VPN Gateway:IPsec-VPN のトラブルシューティング

エラーコード (コンソールのみ)

エラーコード (API のみ)

エラーメッセージ

ログキーワード

トラブルシューティング方法

ピアが一致しません

PeerMismatch

受信したプロトコルパケットがカスタマーゲートウェイ情報と一致しません

received UNSUPPORTED_CRITICAL_PAYLOAD error

1. IPsec 接続に関連付けられているカスタマーゲートウェイの IP アドレスが、IPsec 接続のオンプレミスゲートウェイデバイスの IP アドレスと同じかどうかを確認します。異なる場合は、両端の IP アドレスが同じになるように変更します。

2. オンプレミスゲートウェイデバイスに複数の IP アドレスが設定されている場合は、カスタマーゲートウェイに設定されている IP アドレスが、オンプレミスゲートウェイデバイスで実際に使用されている IP アドレスであることを確認します。

アルゴリズムが一致しません

AlgorithmMismatch

暗号化アルゴリズム、認証アルゴリズム、または DH グループパラメーターが一致しません

• HASH mismatched

• parsed INFORMATIONAL_V1 request

• packet lacks expected payload

• authentication failure

1. IPsec 接続とそのオンプレミスゲートウェイデバイスの IKE 設定フェーズと IPsec 設定フェーズで設定された暗号化アルゴリズム、認証アルゴリズム、および DH グループ (完全転送秘密 (PFS)) が同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。

2. オンプレミスゲートウェイデバイスの IKE 設定フェーズと IPsec 設定フェーズで複数の暗号化アルゴリズム、認証アルゴリズム、または DH グループ (完全転送秘密 (PFS)) が設定されている場合は、オンプレミスゲートウェイデバイスの暗号化アルゴリズム、認証アルゴリズム、および DH グループ (完全転送秘密 (PFS)) が IPsec 接続の設定と同じになるように、オンプレミスゲートウェイデバイスの設定を変更することを推奨します。

   暗号化アルゴリズム、認証アルゴリズム、および DH グループ は、注：Alibaba Cloud 側で標準 VPN ゲートウェイの IPsec 接続を構成する場合、IKE 設定フェーズと IPsec 設定フェーズでは、すべて単一の値のみをサポートし、複数の値はサポートしません。

暗号化アルゴリズムが一致しません

EncryptionAlgorithmMismatch

IPsec 暗号化アルゴリズムが一致しません

• invalid encryption algorithm

• trns_id mismatched

• rejected enctype

• authentication failure

1. IPsec 接続とそのオンプレミスゲートウェイデバイスの IPsec 設定フェーズで設定された暗号化アルゴリズムが同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。

2. オンプレミスゲートウェイデバイスの IPsec 設定フェーズで複数の暗号化アルゴリズムが設定されている場合は、オンプレミスゲートウェイデバイスの暗号化アルゴリズムが IPsec 接続の暗号化アルゴリズムと同じになるように、オンプレミスゲートウェイデバイスの設定を変更することを推奨します。

認証アルゴリズムが一致しません

AuthenticationAlgorithmMismatch

IKE 認証アルゴリズムが一致しません

• authtype mismatched

• rejected hashtype

• authentication failure

1. IPsec 接続とそのオンプレミスゲートウェイデバイスの IKE 設定フェーズで設定された認証アルゴリズムが同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。

2. オンプレミスゲートウェイデバイスの IKE 設定フェーズで複数の認証アルゴリズムが設定されている場合は、オンプレミスゲートウェイデバイスの認証アルゴリズムが IPsec 接続の認証アルゴリズムと同じになるように、オンプレミスゲートウェイデバイスの設定を変更することを推奨します。

DH グループが一致しません

DhGroupMismatch

IKE フェーズ 1 の DH グループパラメーターが一致しません

• received KE type 14,expected 2

• failed to compute dh value

• rejected dh_group

• proposal mismatch, transform type:4

1. IPsec 接続とそのオンプレミスゲートウェイデバイスの IKE 設定フェーズで設定された DH グループ (完全転送秘密 (PFS)) が同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。

2. オンプレミスゲートウェイデバイスの IKE 設定フェーズで複数の DH グループ (完全転送秘密 (PFS)) が設定されている場合は、オンプレミスゲートウェイデバイスの DH グループ (完全転送秘密 (PFS)) が IPsec 接続の DH グループ (完全転送秘密 (PFS)) と同じになるように、オンプレミスゲートウェイデバイスの設定を変更することを推奨します。

