VPN Gateway:SSL-VPN 接続のトラブルシューティング

オペレーティングシステム

SSL-VPN クライアントのログファイルのデフォルトディレクトリ

OpenVPN がインストールされた Linux クライアント

/var/log/openvpn.log

OpenVPN がインストールされた Windows クライアント

デフォルトでは、ログファイルは OpenVPN のインストールディレクトリ内の log フォルダに保存されます。

例： C:\Users\User\OpenVPN\log。

Tunnelblick がインストールされた macOS クライアント

/Library/Application Support/Tunnelblick/Logs

OpenVPN がインストールされた macOS クライアント

/Library/Application Support/OpenVPN/log/connection_name.log

カテゴリ

原因

キーワード

トラブルシューティング方法

ネットワーク接続の失敗

ネットワーク通信が異常です。

• network is unreachable

• TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)

• TLS Error: TLS handshake failed

1. クライアントから、ping コマンドまたは mtr コマンドを実行し、VPN Gateway のパブリック IP アドレスへの接続性をテストします。

   • ネットワーク遅延が大きい、パケット損失率が高いなどの理由によりインターネット接続が不安定な場合は、インターネットサービスプロバイダー (ISP) に連絡して、問題のトラブルシューティングを依頼してください。

   • ネットワーク接続性が正常である場合、SSL サーバーのログにクライアントの接続情報が記録されているかを確認してください。

     クライアントの接続記録が見つからない場合は、SSL サーバーで使用している ポート を変更してください。その後、クライアントで新しい SSL クライアント証明書をダウンロードしてインストールします。

2. 信頼性を高めるために、SSL サーバーの プロトコル を TCP に変更します。

   米国 (シリコンバレー) からシンガポールなど、長距離通信で SSL-VPN 接続を使用している場合、プロトコル を TCP に変更しても問題が解消されない場合は、Cloud Enterprise Network および Smart Access Gateway を使用して、クライアントを VPC に接続することを推奨します。

3. クライアントに複数の VPN アプリケーションがインストールされている場合は、SSL-VPN 接続を作成するために 1 つの VPN アプリケーションのみを使用することを推奨します。

4. クライアントを再起動するか、クライアント上で VPN アプリケーションを再インストールしてください。

プロトコルまたはポート番号の不一致

クライアントと SSL-VPN サーバーで異なるプロトコルまたはポートが使用されています。

• MANAGEMENT: >STATE:1676379239,TCP_CONNECT,,,,,,

• TCP: connect to [AF_INET]*.*.*.*:1194 failed: Unknown error

SSL サーバーの プロトコル および ポート を変更し、クライアントで新しい SSL クライアント証明書をダウンロードしてインストールしてください。

接続数の過多

SSL-VPN 接続数が上限を超えています。

MANAGEMENT: >STATE:1676370715,WAIT,,,,,

1. VPN ゲートウェイに接続している SSL クライアントの数が上限を超えているかどうかを確認してください。

   • 上限を超えている場合は、VPN ゲートウェイがサポートする最大接続数を増加させてください。

   • 上限を超えているものの、接続数の上限を増加させたくない場合は、不要になったクライアントを切断することを推奨します。クライアントを切断すると、5 分後にリソースが解放されます。

2. SSL サーバーの プロトコル を TCP に変更し、新しい SSL クライアント証明書をダウンロードしてインストールしてください。

   これにより、信頼性の低い UDP 接続が接続クォータを占有するのを防ぐことができます。また、TCP 接続はより信頼性が高いです。

証明書の有効期限切れ

SSL クライアント証明書の有効期限が切れています。

VERIFY ERROR: certificate has expired

1. SSL クライアント証明書の有効期間を確認してください。

   SSL クライアント証明書のデフォルト有効期間は 3 年です。

2. 現在の SSL クライアント証明書およびすべての構成を削除し、証明書を再ダウンロードしてクライアントにインストールしてください。

   二要素認証を有効化または無効化した場合、または SSL サーバーの構成を変更した場合も、SSL クライアント証明書を再ダウンロードしてインストールする必要があります。

証明書の構成エラー

証明書の構成が無効です。

• Options error: --ca fails with 'ca.crt': No such file or directory (errno=2)

• Options error: --cert fails with 'vsc-****.crt': No such file or directory (errno=2)

• WARNING: cannot stat file 'vsc-****.key': No such file or directory (errno=2)

• Options error: --key fails with 'vsc-****.key'

• Options error: Please correct these errors.

