VPN Gateway:IPsec-VPN トラブルシューティング

エラーコード (コンソールのみ)

エラーコード (API のみ)

エラーメッセージ

ログキーワード

トラブルシューティング方法

[ピアが一致しません]

PeerMismatch

受信したプロトコルパケットがカスタマーゲートウェイ情報と一致しません

received UNSUPPORTED_CRITICAL_PAYLOAD error

1. IPsec 接続に関連付けられているカスタマーゲートウェイの IP アドレスが、IPsec 接続のオンプレミスゲートウェイデバイスの IP アドレスと同じであるかを確認してください。異なる場合は、両端の IP アドレスが同じになるように変更してください。

2. オンプレミスゲートウェイデバイスに複数の IP アドレスが設定されている場合は、カスタマーゲートウェイに設定されている IP アドレスが、オンプレミスゲートウェイデバイスで実際に使用されている IP アドレスであることを確認してください。

[アルゴリズムが一致しません]

AlgorithmMismatch

暗号化アルゴリズム、認証アルゴリズム、または DH グループパラメーターが一致しません

• HASH mismatched

• parsed INFORMATIONAL_V1 request

• packet lacks expected payload

• authentication failure

1. IPsec 接続とオンプレミスゲートウェイデバイスについて、IKE 設定フェーズで設定した暗号化アルゴリズム、認証アルゴリズム、DH グループが両端で一致していることを確認してください。また、IPsec 設定フェーズで設定した暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy (PFS)) が両端で一致していることも確認してください。異なる場合は、両端の設定が同じになるように変更してください。

2. オンプレミスゲートウェイデバイスの IKE 設定 フェーズまたは IPsec 設定 フェーズで、複数の暗号化アルゴリズム、認証アルゴリズム、またはDH グループ (Perfect Forward Secrecy (PFS)) が設定されている場合は、オンプレミスゲートウェイデバイスの設定を変更し、暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy (PFS)) が IPsec 接続の設定と同じになるようにすることを推奨します。

   注: Alibaba Cloud 側で標準 VPN ゲートウェイの IPsec 接続を設定する場合、IKE 設定フェーズと IPsec 設定フェーズでは、[暗号化アルゴリズム]、[認証アルゴリズム]、および DH グループ はそれぞれ 1 つの値のみをサポートし、複数の値はサポートされていません。

[暗号化アルゴリズムが一致しません]

EncryptionAlgorithmMismatch

IPsec 暗号化アルゴリズムが一致しません

• invalid encryption algorithm

• trns_id mismatched

• rejected enctype

• authentication failure

1. IPsec 接続と、そのオンプレミスゲートウェイデバイスの IPsec 設定 フェーズで設定した暗号化アルゴリズムが同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください。

2. オンプレミスゲートウェイデバイスの IPsec 設定 フェーズで複数の暗号化アルゴリズムが設定されている場合は、オンプレミスゲートウェイデバイスの設定を変更し、オンプレミスゲートウェイデバイスの暗号化アルゴリズムが IPsec 接続の暗호化アルゴリズムと同じになるようにすることを推奨します。

[認証アルゴリズムが一致しません]

AuthenticationAlgorithmMismatch

IKE 認証アルゴリズムが一致しません

• authtype mismatched

• rejected hashtype

• authentication failure

1. IPsec 接続と、そのオンプレミスゲートウェイデバイスの IKE 設定 フェーズで設定した認証アルゴリズムが同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください。

2. オンプレミスゲートウェイデバイスの IKE 設定 フェーズで複数の認証アルゴリズムが設定されている場合は、オンプレミスゲートウェイデバイスの設定を変更し、オンプレミスゲートウェイデバイスの認証アルゴリズムが IPsec 接続の認証アルゴリズムと同じになるようにすることを推奨します。

[DH グループが一致しません]

DhGroupMismatch

IKE フェーズ 1 の DH グループパラメーターが一致しません

• received KE type 14,expected 2

• failed to compute dh value

• rejected dh_group

• proposal mismatch, transform type:4

1. IPsec 接続と、そのオンプレミスゲートウェイデバイスの IKE 設定 フェーズで設定した DH グループ (Perfect Forward Secrecy (PFS)) が同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください。