3. ご利用のシナリオで、複数の IPsec 接続が同じカスタマーゲートウェイに関連付けられている場合、すべての IPsec 接続について、IKE 設定フェーズのすべての設定 (バージョン、ネゴシエーションモード、暗号化アルゴリズム、認証アルゴリズム、DH グループ (完全転送秘密 (PFS))、および SA ライフタイム (秒) を含む) が同じである必要があります。同時に、各 IPsec 接続側の LocalId は、IPsec 接続のオンプレミスゲートウェイデバイスの RemoteId と同じである必要があり、各 IPsec 接続側の RemoteId は、オンプレミスゲートウェイデバイスの LocalId と同じである必要があります。

事前共有鍵が一致しません

PskMismatch

事前共有鍵パラメーターが一致しません

• Decryption failed! mismatch of preshared secrets

• mismatch of preshared secrets

• invalid HASH_V1 payload length, decryption failed

• could not decrypt payloads

• authentication failure

1. IPsec 接続とそのオンプレミスゲートウェイデバイスに設定された事前共有鍵が同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。IPsec 接続とそのオンプレミスゲートウェイデバイスの事前共有鍵を同時に変更することもできます。この操作は IPsec プロトコルの再ネゴシエーションをトリガーし、システムは両端の事前共有鍵が一致するかどうかを再度確認します。

2. IPsec 接続とそのオンプレミスゲートウェイデバイスの事前共有鍵が同じ場合でも、両端の IKE 設定フェーズと IPsec 設定フェーズで設定された暗号化アルゴリズム、認証アルゴリズム、および DH グループ (完全転送秘密 (PFS)) がすべて同じであることを確認してください。

3. オンプレミスゲートウェイデバイスの IKE 設定フェーズと IPsec 設定フェーズで複数の暗号化アルゴリズム、認証アルゴリズム、または DH グループ (完全転送秘密 (PFS)) が設定されている場合は、オンプレミスゲートウェイデバイスの暗号化アルゴリズム、認証アルゴリズム、および **DH グループ (完全転送秘密 (PFS))** が IPsec 接続の設定と同じになるように、オンプレミスゲートウェイデバイスの設定を変更することを推奨します。

PeerID が一致しません

PeerIdMismatch

LocalID または RemoteID が一致しないか、互換性がありません

• does not match peers id

• message lacks IDr payload

• Expecting IP address type in main mode,but FQDN

• Unknow peer id

• Parse PEERID failed

• received ID_I(xxx) does not match peers id

1. IPsec 接続側の LocalId がオンプレミスゲートウェイデバイスの RemoteId と同じかどうか、また IPsec 接続側の RemoteId がオンプレミスゲートウェイデバイスの LocalId と同じかどうかを確認します。異なる場合は、変更します。- IPsec 接続が VPN ゲートウェイインスタンスにバインドされているシナリオでは、Alibaba Cloud VPN ゲートウェイはデフォルトで VPN ゲートウェイの IP アドレスを IPsec 接続の LocalId として、カスタマーゲートウェイの IP アドレスを IPsec 接続の RemoteId として使用します。- IPsec 接続が Transit Router (TR) インスタンスにバインドされているシナリオでは、Alibaba Cloud VPN ゲートウェイはデフォルトで IPsec 接続のゲートウェイ IP アドレスを IPsec 接続の LocalId として、カスタマーゲートウェイの IP アドレスを IPsec 接続の RemoteId として使用します。

2. IPsec 接続の IKE バージョンが ikev1 で、ネゴシエーションモードが main の場合、LocalId と RemoteId は IP アドレス形式のみをサポートします。LocalId と RemoteId の形式が要件を満たしていることを確認してください。

3. IPsec 接続とそのオンプレミスゲートウェイデバイスに設定されたネゴシエーションモードが同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。両端を main (メインモード) に設定することを推奨します。main (メインモード) では、LocalId と RemoteId は IP アドレス形式を使用することを推奨します。

4. IPsec 接続の IKE バージョンが ikev2 で、上記の問題が正しいことを確認した場合、IPsec 接続とそのオンプレミスゲートウェイデバイスの IKE 設定フェーズと IPsec 設定フェーズで設定された暗号化アルゴリズム、認証アルゴリズム、および **DH グループ (完全転送秘密 (PFS))** が同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。

