VPN Gateway:IPsec-VPN troubleshooting

エラーコード (コンソール)

エラーコード (API)

エラーメッセージ

ログキーワード

トラブルシューティング方法

ピアが一致しません

PeerMismatch

受信したプロトコルパケットがカスタマーゲートウェイ情報と一致しません。

received UNSUPPORTED_CRITICAL_PAYLOAD error

1. IPsec 接続に関連付けられているカスタマーゲートウェイの IP アドレスが、オンプレミスゲートウェイデバイスの IP アドレスと同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。

2. オンプレミスゲートウェイデバイスに複数の IP アドレスが設定されている場合は、カスタマーゲートウェイに設定されている IP アドレスが、オンプレミスゲートウェイデバイスで実際に使用されているものであることを確認します。

アルゴリズムが一致しません

AlgorithmMismatch

暗号化アルゴリズム、認証アルゴリズム、または DH グループパラメーターが一致しません。

• HASH mismatched

• parsed INFORMATIONAL_V1 request

• packet lacks expected payload

• authentication failure

1. IKE 設定および IPsec 設定フェーズで設定された暗号化アルゴリズム、認証アルゴリズム、および DH グループ (Perfect Forward Secrecy - PFS) が、IPsec 接続とオンプレミスゲートウェイデバイスで同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。

2. オンプレミスゲートウェイデバイスに、IKE 設定および IPsec 設定フェーズで複数の暗号化アルゴリズム、認証アルゴリズム、または DH グループ (Perfect Forward Secrecy - PFS) が設定されている場合は、オンプレミスゲートウェイデバイスの設定を変更して、その暗号化アルゴリズム、認証アルゴリズム、および DH グループ (Perfect Forward Secrecy - PFS) の設定が IPsec 接続のものと同じになるようにすることを推奨します。

   注意：Alibaba Cloud でクラシック VPN ゲートウェイの IPsec 接続を設定する場合、IKE 設定および IPsec 設定フェーズの暗号化アルゴリズム、認証アルゴリズム、および DH グループ は、複数の値ではなく単一の値のみをサポートします。

暗号化アルゴリズムが一致しません

EncryptionAlgorithmMismatch

IPsec 暗号化アルゴリズムが一致しません。

• invalid encryption algorithm

• trns_id mismatched

• rejected enctype

• authentication failure

1. IPsec 設定フェーズで設定された暗号化アルゴリズムが、IPsec 接続とオンプレミスゲートウェイデバイスで同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。

2. オンプレミスゲートウェイデバイスに、IPsec 設定フェーズで複数の暗号化アルゴリズムが設定されている場合は、オンプレミスゲートウェイデバイスの設定を変更して、その暗号化アルゴリズムが IPsec 接続のものと同じになるようにすることを推奨します。

認証アルゴリズムが一致しません

AuthenticationAlgorithmMismatch

IKE 認証アルゴリズムが一致しません。

• authtype mismatched

• rejected hashtype

• authentication failure

1. IKE 設定フェーズで設定された認証アルゴリズムが、IPsec 接続とオンプレミスゲートウェイデバイスで同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。

2. オンプレミスゲートウェイデバイスに、IKE 設定フェーズで複数の認証アルゴリズムが設定されている場合は、オンプレミスゲートウェイデバイスの設定を変更して、その認証アルゴリズムが IPsec 接続のものと同じになるようにすることを推奨します。

DH グループが一致しません

DhGroupMismatch

IKE フェーズ 1 の DH グループパラメーターが一致しません。

• received KE type 14,expected 2

• failed to compute dh value

• rejected dh_group

• proposal mismatch, transform type:4

1. IKE 設定フェーズで設定された DH グループ (Perfect Forward Secrecy - PFS) が、IPsec 接続とオンプレミスゲートウェイデバイスで同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。