2. オンプレミスゲートウェイデバイスの IKE 設定 フェーズで複数の DH グループ (Perfect Forward Secrecy (PFS)) が設定されている場合は、オンプレミスゲートウェイデバイスの設定を変更し、DH グループ (Perfect Forward Secrecy (PFS)) が IPsec 接続の DH グループ (Perfect Forward Secrecy (PFS)) と同じになるようにすることを推奨します。

3. 複数の IPsec 接続が同じカスタマーゲートウェイに関連付けられているシナリオでは、すべての IPsec 接続の IKE 設定 フェーズの全設定 (バージョン、ネゴシエーションモード、暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy (PFS))、SA ライフタイム (秒) を含む) が同じである必要があります。同時に、各 IPsec 接続の LocalId は、IPsec 接続のオンプレミスゲートウェイデバイスの RemoteId と同じである必要があり、各 IPsec 接続の RemoteId は、オンプレミスゲートウェイデバイスの LocalId と同じである必要があります。

[事前共有鍵が一致しません]

PskMismatch

The pre-shared key parameter does not match

• Decryption failed! mismatch of preshared secrets

• mismatch of preshared secrets

• invalid HASH_V1 payload length, decryption failed

• could not decrypt payloads

• authentication failure

1. Check whether the pre-shared key configured for the IPsec connection and its on-premises gateway device is the same. If it is different, modify it to ensure that the configurations on both ends are the same. You can also modify the pre-shared key of the IPsec connection and its on-premises gateway device at the same time. This operation triggers IPsec protocol re-negotiation, and the system checks again whether the pre-shared key on both ends match.

2. When the pre-shared key of the IPsec connection and its on-premises gateway device are the same, also ensure that the encryption algorithm, authentication algorithm, and DH group (Perfect Forward Secrecy (PFS)) are all the same. configured in the IKE configuration phase and IPsec configuration phase on both ends

3. multiple encryption algorithm, authentication algorithm, or DH group (Perfect Forward Secrecy (PFS)) in the If the on-premises gateway device is configured with, in the IKE configuration phase and IPsec configuration phase, we recommend that you modify the configuration of the on-premises gateway device so that the encryption algorithm, authentication algorithm, and **DH group (Perfect Forward Secrecy (PFS))** of the on-premises gateway device are the same as the configuration of the IPsec connection.

[PeerID が一致しません]

PeerIdMismatch

LocalID または RemoteID が一致しないか、互換性がありません

• does not match peers id

• message lacks IDr payload

• Expecting IP address type in main mode,but FQDN

• Unknow peer id

• Parse PEERID failed

• received ID_I(xxx) does not match peers id

1. IPsec 接続の LocalId がオンプレミスゲートウェイデバイスの RemoteId と同じであるか、また IPsec 接続の RemoteId がオンプレミスゲートウェイデバイスの LocalId と同じであるかを確認してください。異なる場合は変更してください。- IPsec 接続が VPN Gateway インスタンスにバインドされているシナリオでは、Alibaba Cloud VPN Gateway はデフォルトで VPN Gateway の IP アドレスを IPsec 接続の LocalId として使用し、カスタマーゲートウェイの IP アドレスを IPsec 接続の RemoteId として使用します。- IPsec 接続が Transit Router インスタンスにバインドされているシナリオでは、Alibaba Cloud VPN Gateway はデフォルトで IPsec 接続のゲートウェイ IP アドレスを IPsec 接続の LocalId として使用し、カスタマーゲートウェイの IP アドレスを IPsec 接続の RemoteId として使用します。

2. IPsec 接続の IKE バージョンが ikev1 で、ネゴシエーションモードが メイン の場合、LocalId と RemoteId は IP アドレス形式のみをサポートします。LocalId と RemoteId の形式が要件を満たしていることを確認してください。

3. IPsec 接続と、そのオンプレミスゲートウェイデバイスに設定されたネゴシエーションモードが同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください。両端を メイン (メインモード) に設定することを推奨します。メイン (メインモード) では、LocalId と RemoteId は IP アドレス形式を使用することを推奨します。

4. IPsec 接続の IKE バージョンが ikev2 で、上記の問題がないことを確認した場合は、IPsec 接続と、そのオンプレミスゲートウェイデバイスの IKE 設定 フェーズおよび IPsec 設定 フェーズで設定した暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy (PFS)) が同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください。