現在の SSL クライアント証明書およびすべての構成を削除し、証明書を再ダウンロードしてクライアントにインストールしてください。

VPN アプリケーションのバージョンの非互換

クライアントにインストールされた VPN アプリケーションのバージョンが Alibaba Cloud の SSL サーバーと互換性がありません。

• Data Channel Offload doesn't support DATA_V1 packets

• Upgrade your server to

• suggesting an upgrade to the server version

クライアントにインストールされている既存の VPN アプリケーションを削除し、SSL サーバーと互換性のある VPN アプリケーションをダウンロードしてください。詳細については、「クライアントを VPC に接続」トピックの「ステップ 4：クライアントの構成」セクションをご参照ください。

IP アドレスの不足

SSL サーバーで構成されたクライアント CIDR ブロックが十分な IP アドレスを提供できません。

OpenVPN needs a gateway parameter for a -- route option and no default was specified by either --route-gateway or --ifconfig options

クライアント CIDR ブロック内の IP アドレス数が、VPN ゲートウェイがサポートする最大 SSL-VPN 接続数の少なくとも 4 倍になるようにしてください。詳細については、「SSL サーバーの作成」をご参照ください。

たとえば、クライアント CIDR ブロックとして 192.168.0.0/24 を指定した場合、システムはまず 192.168.0.0/24 からサブネットマスクが 30 のサブネット CIDR ブロック（例：192.168.0.4/30）を分割します。このサブネットは最大 4 つの IP アドレスを提供します。次に、システムは 192.168.0.4/30 からクライアントに 1 つの IP アドレスを割り当て、残りの 3 つの IP アドレスをネットワーク通信を確保するために使用します。この場合、1 つのクライアントが 4 つの IP アドレスを消費します。したがって、クライアントに IP アドレスを割り当てられるようにするには、クライアント CIDR ブロック内の IP アドレス数が、関連付けられた VPN ゲートウェイがサポートする最大 SSL-VPN 接続数の少なくとも 4 倍になるようにする必要があります。

暗号化アルゴリズムの不一致

SSL サーバーとクライアントで異なる TLS 暗号スイートが使用されており、一致する暗号化アルゴリズムが見つかりません。

• TLS error: The server has no TLS ciphersuites in common with the client. Your --tls-cipher setting might be too restrictive.

• OpenSSL: error:1408A0C1:SSL routines:ssl3_get_client_hello:no shared cipher

クライアントに、VPN Gateway が推奨する VPN アプリケーションをインストールしてください。詳細については、「クライアントを VPC に接続」トピックの「ステップ 4：クライアントの構成」セクションをご参照ください。

暗号化アルゴリズムの不整合

SSL サーバーとクライアントの暗号化アルゴリズムの構成が不整合です。

Authenticate/Decrypt packet error: cipher final failed

クライアントにインストールされている SSL クライアント証明書の暗号化アルゴリズムが、SSL サーバーの暗号化アルゴリズムと一致しているかどうかを確認してください。

暗号化アルゴリズムが不一致の場合、現在の SSL クライアント証明書およびすべての構成を削除し、証明書を再ダウンロードしてクライアントにインストールしてください。

• SSL クライアント証明書の暗号化アルゴリズムは、config.ovpn ファイル内の cipher フィールドの値です。

• SSL サーバーの暗号化アルゴリズムを確認するには、次の操作を行います：VPN Gateway コンソールの SSL サーバー ページに移動します。管理対象の SSL サーバーを見つけます。詳細 をクリックします。操作 列の 詳細 をクリックします。SSL サーバーの詳細ページで、暗号化アルゴリズムを確認します。

パケット ID の競合

ネットワーク接続が不安定であるか、SSL サーバーの暗号化アルゴリズムが none に設定されています。

Authenticate/Decrypt packet error: bad packet ID (may be a replay)

1. 信頼性を高めるために、SSL サーバーで使用する プロトコル を TCP に変更してください。

2. 暗号化アルゴリズム が none に設定されているかどうかを確認してください。設定されている場合は、暗号化アルゴリズム を AES アルゴリズム（例：AES-128-CBC、AES-192-CBC、AES-256-CBC）に変更してください。