2. オンプレミスゲートウェイデバイスに、IKE 設定フェーズで複数の DH グループ (Perfect Forward Secrecy - PFS) が設定されている場合は、オンプレミスゲートウェイデバイスの設定を変更して、その DH グループ (Perfect Forward Secrecy - PFS) が IPsec 接続のものと同じになるようにすることを推奨します。

3. シナリオで同じカスタマーゲートウェイに複数の IPsec 接続が関連付けられている場合、すべての IPsec 接続で IKE 設定フェーズのすべての設定 (バージョン、ネゴシエーションモード、暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy - PFS)、および SA のライフタイム (秒) を含む) が同じである必要があります。また、各 IPsec 接続側の LocalId は、その IPsec 接続のオンプレミスゲートウェイデバイスの RemoteId と同じである必要があります。各 IPsec 接続側の RemoteId は、オンプレミスゲートウェイデバイスの LocalId と同じである必要があります。

事前共有鍵が一致しません

PskMismatch

事前共有鍵パラメーターが一致しません。

• Decryption failed! mismatch of preshared secrets

• mismatch of preshared secrets

• invalid HASH_V1 payload length, decryption failed

• could not decrypt payloads

• authentication failure

1. IPsec 接続とオンプレミスゲートウェイデバイスに設定された事前共有鍵が同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。IPsec 接続とオンプレミスゲートウェイデバイスの両方の事前共有鍵を同時に変更することもできます。この操作は IPsec プロトコルの再ネゴシエーションをトリガーし、システムは両端の事前共有鍵が一致するかどうかを再確認します。

2. IPsec 接続とオンプレミスゲートウェイデバイスの事前共有鍵が同じであっても、IKE 設定および IPsec 設定フェーズで設定された暗号化アルゴリズム、認証アルゴリズム、および DH グループ (Perfect Forward Secrecy - PFS) が両端で同じであることを確認します。

3. オンプレミスゲートウェイデバイスに、IKE 設定および IPsec 設定フェーズで複数の暗号化アルゴリズム、認証アルゴリズム、または DH グループ (Perfect Forward Secrecy - PFS) が設定されている場合は、オンプレミスゲートウェイデバイスの設定を変更して、その暗号化アルゴリズム、認証アルゴリズム、および **DH グループ (Perfect Forward Secrecy - PFS)** の設定が IPsec 接続のものと同じになるようにすることを推奨します。

PeerID が一致しません

PeerIdMismatch

LocalID または RemoteID が一致しないか、互換性がありません。

• does not match peers id

• message lacks IDr payload

• Expecting IP address type in main mode,but FQDN

• Unknow peer id

• Parse PEERID failed

• received ID_I(xxx) does not match peers id

1. IPsec 接続側の LocalId がオンプレミスゲートウェイデバイスの RemoteId と同じであり、IPsec 接続側の RemoteId がオンプレミスゲートウェイデバイスの LocalId と同じであるかどうかを確認します。異なる場合は、それらを変更します。- VPN ゲートウェイインスタンスに IPsec 接続がアタッチされているシナリオでは、Alibaba Cloud VPN Gateway はデフォルトで VPN ゲートウェイの IP アドレスを LocalId として、カスタマーゲートウェイの IP アドレスを IPsec 接続の RemoteId として使用します。- トランジットルーターインスタンスに IPsec 接続がアタッチされているシナリオでは、Alibaba Cloud VPN Gateway はデフォルトで IPsec 接続のゲートウェイ IP アドレスを LocalId として、カスタマーゲートウェイの IP アドレスを IPsec 接続の RemoteId として使用します。

2. IPsec 接続の IKE バージョンが ikev1 で、ネゴシエーションモードがメインの場合、LocalId と RemoteId は IP アドレス形式である必要があります。LocalId と RemoteId の形式が要件を満たしていることを確認します。

3. IPsec 接続とオンプレミスゲートウェイデバイスに設定されたネゴシエーションモードが同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。両端でメインモードを設定することを推奨します。メインモードでは、LocalId と RemoteId に IP アドレス形式を使用することを推奨します。