5. 両端の LocalId と RemoteId が同じであることが確認されているにもかかわらず、IPsec 接続がまだネゴシエーションに失敗する場合 (トンネルステータスが ike_sa_not_established と表示される)、LocalId と RemoteId の形式がネゴシエーションモードと一致しているかどうかを確認します：main (メインモード) では、IKE は IP アドレス形式の LocalId と RemoteId のみをサポートし、FQDN 形式はサポートしません。FQDN 形式の LocalId と RemoteId (例：test.aliyun.com と test.local.com) を使用する必要がある場合は、IPsec 接続とそのオンプレミスゲートウェイデバイスのネゴシエーションモードを同時に aggressive (アグレッシブモード) に変更し、両端の LocalId と RemoteId を同時に FQDN 形式に変更して、両端の設定が一致していることを確認します。変更が完了したら、IKE が自動的に再ネゴシエーションするのを待つか、コンソールで手動でネゴシエーションをトリガーし、トンネルステータスが ike_sa_established に変わることを確認して、設定が有効になったことを確認します。

DPD ペイロードシーケンスに互換性がありません

DpdHashNotifyCompatibility

DPD ペイロード順序の互換性

ignore information because the message has no hash payload

IPsec 接続で DPD 機能が有効になっている場合、IPsec 接続の DPD ペイロード順序はデフォルトで hash-notify です。オンプレミスゲートウェイデバイスの DPD ペイロード順序も hash-notify であるかどうかを確認します。そうでない場合は、オンプレミスゲートウェイデバイスの DPD ペイロード順序を hash-notify に変更します。

DPD がタイムアウトしました

DpdTimeout

DPD パケットのタイムアウト

DPD: remote seems to be dead

1. IPsec 接続とそのオンプレミスゲートウェイデバイスの両方で DPD 機能が有効になっているかどうかを確認し、両端の DPD 機能の有効状態が同じであることを確認します。DPD パケットのタイムアウトは IPsec プロトコルの再ネゴシエーションを引き起こします。

2. IPsec 接続とオンプレミスゲートウェイデバイス間のネットワーク品質とルート設定を確認し、互いに通信できることを確認します。

IKE バージョンが一致しません

IkeVersionMismatch

IKE バージョン番号パラメーターが一致しないか、ネゴシエーションモードが一致しません

unknown ikev2 peer

1. IPsec 接続とそのオンプレミスゲートウェイデバイスに設定された IKE バージョンが同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。

   • オンプレミスゲートウェイデバイスが IKE バージョンを自動的に選択するか、IKEv1 と IKEv2 の両方をサポートする場合は、オンプレミスゲートウェイデバイスに IKE バージョンを指定することを推奨します。オンプレミスゲートウェイデバイスの IKE バージョンは、IPsec 接続の IKE バージョンと同じである必要があります。

   • 両端で IKEv2 バージョンを使用することを推奨します。

2. IPsec 接続とそのオンプレミスゲートウェイデバイスに設定されたネゴシエーションモードが同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。

ネゴシエーションモードが一致しません

NegotiationModeMismatch

ネゴシエーションモードが一致しません

• in Identity not acceptable Aggressive mode

• not acceptable Identity Protection mode

1. IPsec 接続とそのオンプレミスゲートウェイデバイスに設定されたネゴシエーションモードが同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。両端で main (メインモード) を使用することを推奨します。

2. 両端が main (メインモード) の場合に IPsec 接続がまだネゴシエーションに失敗する場合 (この問題は一部の極端なシナリオで発生します)、両端のネゴシエーションモードを aggressive (アグレッシブモード) に変更してみてください。

NAT-T が一致しません

NatTMismatch

NAT 越えが一致しません

ignore the packet, received unexpecting payload type 130

IPsec 接続とそのオンプレミスゲートウェイデバイスの NAT 越え機能の状態が同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。オンプレミスゲートウェイデバイスが NAT ゲートウェイの背後にある場合は、IPsec 接続とそのオンプレミスゲートウェイデバイスの両方で NAT 越え機能を有効にすることを推奨します。

SA ライフタイムが一致しません

LifetimeMismatch

ライフタイムパラメーターが一致しません

long lifetime proposed

IPsec 接続とそのオンプレミスゲートウェイデバイスの IKE 設定フェーズと IPsec 設定フェーズで設定された SA ライフタイム (秒) を確認します。異なる場合は、両端の設定が同じになるように変更します。IPsec 接続とそのオンプレミスゲートウェイデバイスに設定された SA ライフタイム (秒) は同じである必要はありませんが、異なるゲートウェイデバイスは異なるベンダーに属するため、IPsec-VPN 接続の安定性を確保するために、両端で同じ SA ライフタイム (秒) を設定することを推奨します。