5. 両端のLocalIdとRemoteIdが同じであることが確認されているにもかかわらず、IPsec 接続のネゴシエーションが依然として失敗する場合 (トンネルステータスがike_sa_not_establishedと表示される)、LocalIdとRemoteIdの形式がネゴシエーションモードと一致しているかどうかを確認します。 メイン (メインモード) では、IKE は IP アドレス形式のLocalIdとRemoteIdのみをサポートし、FQDN 形式はサポートしていません。 FQDN 形式のLocalIdとRemoteId (例: test.aliyun.com および test.local.com) を使用する必要がある場合は、IPsec 接続とそのオンプレミスゲートウェイデバイスのネゴシエーションモードをアグレッシブ (アグレッシブモード) に変更すると同時に、両端のLocalIdとRemoteIdを FQDN 形式に変更して、両端の設定が一致するようにします。 変更が完了したら、IKE が自動的に再ネゴシエーションするのを待つか、コンソールで手動でネゴシエーションをトリガーします。その後、トンネルステータスがike_sa_establishedに変更され、設定が有効になったことを確認します。

[DPD ペイロードシーケンスに互換性がありません]

DpdHashNotifyCompatibility

DPD ペイロード順序の互換性

ignore information because the message has no hash payload

IPsec 接続で DPD 機能が有効になっている場合、IPsec 接続の DPD ペイロードの順序は、デフォルトで hash-notify です。オンプレミスゲートウェイデバイスの DPD ペイロードの順序も hash-notify であるかどうかを確認してください。そうでない場合は、オンプレミスゲートウェイデバイスの DPD ペイロードの順序を hash-notify に変更してください。

[DPD がタイムアウトしました]

DpdTimeout

DPD パケットタイムアウト

DPD: remote seems to be dead

1. IPsec 接続と、そのオンプレミスゲートウェイデバイスの両方で DPD 機能が有効になっているかを確認し、両端の DPD 機能の有効状態が同じであることを確認してください。DPD パケットのタイムアウトにより、IPsec プロトコルの再ネゴシエーションが発生します。

2. IPsec 接続と、そのオンプレミスゲートウェイデバイス間のネットワーク品質とルート設定を確認し、それらが相互に通信できることを確認してください。

[IKE バージョンが一致しません]

IkeVersionMismatch

IKE バージョン番号パラメーターが一致しません

unknown ikev2 peer

1. IPsec 接続と、そのオンプレミスゲートウェイデバイスに設定された IKE バージョンが同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください。

   • オンプレミスゲートウェイデバイスが IKE バージョンを自動的に選択するか、IKEv1 と IKEv2 の両方のバージョンをサポートしている場合は、オンプレミスゲートウェイデバイスに IKE バージョンを指定することを推奨します。オンプレミスゲートウェイデバイスの IKE バージョンは、IPsec 接続の IKE バージョンと同じである必要があります。

   • 両端で IKEv2 バージョンを使用することを推奨します。

2. IPsec 接続と、そのオンプレミスゲートウェイデバイスに設定されたネゴシエーションモードが同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください。

[ネゴシエーションモードが一致しません]

NegotiationModeMismatch

ネゴシエーションモードが一致しません

• in Identity not acceptable Aggressive mode

• not acceptable Identity Protection mode

1. IPsec 接続と、そのオンプレミスゲートウェイデバイスに設定されたネゴシエーションモードが同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください。両端で メイン (メインモード) を使用することを推奨します。

2. 両端が メイン (メインモード) の場合でも IPsec 接続のネゴシエーションが失敗する場合 (この問題は一部の極端なシナリオで発生します)、両端のネゴシエーションモードを アグレッシブ (アグレッシブモード) に変更してみてください。

[NAT-T が一致しません]

NatTMismatch

NAT トラバーサルが一致しません

ignore the packet, received unexpecting payload type 130

IPsec 接続と、そのオンプレミスゲートウェイデバイスの NAT トラバーサル機能の状態が同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください。オンプレミスゲートウェイデバイスが NAT ゲートウェイの背後にある場合は、IPsec 接続と、そのオンプレミスゲートウェイデバイスの両方で NAT トラバーサル機能を有効にすることを推奨します。

[SA ライフタイムが一致しません]