4. IPsec 接続の IKE バージョンが ikev2 で、上記の問題を確認してもエラーが見つからない場合は、IKE 設定および IPsec 設定フェーズで設定された暗号化アルゴリズム、認証アルゴリズム、および **DH グループ (Perfect Forward Secrecy - PFS)** が、IPsec 接続とオンプレミスゲートウェイデバイスで同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。

DPD ペイロードシーケンスに互換性がありません

DpdHashNotifyCompatibility

DPD ペイロード順序の互換性

ignore information because the message has no hash payload

IPsec 接続で DPD 機能が有効になっている場合、DPD ペイロードの順序はデフォルトで hash-notify になります。オンプレミスゲートウェイデバイスの DPD ペイロードの順序も hash-notify であるかどうかを確認します。そうでない場合は、オンプレミスゲートウェイデバイスの DPD ペイロードの順序を hash-notify に変更します。

DPD がタイムアウトしました

DpdTimeout

DPD パケットのタイムアウト

DPD: remote seems to be dead

1. IPsec 接続とオンプレミスゲートウェイデバイスの両方で DPD 機能が有効になっているかどうかを確認します。両端で DPD 機能の有効化ステータスが同じであることを確認します。DPD パケットのタイムアウトは、IPsec プロトコルの再ネゴシエーションをトリガーします。

2. IPsec 接続とオンプレミスゲートウェイデバイス間のネットワーク品質とルート設定を確認して、それらが相互に通信できることを確認します。

IKE バージョンが一致しません

IkeVersionMismatch

IKE バージョン番号パラメーターまたはネゴシエーションモードが一致しません。

unknown ikev2 peer

1. IPsec 接続とオンプレミスゲートウェイデバイスに設定された IKE バージョンが同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。

   • オンプレミスゲートウェイデバイスが IKE バージョンの自動選択をサポートしているか、IKEv1 と IKEv2 の両方をサポートしている場合は、オンプレミスゲートウェイデバイスの IKE バージョンを指定することを推奨します。オンプレミスゲートウェイデバイスの IKE バージョンは、IPsec 接続のものと同じである必要があります。

   • 両端で IKEv2 を使用することを推奨します。

2. IPsec 接続とオンプレミスゲートウェイデバイスに設定されたネゴシエーションモードが同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。

ネゴシエーションモードが一致しません

NegotiationModeMismatch

ネゴシエーションモードが一致しません。

• in Identity not acceptable Aggressive mode

• not acceptable Identity Protection mode

1. IPsec 接続とオンプレミスゲートウェイデバイスに設定されたネゴシエーションモードが同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。両端でメインモードを使用することを推奨します。

2. 両端がメインモードであっても IPsec 接続がネゴシエーションに失敗する場合 (これは一部の極端なケースで発生する可能性があります)、両端のネゴシエーションモードをアグレッシブモードに変更してみてください。

NAT-T が一致しません

NatTMismatch

NAT 越えが一致しません。

ignore the packet, received unexpecting payload type 130

IPsec 接続とオンプレミスゲートウェイデバイスの NAT 越え機能のステータスが同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。オンプレミスゲートウェイデバイスが NAT Gateway の背後にある場合は、IPsec 接続とオンプレミスゲートウェイデバイスの両方で NAT 越え機能を有効にすることを推奨します。

SA ライフタイムが一致しません

LifetimeMismatch

ライフタイムパラメーターが一致しません。

long lifetime proposed

IKE 設定および IPsec 設定フェーズで設定された SA のライフタイム (秒) が、IPsec 接続とオンプレミスゲートウェイデバイスで同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。IPsec 接続とオンプレミスゲートウェイデバイスに設定された SA のライフタイム (秒) は同じである必要はありませんが、ゲートウェイデバイスベンダー間の違いにより、IPsec 接続の安定性を確保するために両端で同じ SA のライフタイム (秒) を設定することを推奨します。