セキュリティプロトコルが一致しません

SecurityProtocolMismatch

セキュリティプロトコルパラメーターが一致しません

proto_id mismatched

オンプレミスゲートウェイデバイスが使用するセキュリティプロトコルが ESP (Encapsulating Security Payload) であるかどうかを確認します。そうでない場合は、ESP に変更します。IPsec-VPN 接続が使用するセキュリティプロトコルについて、Alibaba Cloud VPN ゲートウェイは ESP のみをサポートし、AH (Authentication Header) はサポートしません。

カプセル化モードが一致しません

EncapsulationModeMismatch

カプセル化モードが一致しません

encmode mismatched

オンプレミスゲートウェイデバイスが使用するカプセル化モードがトンネルモードであるかどうかを確認します。そうでない場合は、トンネルモードに変更します。IPsec-VPN 接続が使用するカプセル化モードについて、Alibaba Cloud VPN ゲートウェイはトンネルモードのみをサポートし、トランスポートモードはサポートしません。

アルゴリズムに互換性がありません

AlgorithmCompatibility

アルゴリズムの互換性

なし

IPsec 接続とそのオンプレミスゲートウェイデバイスの IKE 設定フェーズと IPsec 設定フェーズで設定された認証アルゴリズムに互換性がありません。両端で別の認証アルゴリズム、たとえば md5 を使用することを推奨します。

保護されるデータフローが一致しません

TrafficSelectorMismatch

トラフィックセレクターの CIDR ブロックパラメーターが一致しません

• traffic selector mismatch

• invalid-id-information

• traffic selector unacceptable

• can't find matching selector

• received INVALID_ID_INFORMATION error notify

• received Notify type TS_UNACCEPTABLE

1. IPsec 接続が使用する IKE バージョンに基づき、トラフィックセレクターの CIDR ブロック設定を確認し、以下の原則に従っていることを確認します：

   • IPsec 接続が使用する IKE バージョンが ikev1 の場合、トラフィックセレクターは単一の CIDR ブロックの設定のみをサポートします。

   • IPsec 接続が使用する IKE バージョンが ikev2 の場合、トラフィックセレクターは複数の CIDR ブロックの設定をサポートします。

   注：IPsec 接続に複数の CIDR ブロックが設定されているシナリオでは、IPsec 接続とオンプレミスゲートウェイデバイスの IPsec プロトコルネゴシエーションメカニズムが異なるため、一部の CIDR ブロックは正常に通信できても、他の CIDR ブロックは通信できない場合があります。解決策については、「複数 CIDR ブロックのシナリオで、一部の CIDR ブロックは正常に通信できるが、他は通信できませんか？」をご参照ください。

2. IPsec 接続とそのオンプレミスゲートウェイデバイスに設定されたトラフィックセレクターが同じかどうかを確認し、以下を確認します：

   • IPsec 接続側のローカル CIDR ブロックが、オンプレミスゲートウェイデバイスのリモート CIDR ブロックと同じである。

   • IPsec 接続側のリモート CIDR ブロックが、オンプレミスゲートウェイデバイスのローカル CIDR ブロックと同じである。

PFS が一致しません

PfsMismatch

IPsec フェーズ 2 の DH グループパラメーターが一致しません

• pfs group mismatched

• message lacks KE payload

IPsec 接続とそのオンプレミスゲートウェイデバイスの IPsec 設定フェーズの PFS 機能の設定状態が同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。

• IPsec 接続側の IPsec 設定フェーズで DH グループ (完全転送秘密 (PFS)) が無効に設定されている場合、IPsec 接続側で PFS 機能が有効になっていないことを示し、オンプレミスゲートウェイデバイスの PFS 機能も無効になっていることを確認する必要があります。

• IPsec 接続側の IPsec 設定フェーズで DH グループ (完全転送秘密 (PFS)) が無効以外の値に設定されている場合、IPsec 接続側で PFS 機能が有効になっていることを示し、オンプレミスゲートウェイデバイスの PFS 機能も有効になっていることを確認する必要があります。IPsec 接続とそのオンプレミスゲートウェイデバイスの両方で PFS 機能を有効にすることを推奨します。

