VPN Gateway:SSL-VPN 接続に関するよくある質問

カテゴリ

原因

解決策

設定エラー

SSL サーバーまたはクライアントの設定が正しくありません。

1. SSL サーバーの ローカル CIDR ブロック 設定を確認してください。 ターゲット VPC の CIDR ブロックが ローカル CIDR ブロック に追加されていることを確認してください。 詳細については、「SSL サーバーを変更する」をご参照ください。

2. クライアント上の VPN ソフトウェアが正しく設定されていることを確認してください。クライアントの設定方法の詳細については、「Configure a client」をご参照ください。

SSL クライアント証明書の期限切れ

SSL クライアント証明書の有効期限が切れているか、無効です。

1. SSL クライアント証明書の有効期間を確認してください。

   デフォルトでは、SSL クライアント証明書の有効期間は 3 年です。

2. 既存の SSL クライアント証明書と、そのすべての設定を削除してください。その後、新しい SSL クライアント証明書をダウンロードしてインストールしてください。

   二要素認証を有効化または無効化した後、または SSL サーバーの設定を変更した後は、SSL クライアント証明書を再度ダウンロードしてインストールする必要があります。詳細については、「Download an SSL client certificate」をご参照ください。

接続数の上限超過

SSL サーバーに接続しているクライアント数が上限を超えています。

1. VPN Gateway インスタンスに接続しているクライアント数が上限を超えていないか確認してください。

   • 同時 SSL 接続数が上限を超えている場合は、SSL サーバーの仕様をアップグレードしてください。詳細については、「Change the number of concurrent SSL connections」をご参照ください。

   • または、アイドル状態のクライアントを切断してください。リソースは切断後約 5 分で解放されます。

     クライアントの接続情報を表示する方法については、「View SSL client information」をご参照ください。

2. SSL サーバーの プロトコル を [TCP] に変更し、SSL クライアント証明書を再ダウンロードしてインストールします。詳細については、「SSL サーバーの変更」および「SSL クライアント証明書のダウンロード」をご参照ください。

   信頼性を高めるために TCP の使用を推奨します。UDP は信頼性の低いプロトコルであるため、不安定な接続によって接続スロットが占有される可能性があります。

IP アドレスの問題

VPC の CIDR ブロックがクライアントの CIDR ブロックと重複しています。

IP アドレスの競合を防ぐために、ローカル CIDR ブロック (VPC または vSwitch の CIDR ブロック) または SSL サーバーの クライアント CIDR ブロック を変更します。詳細については、「SSL サーバーを変更する」をご参照ください。

SSL サーバーの クライアント CIDR ブロック が小さすぎます。このため、クライアントに IP アドレスを割り当てることができません。

指定したクライアント CIDR ブロック内の IP アドレス数が、SSL-VPN 接続の最大数の少なくとも 4 倍であることを確認してください。詳細については、「Create and manage an SSL server」をご参照ください。

たとえば、クライアント CIDR ブロックとして 192.168.0.0/24 を指定した場合、システムはまず 192.168.0.0/24 からサブネットマスクが 30 のサブネット CIDR ブロック（例：192.168.0.4/30）を分割します。このサブネットは最大 4 つの IP アドレスを提供します。次に、システムは 192.168.0.4/30 からクライアントに 1 つの IP アドレスを割り当て、残りの 3 つの IP アドレスをネットワーク通信を確保するために使用します。この場合、1 つのクライアントが 4 つの IP アドレスを消費します。したがって、クライアントに IP アドレスを割り当てられるようにするには、クライアント CIDR ブロック内の IP アドレス数が、関連付けられた VPN ゲートウェイがサポートする最大 SSL-VPN 接続数の少なくとも 4 倍になるようにする必要があります。

VPN ソフトウェアの問題

クライアントで VPN ソフトウェアの競合が発生しています。

1. クライアントに複数の VPN アプリケーションがインストールされている場合は、SSL-VPN 接続の確立には 1 つのみ使用することを推奨します。

2. クライアントを再起動するか、VPN ソフトウェアを再インストールしてください。詳細については、「Configure a client」をご参照ください。

その他

上記以外の原因です。

SSL-VPN 接続のログを確認して、失敗の原因を切り分けてください。詳細については、「Troubleshoot SSL-VPN connection issues」をご参照ください。

カテゴリ

原因

解決策

信頼性の低いパブリックネットワーク

クライアントと VPN Gateway 間のパブリックネットワークの品質が低いと、断続的な切断が発生します。

クライアントで ping または mtr コマンドを実行し、クライアントから VPN Gateway のパブリック IP アドレスへのネットワーク品質をテストします。