セキュリティプロトコルが一致しません

SecurityProtocolMismatch

セキュリティプロトコルパラメーターが一致しません。

proto_id mismatched

オンプレミスゲートウェイデバイスが使用するセキュリティプロトコルが Encapsulating Security Payload (ESP) であるかどうかを確認します。そうでない場合は、ESP に変更します。IPsec 接続で使用されるセキュリティプロトコルについて、Alibaba Cloud VPN Gateway は ESP のみをサポートし、Authentication Header (AH) はサポートしません。

カプセル化モードが一致しません

EncapsulationModeMismatch

カプセル化モードが一致しません。

encmode mismatched

オンプレミスゲートウェイデバイスが使用するカプセル化モードがトンネルモードであるかどうかを確認します。そうでない場合は、トンネルモードに変更します。IPsec 接続で使用されるカプセル化モードについて、Alibaba Cloud VPN Gateway はトンネルモードのみをサポートし、トランスポートモードはサポートしません。

アルゴリズムに互換性がありません

AlgorithmCompatibility

アルゴリズムの互換性

なし

IPsec 接続とオンプレミスゲートウェイデバイスの IKE 設定および IPsec 設定フェーズで設定された認証アルゴリズムに互換性がありません。両端で異なる認証アルゴリズム (md5 など) を使用することを推奨します。

保護されるデータフローが一致しません

TrafficSelectorMismatch

対象トラフィックの CIDR ブロックパラメーターが一致しません。

• traffic selector mismatch

• invalid-id-information

• traffic selector unacceptable

• can't find matching selector

• received INVALID_ID_INFORMATION error notify

• received Notify type TS_UNACCEPTABLE

1. IPsec 接続で使用される IKE バージョンに基づいて対象トラフィックの CIDR ブロック設定を確認し、以下の原則に従っていることを確認します：

   • IPsec 接続で使用される IKE バージョンが ikev1 の場合、対象トラフィックには単一の CIDR ブロックしか設定できません。

   • IPsec 接続で使用される IKE バージョンが ikev2 の場合、対象トラフィックには複数の CIDR ブロックを設定できます。

   注意：IPsec 接続に複数の CIDR ブロックが設定されているシナリオでは、IPsec 接続とオンプレミスゲートウェイデバイス間の IPsec プロトコルネゴシエーションメカニズムの違いにより、一部の CIDR ブロックは接続性があるが他はない場合があります。解決策については、「複数の CIDR ブロックシナリオで、一部の CIDR ブロックは接続性があるが、他はないですか？」をご参照ください。

2. IPsec 接続とオンプレミスゲートウェイデバイスに設定された対象トラフィックが同じであるかどうかを確認し、以下を確認します：

   • IPsec 接続側のローカル CIDR ブロックが、オンプレミスゲートウェイデバイスのピア CIDR ブロックと同じであること。

   • IPsec 接続側のピア CIDR ブロックが、オンプレミスゲートウェイデバイスのローカル CIDR ブロックと同じであること。

PFS が一致しません

PfsMismatch

IPsec フェーズ 2 の DH グループパラメーターが一致しません。

• pfs group mismatched

• message lacks KE payload

IPsec 接続とオンプレミスゲートウェイデバイスの IPsec 設定フェーズで、PFS 機能の設定ステータスが同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。

• IPsec 接続側の IPsec 設定フェーズの DH グループ (Perfect Forward Secrecy - PFS) が disabled に設定されている場合、IPsec 接続側で PFS 機能が無効になっていることを意味します。オンプレミスゲートウェイデバイスでも PFS 機能が無効になっていることを確認する必要があります。

• IPsec 接続側の IPsec 設定フェーズの DH グループ (Perfect Forward Secrecy - PFS) が disabled 以外の値に設定されている場合、IPsec 接続側で PFS 機能が有効になっていることを意味します。オンプレミスゲートウェイデバイスでも PFS 機能が有効になっていることを確認する必要があります。IPsec 接続とオンプレミスゲートウェイデバイスの両方で PFS 機能を有効にすることを推奨します。