Commit bit が一致しません

CommitMismatch

コミットビットが一致しません

なし

オンプレミスゲートウェイデバイスのコミットビットが有効になっているかどうかを確認します。有効になっている場合は、コミットビットを無効にします。コミットビットは、保護されたデータが送信される前に IPsec プロトコルネゴシエーションが完了することを保証するために使用されます。Alibaba Cloud VPN ゲートウェイはコミットビットの設定をサポートしていません。

プロポーザルが一致しません

ProposalMismatch

プロポーザルが一致しません

• no proposal chosen

• received NO_PROPOSAL_CHOSEN

• no suitable proposal found

• failed to get valid proposal

• none of my proposal matched

• no matching proposal found, sending NO_PROPOSAL_CHOSEN

• proposal mismatch

• couldn't find configuaration

• ignore the packet,expecting the packet encrypted

1. IPsec 接続とそのオンプレミスゲートウェイデバイスに設定された IKE バージョンが同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します。両端で IKEv2 バージョンを使用することを推奨します。

2. IPsec 接続とそのオンプレミスゲートウェイデバイスの IKE 設定フェーズのすべての設定が同じかどうかを確認します。異なる場合は、両端の設定が次の条件を満たすように変更します：

   • バージョン、ネゴシエーションモード、暗号化アルゴリズム、認証アルゴリズム、DH グループ (完全転送秘密 (PFS))、および SA ライフタイム (秒) パラメーターの設定は両端で同じである必要があります。

   • IPsec 接続側の LocalId は、オンプレミスゲートウェイデバイスの RemoteId と同じである必要があり、IPsec 接続側の RemoteId は、オンプレミスゲートウェイデバイスの LocalId と同じである必要があります。

3. IPsec 接続とそのオンプレミスゲートウェイデバイスの IPsec 設定フェーズのすべての設定が同じかどうかを確認します。異なる場合は、両端の設定が同じになるように変更します (暗号化アルゴリズム、認証アルゴリズム、DH グループ (完全転送秘密 (PFS))、SA ライフタイム (秒)、および NAT 越えを含む)。同時に、IPsec 接続とオンプレミスゲートウェイデバイスに設定されたトラフィックセレクターが次の条件を満たすことを確認します：

   • IPsec 接続側のローカル CIDR ブロックが、オンプレミスゲートウェイデバイスのリモート CIDR ブロックと同じである。

   • IPsec 接続側のリモート CIDR ブロックが、オンプレミスゲートウェイデバイスのローカル CIDR ブロックと同じである。

4. ご利用のシナリオで、複数の IPsec 接続が同じカスタマーゲートウェイに関連付けられている場合、すべての IPsec 接続について、IKE 設定フェーズのすべての設定 (バージョン、ネゴシエーションモード、暗号化アルゴリズム、認証アルゴリズム、DH グループ (完全転送秘密 (PFS))、および SA ライフタイム (秒) を含む) が同じである必要があります。同時に、各 IPsec 接続側の LocalId は、現在の IPsec 接続のオンプレミスゲートウェイデバイスの RemoteId と同じである必要があり、各 IPsec 接続側の RemoteId は、現在の IPsec 接続のオンプレミスゲートウェイデバイスの LocalId と同じである必要があります。

5. IPsec-VPN 接続をリセットして、IPsec プロトコルの再ネゴシエーションをトリガーしてみてください。

ネゴシエーションに失敗しました

NegotiationFailed

プロトコルネゴシエーションが失敗しました

phase2 negotiation failed due to time up waiting for phase1

IPsec-VPN 接続をリセットして IPsec プロトコルの再ネゴシエーションをトリガーすると、システムが再度チェックします。

フェーズ 1 のネゴシエーションがタイムアウトしました

Phase1NegotiationTimeout

フェーズ 1 プロトコルパケットを受信できず、タイムアウトによりネゴシエーションが失敗しました

• phase1 negotiation failed due to time up

• ignore information because ISAKMP-SA has not been established

1. オンプレミスゲートウェイデバイスが IPsec プロトコルパケットを正常に受信または送信できるかどうかを確認します。

2. IPsec 接続に関連付けられているカスタマーゲートウェイの IP アドレスが、IPsec 接続のオンプレミスゲートウェイデバイスの IP アドレスと同じかどうかを確認します。異なる場合は、両端の IP アドレスが同じになるように変更します。