ネットワーク品質が低い場合 (例：高レイテンシーまたはパケット損失) は、ご利用のインターネットサービスプロバイダー (ISP) にお問い合わせください。

米国 (シリコンバレー) からシンガポールなどの長距離 SSL-VPN 接続では、クライアントが VPC にアクセスする際に断続的な切断が発生する場合があります。

信頼性を向上させるため、SSL サーバーのプロトコルを [TCP] に変更します。詳細については、「SSL サーバーを変更する」をご参照ください。

プロトコル を [TCP] に変更した後も問題が解決しない場合は、クラウドエンタープライズネットワーク (CEN) と スマートアクセスゲートウェイ (SAG) を使用してクライアントを VPC に接続することをお勧めします。

SSL サーバー設定の変更

SSL サーバーの設定が変更されると、クライアントは切断されます。

SSL サーバーの設定を変更した後、クライアントを再接続してください。

カテゴリ

原因

解決策

信頼性の低いパブリックネットワーク

米国 (シリコンバレー) からシンガポールなどの長距離 SSL-VPN 接続では、クライアントが VPC にアクセスする際に断続的な切断が発生する場合があります。

信頼性を高めるため、SSL サーバーの プロトコル を [TCP] に変更してください。詳細については、「Modify an SSL server」をご参照ください。

米国 (シリコンバレー) からシンガポールなど、長距離通信で SSL-VPN 接続を使用している場合、プロトコル を TCP に変更しても問題が解消されない場合は、Cloud Enterprise Network および Smart Access Gateway を使用して、クライアントを VPC に接続することを推奨します。

接続制限の超過

SSL サーバーに接続しているクライアント数が上限を超えています。

1. VPN Gateway インスタンスに接続しているクライアント数が上限を超えていないか確認してください。

   • 同時 SSL 接続数が上限を超えている場合は、SSL サーバーの仕様をアップグレードしてください。詳細については、「Change the number of concurrent SSL connections」をご参照ください。

   • または、アイドル状態のクライアントを切断してください。リソースは切断後約 5 分で解放されます。

     クライアントの接続情報を表示する方法については、「View SSL client information」をご参照ください。

2. SSL サーバーの プロトコル を [TCP] に変更し、SSL クライアント証明書を再ダウンロードしてインストールします。詳細については、「SSL サーバーの変更」および「SSL クライアント証明書のダウンロード」をご参照ください。

   信頼性を高めるために TCP の使用を推奨します。UDP は信頼性の低いプロトコルであるため、不安定な接続によって接続スロットが占有される可能性があります。

クライアント側の問題

クライアントまたは VPN ソフトウェアが想定どおりに動作していないため、接続に失敗します。

クライアントを再起動するか、VPN ソフトウェアを再インストールして再設定してください。VPN ソフトウェアのインストールおよび設定方法の詳細については、「Configure a client」をご参照ください。

時刻の不一致

クライアントと SSL サーバーの時刻差が大きすぎるため、SSL の検証に失敗します。

クライアントと SSL サーバーの時刻差は 10 分を超えることはできません。クライアントの時刻を調整し、標準時刻ソースと同期させてください。

1. クライアントの現在時刻を確認してください。

   たとえば、Linux オペレーティングシステムでは、date コマンドを実行して現在時刻を確認します。標準時刻と大きく異なる場合は、調整する必要があります。

2. Network Time Protocol (NTP) サービスを使用して時刻を同期してください。

   たとえば、Linux オペレーティングシステムでは、次のコマンドを実行して時刻を同期します：

   yum install -y ntp    # NTP サービスをインストールします。
   ntpdate pool.ntp.org  # 時刻を同期します。
   date                  # 時刻が同期されているか確認します。

原因

解決策

クライアントアプリケーションのアクセス制御ポリシーが ping リクエストをブロックしています。

クライアントアプリケーションのアクセス制御ポリシーが ping リクエストをブロックしていないか確認します。ブロックしている場合は、アクセス制御ポリシーを変更してください。詳細については、「クライアントのユーザーガイド」をご参照ください。

デフォルトでは、Windows OS のファイアウォールが ping リクエストをブロックします。ファイアウォールのインバウンドルールを変更し、ICMPv4-In を許可する必要があります。

宛先 ECS インスタンスの OS ファイアウォールが ICMP パケットをブロックしています。

クライアント側のルートエントリが正しい (route print または ip route を実行すると VPC CIDR ブロックへのルートが確認できる) にもかかわらず、VPC 内の ECS インスタンスに ping できない場合は、宛先 ECS インスタンスの OS ファイアウォール設定を確認してください：

1. firewalld のステータスを確認します：systemctl status firewalld を実行します。出力に active (running) と表示される場合、ファイアウォールは有効です。

2. ファイアウォールの詳細を確認します：firewall-cmd --list-all を実行します。icmp-blocks フィールドに echo-request が含まれているか確認します。