LifetimeMismatch

ライフタイムパラメーターが一致しません

long lifetime proposed

IPsec 接続と、そのオンプレミスゲートウェイデバイスの IKE 設定 フェーズおよび IPsec 設定 フェーズで設定された SA ライフタイム (秒) が同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください。IPsec 接続と、そのオンプレミスゲートウェイデバイスで設定された SA ライフタイム (秒) は同じである必要はありませんが、ゲートウェイデバイスのベンダーが異なるため、IPsec-VPN 接続の安定性を確保するために、両端で同じ SA ライフタイム (秒) を設定することを推奨します。

[セキュリティプロトコルが一致しません]

SecurityProtocolMismatch

セキュリティプロトコルパラメーターが一致しません

proto_id mismatched

オンプレミスゲートウェイデバイスが使用するセキュリティプロトコルが ESP (Encapsulating Security Payload) であるかを確認してください。そうでない場合は ESP に変更してください。Alibaba Cloud VPN Gateway は、IPsec-VPN 接続が使用するセキュリティプロトコルとして ESP のみをサポートし、AH (Authentication Header) はサポートしていません。

[カプセル化モードが一致しません]

EncapsulationModeMismatch

カプセル化モードが一致しません

encmode mismatched

オンプレミスゲートウェイデバイスが使用するカプセル化モードがトンネルモードであるかを確認してください。そうでない場合はトンネルモードに変更してください。Alibaba Cloud VPN Gateway は、IPsec-VPN 接続が使用するカプセル化モードとしてトンネルモードのみをサポートし、トランスポートモードはサポートしていません。

[アルゴリズムに互換性がありません]

AlgorithmCompatibility

アルゴリズムの互換性

なし

IPsec 接続と、そのオンプレミスゲートウェイデバイスの IKE 設定 フェーズと IPsec 設定 フェーズで設定した認証アルゴリズムに互換性がありません。両端で md5 などの別の認証アルゴリズムを使用することを推奨します。

[保護されるデータフローが一致しません]

TrafficSelectorMismatch

トラフィックセレクターの CIDR ブロックパラメーターが一致しません

• traffic selector mismatch

• invalid-id-information

• traffic selector unacceptable

• can't find matching selector

• received INVALID_ID_INFORMATION error notify

• received Notify type TS_UNACCEPTABLE

1. IPsec 接続が使用する IKE バージョンに基づいて、トラフィックセレクターの CIDR ブロック設定を確認し、以下の原則に準拠していることを確認してください：

   • IPsec 接続が使用する IKE バージョンが ikev1 の場合、トラフィックセレクターは単一の CIDR ブロックの設定のみをサポートします。

   • IPsec 接続が使用する IKE バージョンが ikev2 の場合、トラフィックセレクターは複数の CIDR ブロックの設定をサポートします。

   注：IPsec 接続に複数の CIDR ブロックが設定されているシナリオでは、IPsec 接続とオンプレミスゲートウェイデバイスの IPsec プロトコルネゴシエーションメカニズムが異なるため、一部の CIDR ブロックでは正常に通信でき、他の CIDR ブロックでは通信できない場合があります。解決策については、「複数の CIDR ブロックのシナリオで、一部の CIDR ブロックは正常に通信できるが、他は通信できませんか？」をご参照ください。

2. IPsec 接続と、そのオンプレミスゲートウェイデバイスに設定されたトラフィックセレクターが同じであるかを確認し、以下を確認してください：

   • IPsec 接続のローカル CIDR ブロックが、オンプレミスゲートウェイデバイスのリモート CIDR ブロックと同じであること。

   • IPsec 接続のリモート CIDR ブロックが、オンプレミスゲートウェイデバイスのローカル CIDR ブロックと同じであること。

[PFS が一致しません]

PfsMismatch

IPsec フェーズ 2 の DH グループパラメーターが一致しません

• pfs group mismatched

• message lacks KE payload

IPsec 接続と、そのオンプレミスゲートウェイデバイスの IPsec 設定 フェーズにおける PFS 機能の設定状態が同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください。

• IPsec 接続の IPsec 設定 フェーズで DH グループ (Perfect Forward Secrecy (PFS)) が無効に設定されている場合、IPsec 接続側で PFS 機能が有効になっていないことを示します。このとき、オンプレミスゲートウェイデバイスの PFS 機能も無効になっていることを確認する必要があります。