3. オンプレミスゲートウェイデバイスに例外 (たとえば、障害による再起動) がないかどうかを確認します。

4. オンプレミスゲートウェイデバイスと IPsec 接続が互いにアクセスできるかどうかを確認します。オンプレミスゲートウェイデバイスで ping、mtr、または traceroute コマンドを使用して、VPN ゲートウェイの IP アドレスまたは IPsec 接続のゲートウェイ IP アドレスにアクセスし、両端が互いにアクセスできることを確認します。

5. 現在の VPN ゲートウェイは、クロスボーダー IPsec-VPN 接続の作成をサポートしていません。クロスボーダー接続を作成する必要がある場合は、Cloud Enterprise Network (CEN) を使用してください。

6. IPsec-VPN 接続をリセットして、IPsec プロトコルの再ネゴシエーションをトリガーしてみてください。

フェーズ 2 のネゴシエーションがタイムアウトしました

Phase2NegotiationTimeout

フェーズ 2 パケットを受信できず、タイムアウトによりネゴシエーションが失敗しました

なし

1. IPsec 接続とそのオンプレミスゲートウェイデバイスの IPsec 設定フェーズのパラメーター設定が同じかどうかを確認します (暗号化アルゴリズム、認証アルゴリズム、DH グループ (完全転送秘密 (PFS))、および SA ライフタイム (秒) を含む)。異なる場合は、両端の IPsec 設定フェーズのパラメーター設定が同じになるように変更します。

2. IPsec 接続とそのオンプレミスゲートウェイデバイスの NAT 越え機能の状態が同じかどうかを確認します。両端の NAT 越え機能が同時に有効になっているか、同時に無効になっていることを確認します。

3. IPsec 接続とそのオンプレミスゲートウェイデバイスが使用する IKE バージョンを変更してみて、両方を IKEv1 にするか、両方を IKEv2 に同時に変更します。

ピアからのプロトコル応答メッセージが受信できません

NoResponse

ピアゲートウェイが応答しません

• sending retransmit 1 of request message ID 0, seq 1

• retransmission count exceeded the limit

1. オンプレミスゲートウェイデバイスが IPsec プロトコルパケットを正常に受信または送信できるかどうかを確認します。

2. IPsec 接続に関連付けられているカスタマーゲートウェイの IP アドレスが、IPsec 接続のオンプレミスゲートウェイデバイスの IP アドレスと同じかどうかを確認します。異なる場合は、両端の IP アドレスが同じになるように変更します。

3. オンプレミスゲートウェイデバイスに例外 (たとえば、障害による再起動) がないかどうかを確認します。

4. オンプレミスゲートウェイデバイスと IPsec 接続が互いにアクセスできるかどうかを確認します。オンプレミスゲートウェイデバイスで ping、mtr、または traceroute コマンドを使用して、VPN ゲートウェイの IP アドレスまたは IPsec 接続のゲートウェイ IP アドレスにアクセスし、両端が互いにアクセスできることを確認します。

5. オンプレミスゲートウェイデバイスに適用されているアクセス制御ポリシーを確認し、以下の条件を満たしているかどうかを確認します：

   • UDP プロトコルのポート 500 と 4500 を許可する。

   • VPN ゲートウェイインスタンスの IP アドレスまたは IPsec 接続のゲートウェイ IP アドレスを許可する。

6. IPsec-VPN 接続をリセットして、IPsec プロトコルの再ネゴシエーションをトリガーしてみてください。

ピアから delete メッセージを受信しました

ReceiveDeleteNotify

ピアから削除パケットを受信しました

received DELETE IKE_SA

IPsec 接続側が、オンプレミスゲートウェイデバイスから送信された delete notify パケットを受信しました。オンプレミスゲートウェイデバイス側で原因をトラブルシューティングしてください。

例外は検出されていません

NoExceptionFound

ネゴシエーション例外の原因が診断されませんでした

なし

現在の結果は、IPsec-VPN 接続がネゴシエーションを開始していないことが原因である可能性があります。Alibaba Cloud 側またはピアネットワークデバイス側で IPsec-VPN 接続をリセットしてください。Alibaba Cloud 側では、IPsec 接続の下にある [すぐに有効にする] の値を変更して保存し、その後 [すぐに有効にする] を元の設定値に戻すことで、IPsec プロトコルネゴシエーションの開始をトリガーできます。その後、現在のページを更新してチェック結果を表示してください。