3. 検証のために一時的にファイアウォールを無効化します：systemctl stop firewalld を実行し、再度 ping を試します。ping が成功する場合、firewalld が原因です。

4. iptables ルールを確認します：iptables -L INPUT -n を実行し、ICMP に対する DROP または REJECT ルールがないか確認します。

5. SELinux を確認します：getenforce を実行します。Enforcing の場合は、setenforce 0 を実行して一時的に Permissive に設定し、SELinux が原因かどうかを確認できます。

6. インスタンスの vSwitch のネットワーク ACL で、インバウンドルールとアウトバウンドルールで ICMP トラフィックが許可されていることを確認します。

クライアントに OpenVPN 2.6 以降がインストールされています。これらのバージョンでは DCO (データチャネルオフロード) がデフォルトで有効であり、Alibaba Cloud SSL-VPN と互換性がない場合があります。その結果、クライアントでは接続が確立されたと表示され、セキュリティグループのルールでもトラフィックが許可されているにもかかわらず、VPC 内の ECS インスタンスに ping できません。

クライアントの証明書設定ファイル config.ovpn の最終行として disable-dco パラメーターを追加して保存し、SSL-VPN に再接続します。

シナリオ

原因

解決策

クライアントからは ping コマンドで VPC に正常に到達できますが、VPC から ping コマンドでクライアントに到達できません。

クライアントアプリケーションのアクセス制御ポリシーが ping リクエストをブロックしています。

クライアントアプリケーションのアクセス制御ポリシーが ping リクエストをブロックしていないか確認してください。ブロックしている場合は、アクセス制御ポリシーを変更してください。詳細については、「クライアントのユーザーガイド」をご参照ください。

デフォルトでは、Windows オペレーティングシステムのファイアウォールが ping リクエストをブロックします。ファイアウォールのインバウンドルールを変更し、ICMPv4-In を許可する必要があります。

VPC から ping コマンドでクライアントに到達できますが、クライアントから ping コマンドで VPC に到達できません。

クライアントと VPC 間で、送信トラフィックと戻りトラフィックの経路が異なります。

1. ネットワークで Cloud Enterprise Network (CEN) を使用している場合は、クライアントと VPC の間にあるすべての転送ノードのルート設定を確認してください。クライアントと VPC 間のトラフィックが、双方向で同じ経路を通ることを確認してください。

2. ECS インスタンスなどの VPC リソースにパブリック IP アドレスが割り当てられているか確認してください。リソースにパブリック IP アドレスが割り当てられており、VPC からクライアントへのトラフィックの宛先 IP アドレスがパブリック IP アドレスである場合、トラフィックがプライベートネットワークではなくインターネット経由でルーティングされる可能性があります。

原因

解決策

クライアントから DNS サーバーへのルートがないため、名前解決ができません。

1. クライアントが DNS サーバーへのルートを学習できるように、DNS サーバーの CIDR ブロックを SSL サーバーの ローカル CIDR ブロック に追加します。

   例えば、Alibaba Cloud DNS PrivateZone を使用してドメイン名を管理する場合、SSL サーバーのローカル CIDR ブロックに 100.100.2.136/32 と 100.100.2.138/32 を追加できます。これにより、クライアントはドメイン名解決サービスを使用できます。

2. クライアント上で ping または mtr コマンドを実行し、アプリケーションへの接続性をテストします。接続が正常な場合、SSL-VPN 接続、クライアント、サーバー、およびルートは想定どおりに動作しています。この場合は、デプロイ済みのクラウドサービスとアプリケーションに基づき、さらにトラブルシューティングを行う必要があります。

カテゴリ

原因

解決策

ルーティング問題

SSL サーバーの [ローカル CIDR ブロック] が指定されていないか、設定が正しくありません。

1. SSL サーバーの [ローカル CIDR ブロック] の設定を確認してください。クライアントがアクセスする CIDR ブロックが、SSL サーバーの [ローカル CIDR ブロック] に正しく追加されていることを確認してください。詳細については、「Modify an SSL server」をご参照ください。

2. クライアントが SSL サーバーの [ローカル CIDR ブロック] へのルートを受信していることを確認してください。

   • Windows クライアントでは、ipconfig コマンドを実行して、クライアントに割り当てられている IP アドレスを確認してください。次に、route print コマンドを実行して、クライアントが SSL サーバーの [ローカル CIDR ブロック] へのルートを受信していることを確認してください。

   • Linux クライアントでは、ifconfig コマンドを実行して、クライアントに割り当てられている IP アドレスを確認してください。次に、ip route show all コマンドを実行して、クライアントが SSL サーバーの [ローカル CIDR ブロック] へのルートを受信していることを確認してください。