Commit bit が一致しません

CommitMismatch

コミットビットが一致しません。

なし

オンプレミスゲートウェイデバイスでコミットビットが有効になっているかどうかを確認します。有効になっている場合は、無効にします。コミットビットは、保護されたデータが送信される前に IPsec プロトコルのネゴシエーションが完了することを保証するために使用されます。Alibaba Cloud VPN Gateway はコミットビットの設定をサポートしていません。

プロポーザルが一致しません

ProposalMismatch

プロポーザルが一致しません。

• no proposal chosen

• received NO_PROPOSAL_CHOSEN

• no suitable proposal found

• failed to get valid proposal

• none of my proposal matched

• no matching proposal found, sending NO_PROPOSAL_CHOSEN

• proposal mismatch

• couldn't find configuaration

• ignore the packet,expecting the packet encrypted

1. IPsec 接続とオンプレミスゲートウェイデバイスに設定された IKE バージョンが同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。両端で IKEv2 を使用することを推奨します。

2. IPsec 接続とオンプレミスゲートウェイデバイスの IKE 設定フェーズのすべての設定が同じかどうかを確認します。異なる場合は、以下の条件を満たすように変更します：

   • バージョン、ネゴシエーションモード、暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy - PFS)、および SA のライフタイム (秒) パラメーターについては、両端の設定が同じである必要があります。

   • IPsec 接続側の LocalId は、オンプレミスゲートウェイデバイスの RemoteId と同じである必要があります。IPsec 接続側の RemoteId は、オンプレミスゲートウェイデバイスの LocalId と同じである必要があります。

3. IPsec 接続とオンプレミスゲートウェイデバイスの IPsec 設定フェーズのすべての設定が同じかどうかを確認します。異なる場合は、それらが同じになるように変更します (暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy - PFS)、SA のライフタイム (秒)、および NAT 越えを含む)。また、IPsec 接続とオンプレミスゲートウェイデバイスに設定された対象トラフィックが以下の条件を満たすことを確認します：

   • IPsec 接続側のローカル CIDR ブロックが、オンプレミスゲートウェイデバイスのピア CIDR ブロックと同じであること。

   • IPsec 接続側のピア CIDR ブロックが、オンプレミスゲートウェイデバイスのローカル CIDR ブロックと同じであること。

4. シナリオで同じカスタマーゲートウェイに複数の IPsec 接続が関連付けられている場合、すべての IPsec 接続で IKE 設定フェーズのすべての設定 (バージョン、ネゴシエーションモード、暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy - PFS)、および SA のライフタイム (秒) を含む) が同じである必要があります。また、各 IPsec 接続側の LocalId は、その IPsec 接続のオンプレミスゲートウェイデバイスの RemoteId と同じである必要があります。各 IPsec 接続側の RemoteId は、その IPsec 接続のオンプレミスゲートウェイデバイスの LocalId と同じである必要があります。

5. IPsec 接続をリセットして、IPsec プロトコルの再ネゴシエーションをトリガーしてみてください。

ネゴシエーションに失敗しました

NegotiationFailed

プロトコルのネゴシエーションが失敗しました。

phase2 negotiation failed due to time up waiting for phase1

IPsec 接続をリセットして、IPsec プロトコルの再ネゴシエーションをトリガーします。システムは再度チェックを実行します。

フェーズ 1 のネゴシエーションがタイムアウトしました

Phase1NegotiationTimeout

フェーズ 1 プロトコルパケットの受信タイムアウトによりネゴシエーションが失敗しました。

• phase1 negotiation failed due to time up

• ignore information because ISAKMP-SA has not been established

1. オンプレミスゲートウェイデバイスが IPsec プロトコルパケットを正常に受信または送信できるかどうかを確認します。

2. IPsec 接続に関連付けられているカスタマーゲートウェイの IP アドレスが、オンプレミスゲートウェイデバイスの IP アドレスと同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。