• IPsec 接続の IPsec 設定 フェーズで DH グループ (Perfect Forward Secrecy (PFS)) が無効以外の値に設定されている場合、IPsec 接続側で PFS 機能が有効になっていることを示します。このとき、オンプレミスゲートウェイデバイスの PFS 機能も有効になっていることを確認する必要があります。IPsec 接続と、そのオンプレミスゲートウェイデバイスの両方で PFS 機能を有効にすることを推奨します。

[Commit bit が一致しません]

CommitMismatch

コミットビットが一致しません

なし

オンプレミスゲートウェイデバイスのコミットビットが有効になっているかを確認してください。有効になっている場合は、コミットビットを無効にしてください。コミットビットは、保護されたデータが送信される前に IPsec プロトコルのネゴシエーションが完了することを保証するために使用されます。Alibaba Cloud VPN Gateway はコミットビットの設定をサポートしていません。

[プロポーザルが一致しません]

ProposalMismatch

プロポーザルが一致しません

• no proposal chosen

• received NO_PROPOSAL_CHOSEN

• no suitable proposal found

• failed to get valid proposal

• none of my proposal matched

• no matching proposal found, sending NO_PROPOSAL_CHOSEN

• proposal mismatch

• couldn't find configuaration

• ignore the packet,expecting the packet encrypted

1. IPsec 接続と、そのオンプレミスゲートウェイデバイスに設定された IKE バージョンが同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください。両端で IKEv2 バージョンを使用することを推奨します。

2. IPsec 接続と、そのオンプレミスゲートウェイデバイスの IKE 設定 フェーズのすべての設定が同じであるかを確認してください。異なる場合は、両端の設定が以下の条件を満たすように変更してください：

   • バージョン、ネゴシエーションモード、暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy (PFS))、SA ライフタイム (秒) の各パラメーターの設定は、両端で同じである必要があります。

   • IPsec 接続の LocalId はオンプレミスゲートウェイデバイスの RemoteId と同じである必要があり、IPsec 接続の RemoteId はオンプレミスゲートウェイデバイスの LocalId と同じである必要があります。

3. IPsec 接続と、そのオンプレミスゲートウェイデバイスの IPsec 設定 フェーズのすべての設定が同じであるかを確認してください。異なる場合は、両端の設定が同じになるように変更してください (暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy (PFS))、SA ライフタイム (秒)、NAT トラバーサルなど)。同時に、IPsec 接続と、そのオンプレミスゲートウェイデバイスに設定されたトラフィックセレクターが以下の条件を満たしていることを確認してください：

   • IPsec 接続のローカル CIDR ブロックが、オンプレミスゲートウェイデバイスのリモート CIDR ブロックと同じであること。

   • IPsec 接続のリモート CIDR ブロックが、オンプレミスゲートウェイデバイスのローカル CIDR ブロックと同じであること。

4. 複数の IPsec 接続が同じカスタマーゲートウェイに関連付けられているシナリオでは、すべての IPsec 接続の IKE 設定 フェーズの全設定 (バージョン、ネゴシエーションモード、暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy (PFS))、SA ライフタイム (秒) を含む) が同じである必要があります。同時に、各 IPsec 接続の LocalId は、現在の IPsec 接続のオンプレミスゲートウェイデバイスの RemoteId と同じである必要があり、各 IPsec 接続の RemoteId は、現在の IPsec 接続のオンプレミスゲートウェイデバイスの LocalId と同じである必要があります。

5. IPsec-VPN 接続をリセットして、IPsec プロトコルの再ネゴシエーションをトリガーしてみてください。

[ネゴシエーションに失敗しました]

NegotiationFailed

プロトコルネゴシエーションに失敗しました

phase2 negotiation failed due to time up waiting for phase1

IPsec-VPN 接続をリセットして IPsec プロトコルの再ネゴシエーションをトリガーしてください。システムが再度チェックを行います。

[フェーズ 1 のネゴシエーションがタイムアウトしました]

Phase1NegotiationTimeout

フェーズ 1 のプロトコルパケットの受信に失敗し、タイムアウトによりネゴシエーションに失敗しました

• phase1 negotiation failed due to time up

• ignore information because ISAKMP-SA has not been established

1. オンプレミスゲートウェイデバイスが IPsec プロトコルパケットを正常に受信または送信できるかを確認してください。

2. IPsec 接続に関連付けられているカスタマーゲートウェイの IP アドレスが、IPsec 接続のオンプレミスゲートウェイデバイスの IP アドレスと同じであるかを確認してください。異なる場合は、両端の IP アドレスが同じになるように変更してください。