CIDR ブロック設定の問題

SSL サーバーの [ローカル CIDR ブロック] が [クライアント CIDR ブロック] と重複しています。

SSL サーバーの設定を確認してください。[ローカル CIDR ブロック] と [クライアント CIDR ブロック] が重複していないことを確認してください。詳細については、「Modify an SSL server」をご参照ください。

同じ VPN Gateway 上の IPsec-VPN 接続に対するルートエントリの [CIDR] が、SSL サーバーの [クライアント CIDR ブロック] と競合しています。

IPsec-VPN 接続のルートエントリをより具体的なものに変更するか、SSL サーバーの [クライアント CIDR ブロック] を別の CIDR ブロックに変更してください。これにより、[CIDR] と [クライアント CIDR ブロック] の競合を防止できます。詳細については、「Modify a policy-based route」、「Modify a destination-based route」、または「Modify an SSL server」をご参照ください。

セキュリティグループルールの問題

VPC アプリケーションのセキュリティグループルールまたはクライアントアプリケーションのアクセスコントロールポリシーが、クライアントと VPC 間の通信を許可していません。

1. VPC アプリケーションのセキュリティグループルールを確認してください。セキュリティグループルールで、クライアントと VPC 間のトラフィックが許可されていることを確認してください。詳細については、「View security group rules」および「Add a security group rule」をご参照ください。

2. クライアントアプリケーションのアクセスコントロールポリシーを確認してください。アクセスコントロールポリシーで、クライアントと VPC 間のトラフィックが許可されていることを確認してください。

VPN ソフトウェアの問題

クライアントで使用している OpenVPN のバージョンに互換性がない (古すぎる、または新しすぎる) 場合、クライアントが VPN Gateway からの応答パケットを受信または処理できない可能性があります。

たとえば、OpenVPN 2.6.6 がインストールされた Windows クライアントでは、クラウドリソースに ping できない場合があります。

VPN Gateway のドキュメントで提供されている OpenVPN バージョンをダウンロードして使用することを推奨します。詳細については、「Configure a client」をご参照ください。または、クライアントに OpenVPN 2.6 以降がインストールされている場合、これらのバージョンでは DCO (Data Channel Offload) がデフォルトで有効であり、Alibaba Cloud SSL-VPN と互換性がない場合があります。この場合は、クライアント上の config.ovpn 証明書設定ファイルの最終行に disable-dco パラメータを追記してファイルを保存し、その後再接続してください。

カテゴリ

原因

解決策

VPN Gateway 仕様の問題

トラフィックバーストが VPN Gateway インスタンス の帯域幅を超えています。

VPN Gateway コンソールで VPN Gateway インスタンス のトラフィックモニタリングデータに、トラフィックバーストがないか確認してください。

VPN Gateway インスタンス をアップグレードできます。詳細については、「VPN Gateway のアップグレードまたは更新」をご参照ください。

SSL サーバー設定

SSL サーバーが UDP という信頼性の低いプロトコルを使用して、クライアントとの SSL-VPN 接続を確立しています。

1. SSL サーバーのプロトコルをTCP に変更します。 これにより、SSL サーバーはクライアントとの信頼性の高い SSL-VPN 接続を確立できます。 詳細については、「SSL サーバーを変更する」をご参照ください。

2. SSL クライアント証明書を再度ダウンロードし、クライアントにインストールしてください。詳細については、「SSL クライアント証明書のダウンロード」および「クライアントの設定」をご参照ください。

信頼性の低いパブリックネットワーク

クライアントと VPN Gateway 間のパブリックネットワーク品質が低いため、クライアントが断続的に切断されます。

クライアントで ping または mtr コマンドを実行して、VPN ゲートウェイのパブリック IP アドレスまでのネットワーク品質をテストします。

ネットワーク品質が低い場合は、ISP にサポートを依頼してください。

カテゴリ

原因

解決策

VPN Gateway の仕様の問題

トラフィックバーストが VPN Gateway インスタンスの帯域幅を超えています。

VPN Gateway のコンソールで、VPN Gateway インスタンスのトラフィック監視データを確認し、トラフィックバーストが発生していないか調べてください。

VPN Gateway インスタンスはアップグレード可能です。詳細については、「Upgrade or renew a VPN gateway」をご参照ください。

古い VPN Gateway バージョン

古い VPN Gateway バージョンでは転送パフォーマンスが低く、トラフィック量が多い場合に高レイテンシーが発生する可能性があります。

2021 年 4 月 1 日より前に作成した VPN Gateway は、アップグレードしてください。新しいバージョンでは SSL-VPN の転送パフォーマンスが最適化されています。詳細については、「Upgrade a VPN gateway」をご参照ください。