3. オンプレミスゲートウェイデバイスに異常 (障害や再起動など) がないか確認します。

4. オンプレミスゲートウェイデバイスと IPsec 接続が相互にアクセスできるかどうかを確認します。オンプレミスゲートウェイデバイスで ping、mtr、または traceroute コマンドを使用して、VPN ゲートウェイの IP アドレスまたは IPsec 接続のゲートウェイ IP アドレスにアクセスし、相互にアクセスできることを確認します。

5. VPN Gateway は現在、クロスボーダーの IPsec 接続の作成をサポートしていません。クロスボーダー接続を作成するには、Cloud Enterprise Network (CEN) を使用してください。

6. IPsec 接続をリセットして、IPsec プロトコルの再ネゴシエーションをトリガーしてみてください。

フェーズ 2 のネゴシエーションがタイムアウトしました

Phase2NegotiationTimeout

フェーズ 2 パケットの受信タイムアウトによりネゴシエーションが失敗しました。

なし

1. IPsec 設定フェーズのパラメーター設定が、IPsec 接続とオンプレミスゲートウェイデバイスで同じかどうかを確認します (暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy - PFS)、および SA のライフタイム (秒) を含む)。異なる場合は、両端の IPsec 設定フェーズのパラメーター設定が同じになるように変更します。

2. IPsec 接続とオンプレミスゲートウェイデバイスの NAT 越え機能のステータスが同じかどうかを確認します。NAT 越え機能が両端で有効になっているか、両端で無効になっていることを確認します。

3. IPsec 接続とオンプレミスゲートウェイデバイスが使用する IKE バージョンを、両端で IKEv1 または両端で IKEv2 に変更してみてください。

ピアからのプロトコル応答メッセージが受信できません

NoResponse

ピアゲートウェイが応答しません。

• sending retransmit 1 of request message ID 0, seq 1

• retransmission count exceeded the limit

1. オンプレミスゲートウェイデバイスが IPsec プロトコルパケットを正常に受信または送信できるかどうかを確認します。

2. IPsec 接続に関連付けられているカスタマーゲートウェイの IP アドレスが、オンプレミスゲートウェイデバイスの IP アドレスと同じかどうかを確認します。異なる場合は、それらが同じになるように変更します。

3. オンプレミスゲートウェイデバイスに異常 (障害や再起動など) がないか確認します。

4. オンプレミスゲートウェイデバイスと IPsec 接続が相互にアクセスできるかどうかを確認します。オンプレミスゲートウェイデバイスで ping、mtr、または traceroute コマンドを使用して、VPN ゲートウェイの IP アドレスまたは IPsec 接続のゲートウェイ IP アドレスにアクセスし、相互にアクセスできることを確認します。

5. オンプレミスゲートウェイデバイスに適用されるアクセス制御ポリシーを確認し、以下の条件を満たしていることを確認します：

   • ポート 500 および 4500 で UDP プロトコルを許可していること。

   • VPN ゲートウェイインスタンスの IP アドレスまたは IPsec 接続ゲートウェイの IP アドレスを許可していること。

6. IPsec 接続をリセットして、IPsec プロトコルの再ネゴシエーションをトリガーしてみてください。

ピアから delete メッセージを受信しました

ReceiveDeleteNotify

ピアから削除パケットを受信しました。

received DELETE IKE_SA

IPsec 接続側が、オンプレミスゲートウェイデバイスから送信された delete notify パケットを受信しました。オンプレミスゲートウェイデバイス側で原因を確認してください。

例外は検出されていません

NoExceptionFound

ネゴシエーション例外は診断されませんでした。

なし

この結果は、IPsec 接続がネゴシエーションを開始していないために発生する可能性があります。Alibaba Cloud 側またはピアネットワークデバイス側で IPsec 接続をリセットします。Alibaba Cloud 側では、IPsec 接続の [即時有効] の値を変更して保存し、その後元の値に戻して IPsec プロトコルのネゴシエーションを開始させることができます。その後、現在のページを更新してチェック結果を表示します。