3. オンプレミスゲートウェイデバイスに例外 (障害による再起動など) がないかを確認してください。

4. オンプレミスゲートウェイデバイスで ping、mtr、または traceroute コマンドを使用して VPN ゲートウェイの IP アドレスまたは IPsec 接続のゲートウェイ IP アドレスにアクセスし、両端が相互にアクセスできることを確認します。

5. 現在、VPN Gateway はクロスボーダーの IPsec-VPN 接続の作成をサポートしていません。クロスボーダー接続を作成する必要がある場合は、Cloud Enterprise Network (CEN) を使用してください。

6. IPsec-VPN 接続をリセットして、IPsec プロトコルの再ネゴシエーションをトリガーしてみてください。

[フェーズ 2 のネゴシエーションがタイムアウトしました]

Phase2NegotiationTimeout

フェーズ 2 パケットの受信に失敗し、タイムアウトによりネゴシエーションに失敗しました

なし

1. IPsec 接続と、そのオンプレミスゲートウェイデバイスの IPsec 設定 フェーズのパラメーター設定 (暗号化アルゴリズム、認証アルゴリズム、DH グループ (Perfect Forward Secrecy (PFS))、SA ライフタイム (秒) を含む) が同じであるかを確認してください。異なる場合は、両端の IPsec 設定 フェーズのパラメーター設定が同じになるように変更してください。

2. IPsec 接続と、そのオンプレミスゲートウェイデバイスの NAT トラバーサル機能の状態が同じであるかを確認してください。両端の NAT トラバーサル機能が同時に有効になっているか、同時に無効になっていることを確認してください。

3. IPsec 接続と、そのオンプレミスゲートウェイデバイスが使用する IKE バージョンを変更し、両方を同時に IKEv1 に変更するか、両方を同時に IKEv2 に変更してみてください。

[ピアからのプロトコル応答メッセージが受信できません]

NoResponse

ピアゲートウェイが応答しません

• sending retransmit 1 of request message ID 0, seq 1

• retransmission count exceeded the limit

1. オンプレミスゲートウェイデバイスが IPsec プロトコルパケットを正常に受信または送信できるかを確認してください。

2. IPsec 接続に関連付けられているカスタマーゲートウェイの IP アドレスが、IPsec 接続のオンプレミスゲートウェイデバイスの IP アドレスと同じであるかを確認してください。異なる場合は、両端の IP アドレスが同じになるように変更してください。

3. オンプレミスゲートウェイデバイスに例外 (障害による再起動など) がないかを確認してください。

4. オンプレミスゲートウェイデバイスと IPsec 接続が相互にアクセスできるかどうかを確認します。オンプレミスゲートウェイデバイスで ping、mtr、または traceroute コマンドを使用して VPN ゲートウェイの IP アドレスまたは IPsec 接続のゲートウェイ IP アドレスにアクセスし、両端が相互にアクセスできることを確認します。

5. オンプレミスゲートウェイデバイスに適用されているアクセスコントロールポリシーを確認し、以下の条件を満たしているかを確認してください：

   • UDP プロトコルポート 500 と 4500 を許可してください。

   • VPN Gateway インスタンスの IP アドレスまたは IPsec 接続のゲートウェイ IP アドレスを許可してください。

6. IPsec-VPN 接続をリセットして、IPsec プロトコルの再ネゴシエーションをトリガーしてみてください。

[ピアから delete メッセージを受信しました]

ReceiveDeleteNotify

ピアから削除パケットを受信しました

received DELETE IKE_SA

IPsec 接続側が、オンプレミスゲートウェイデバイスから送信された delete notify パケットを受信しました。オンプレミスゲートウェイデバイス側で原因のトラブルシューティングを行ってください。

[例外は検出されていません]

NoExceptionFound

ネゴシエーション例外の原因が診断されませんでした

なし

現在の結果は、IPsec-VPN 接続がネゴシエーションを開始していないことが原因である可能性があります。Alibaba Cloud 側またはピアネットワークデバイス側で IPsec-VPN 接続をリセットしてください。Alibaba Cloud 側では、IPsec 接続下の [即時有効] の値を変更して保存し、その後 [即時有効] を元の設定値に戻すことで、IPsec プロトコルネゴシエーションの開始をトリガーすることができます。その後、現在のページを更新してチェック結果を表示してください。