3. SSL サーバーの構成を変更した後、現在の SSL クライアント証明書およびすべての構成を削除し、証明書を再ダウンロードしてクライアントにインストールしてください。

時刻同期の問題

SSL 証明書の検証に失敗するか、クライアントと SSL サーバーの時刻差が 10 分を超える。

• OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed

• TLS_ERROR: BIO read tls_read_plaintext error

• TLS Error: TLS object -> incoming plaintext read error

• TLS Error: TLS handshake failed

1. クライアントと SSL サーバーの時刻差は 10 分以内にする必要があります。クライアントの時刻を標準時刻に設定することを推奨します。

2. SSL クライアント証明書の有効期間を確認してください。

   SSL クライアント証明書のデフォルト有効期間は 3 年です。

証明書検証の失敗

SSL 証明書の検証に失敗しました。

No server certificate verification method has been enabled

1. SSL クライアント証明書の有効期間を確認してください。

   SSL クライアント証明書のデフォルト有効期間は 3 年です。

2. 現在の SSL クライアント証明書およびすべての構成を削除し、証明書を再ダウンロードしてクライアントにインストールしてください。

   二要素認証を有効化または無効化した場合、または SSL サーバーの構成を変更した場合も、SSL クライアント証明書を再ダウンロードしてインストールする必要があります。

二要素認証の失敗

二要素認証に失敗しました。

• AUTH: Received control message: AUTH_FAILED

• TCP/UDP: Closing socket

• SIGUSR1[soft,auth-failure] received, process restarting

• MANAGEMENT: >STATE:1676381342,RECONNECTING,auth-failure,,,,,

1. 入力したユーザー名とパスワードが有効であるかどうかを確認してください。

2. ID as a Service (IDaaS) インスタンスにアカウントが構成されているか、IDaaS インスタンスによってアカウントが無効化されていないか、IDaaS インスタンスの有効期限が切れていないかを確認してください。詳細については、「IDaaS とは？」をご参照ください。

   IDaaS インスタンスが原因でない場合は、別のアカウントを使用してサービスに接続してください。

3. 現在の SSL クライアント証明書およびすべての構成を削除し、証明書を再ダウンロードしてクライアントにインストールしてください。

   二要素認証を有効化または無効化した場合、または SSL サーバーの構成を変更した場合も、SSL クライアント証明書を再ダウンロードしてインストールする必要があります。

テストアクセスポート (TAP) の欠落

クライアントに TAP 仮想イーサネットアダプターがありません。

• There are no TAP-Windows adapters on this system. You should be able to create a TAP

• CreateFile failed on TAP device

• All TAP-Win32 adapters on this system are currently in use

1. OpenVPN ソフトウェアのインストール時に TAP 仮想イーサネットアダプター オプションを選択したかどうかを確認してください。

   OpenVPN のインストール時にこのオプションを選択しなかった場合は、TAP 仮想イーサネットアダプターを作成するか、OpenVPN を再インストールする必要があります。

2. OpenVPN を終了し、管理者として OpenVPN を実行してください。

ovpnagent プログラムの無効化

macOS クライアント上の ovpnagent プログラムが実行されていません。

Transport Error: socket_protect error

1. クライアントの CLI を使用して、以下のコマンドを実行して ovpnagent プログラムを起動します：

   /Library/Frameworks/OpenVPNConnect.framework/Versions/Current/usr/sbin/ovpnagent

2. macOS クライアントを使用する場合は、SSL-VPN 接続の作成に Tunnelblick を使用することを推奨します。

クライアントの頻繁な再接続

クライアントがサーバーに自動的に再接続します。

• Connection reset, restarting [-1]SIGUSR1[soft,connection-reset] received, client-instance restarting

• TCP/UDP: Closing socket

1. ログに表示される時刻にクライアントが再起動または再接続しているかどうかを確認してください。

2. SSL クライアント証明書の有効期間を確認してください。

   SSL クライアント証明書のデフォルト有効期間は 3 年です。

3. クライアントのシステム時刻を確認してください。

   クライアントと SSL サーバーの時刻差は 10 分以内にする必要があります。クライアントの時刻を標準時刻に設定することを推奨します。