sertifikat SSL gagal.

No server certificate verification method has been enabled

1. Periksa validitas sertifikat klien SSL.

   Secara default, sertifikat klien SSL berlaku selama tiga tahun.

2. Hapus sertifikat klien SSL saat ini beserta seluruh konfigurasinya, lalu unduh dan instal sertifikat baru di klien.

   Anda harus mengunduh dan menginstal ulang sertifikat klien SSL setelah mengaktifkan atau menonaktifkan otentikasi dua faktor, atau setelah memodifikasi konfigurasi server SSL.

Kegagalan otentikasi dua faktor

Otentikasi dua faktor gagal.

• AUTH: Received control message: AUTH_FAILED

• TCP/UDP: Closing socket

• SIGUSR1[soft,auth-failure] received, process restarting

• MANAGEMENT: >STATE:1676381342,RECONNECTING,auth-failure,,,,,

1. Periksa apakah Anda memasukkan username dan password yang valid.

2. Periksa apakah akun dikonfigurasi di instans IDaaS, apakah akun dinonaktifkan, dan apakah instans IDaaS telah kedaluwarsa. Untuk informasi lebih lanjut, lihat Apa itu IDaaS?

   Jika instans IDaaS bukan penyebabnya, coba gunakan akun lain.

3. Hapus sertifikat klien SSL saat ini beserta seluruh konfigurasinya, lalu unduh dan instal sertifikat baru di klien.

   Anda harus mengunduh dan menginstal ulang sertifikat klien SSL setelah mengaktifkan atau menonaktifkan otentikasi dua faktor, atau setelah memodifikasi konfigurasi server SSL.

Adapter TAP tidak tersedia

Klien tidak memiliki adapter Ethernet virtual TAP.

• There are no TAP-Windows adapters on this system. You should be able to create a TAP

• CreateFile failed on TAP device

• All TAP-Win32 adapters on this system are currently in use

1. Konfirmasi bahwa Anda memilih opsi TAP virtual Ethernet adapter saat menginstal perangkat lunak OpenVPN.

   Jika Anda tidak memilih opsi ini saat instalasi, buat adapter Ethernet virtual TAP atau instal ulang OpenVPN.

2. Tutup OpenVPN. Kemudian, jalankan OpenVPN sebagai administrator.

Program ovpnagent berhenti

Program ovpnagent pada klien macOS tidak berjalan.

Transport Error: socket_protect error

1. Jalankan perintah berikut menggunakan CLI klien untuk memulai program ovpnagent:

   /Library/Frameworks/OpenVPNConnect.framework/Versions/Current/usr/sbin/ovpnagent

2. Untuk klien macOS, kami merekomendasikan menggunakan Tunnelblick untuk membuat koneksi SSL-VPN.

Klien sering terputus dan terhubung ulang

Klien secara otomatis terhubung ulang ke server.

• Connection reset, restarting [-1]SIGUSR1[soft,connection-reset] received, client-instance restarting

• TCP/UDP: Closing socket

1. Periksa apakah klien melakukan restart atau terhubung ulang pada waktu yang ditunjukkan dalam log.

2. Periksa validitas sertifikat klien SSL.

   Secara default, sertifikat klien SSL berlaku selama tiga tahun.

3. Periksa waktu sistem klien.

   Selisih waktu antara klien dan server SSL tidak boleh melebihi 10 menit. Sinkronkan waktu klien dengan sumber waktu standar.

Masalah konfigurasi ACL jaringan

ACL jaringan yang terikat pada vSwitch VPC tidak mengizinkan lalu lintas masuk dari blok CIDR klien VPN

Koneksi SSL-VPN berhasil dibuat, tetapi sumber daya di VPC tidak dapat diakses.

1. Periksa ACL jaringan yang terikat pada vSwitch VPC tempat koneksi SSL-VPN berada.

2. Konfirmasi bahwa aturan arah masuk ACL jaringan mengizinkan blok CIDR klien yang dikonfigurasi pada server SSL. Blok CIDR klien mengacu pada blok CIDR tempat alamat IP dialokasikan ke klien pada server SSL, misalnya 10.200.200.0/24.

3. Jika aturan arah masuk tidak mengizinkan blok CIDR klien, tambahkan aturan arah masuk untuk mengizinkan traffic dari blok CIDR ini.