O VPN Gateway integra-se ao Network Intelligence Service (NIS), o que permite diagnosticar instâncias de VPN Gateway e obter sugestões de solução para anomalias detectadas. Use esse recurso para resolver problemas em instâncias de VPN Gateway, como falhas na negociação de conexões IPsec, erros na configuração de rotas e status da instância. Esse processo não afeta seus serviços.
Itens de diagnóstico do VPN Gateway
A tabela a seguir descreve os itens de diagnóstico disponíveis para instâncias de VPN Gateway.
Categoria | Item de diagnóstico | Descrição |
Configuration Diagnostics | Instance configuration check | Verifica se a instância de VPN Gateway está em configuração. Se a instância estiver em configuração, aguarde até que o status mude para Active antes de executar outras operações. |
Version check | Verifica se a instância de VPN Gateway está na versão mais recente. Atualize a instância de VPN Gateway para a versão mais recente e acesse novos recursos. Para mais informações, consulte Upgrade a VPN Gateway. | |
Check the status of the IKE tunnel negotiation | Verifica o status das negociações de fase 1 e fase 2 de cada conexão IPsec na instância de VPN Gateway. Se uma conexão IPsec apresentar status de negociação anormal, siga as sugestões no console ou consulte a documentação para solucionar o problema. Para mais informações, consulte Troubleshooting. | |
VPN tunnel configuration integrity check | Verifica se há conexões IPsec configuradas para a instância de VPN Gateway. Se houver configurações ausentes, adicione-as conforme suas necessidades de rede. Para configurar uma conexão IPsec, consulte IPsec-VPN connections in single-tunnel mode ou IPsec-VPN connections associated with a VPN gateway. | |
System network segment conflict check | Verifica se os blocos CIDR de destino das rotas baseadas em política, rotas baseadas em destino e rotas BGP na instância de VPN Gateway entram em conflito com o bloco CIDR 100.64.0.0/10. O bloco 100.64.0.0/10 é reservado pelo Alibaba Cloud. Certifique-se de que os blocos CIDR de destino das rotas baseadas em política, rotas baseadas em destino e rotas BGP na instância de VPN Gateway não entrem em conflito com 100.64.0.0/10 ou suas sub-redes. Caso contrário, a instância de VPN Gateway não funcionará corretamente. Se o sistema detectar um conflito com o bloco CIDR, modifique a configuração do bloco CIDR ou use um NAT Gateway para tradução de endereços. Para mais informações, consulte Use a VPC NAT gateway and a VPN gateway to connect an on-premises data center to a VPC. | |
BGP Consistency Check | Verifica conexões IPsec nas quais a negociação de fase 2 foi bem-sucedida, mas a negociação BGP falhou. Nesse caso, verifique as configurações BGP da conexão IPsec e confirme se as mensagens BGP estão sendo enviadas e recebidas. Para mais informações, consulte What do I do if the status of an IPsec connection is "Phase 2 Negotiation Succeeded" but the BGP status is "Abnormal"?. | |
Shared Phase 1 IPsec Negotiations | Verifica se múltiplas conexões IPsec que usam fase 1 compartilhada possuem as mesmas configurações. Quando uma instância de VPN Gateway possui várias conexões IPsec associadas ao mesmo customer gateway e que usam a mesma versão IKE, essas conexões compartilham a fase 1. Nesse cenário, todas as conexões IPsec devem ter a mesma Pre-Shared Key e os mesmos parâmetros nas IKE Configurations. Esses parâmetros incluem IKE Version, Negotiation Mode, Encryption Algorithm, Authentication Algorithm, DH Group e SA Lifetime (Seconds). Isso permite que as IKE Configurations de qualquer uma dessas conexões sejam compartilhadas durante a negociação IPsec. Modifique as configurações das conexões IPsec para garantir que sejam idênticas. Para mais informações, consulte Modify an IPsec connection. | |
Quota Limit Diagnostics | Check VPN Bandwidth Usage | Verifica se o uso de largura de banda da instância de VPN Gateway atingiu 80% do limite. Se o uso de largura de banda atingir 80% do limite, aumente a largura de banda da instância para atender às suas necessidades de rede. Para mais informações, consulte Upgrade and renew a classic VPN gateway. |
Cost Diagnostics | Alerts for Overdue Payments | Verifica se a instância de VPN Gateway possui pagamentos pendentes. Se o sistema detectar que a instância de VPN Gateway possui pagamento pendente, recarregue sua conta imediatamente. |
Alerts for Expiration | Verifica se a instância de VPN Gateway expirará dentro de sete dias. | |
Route Diagnostics | Unpublished routes check | Verifica se há rotas baseadas em política ou baseadas em destino não publicadas na instância de VPN Gateway. Se houver rotas não publicadas, anuncie-as ou exclua-as conforme suas necessidades de rede. Para mais informações, consulte Advertise a policy-based route, Delete a policy-based route, Configure routes for a VPN gateway ou Configure routes for a VPN gateway. |
BGP poor configuration check | Verifica se as configurações BGP são ideais quando uma conexão IPsec usa BGP.
| |
VPN routing configuration integrity check |
| |
Check for conflicts between destination-based routes | Verifica se há sobreposição de blocos CIDR de destino em rotas baseadas em destino. Se houver sobreposição de blocos CIDR de destino em rotas baseadas em destino, exclua e recrie as rotas para garantir que os blocos CIDR não se sobreponham. Para mais informações, consulte Configure routes for a VPN gateway. Você também pode usar o BGP para conectividade de rede. Para mais informações, consulte Connect a VPC to an on-premises data center in dual-tunnel mode over BGP. | |
Check for conflicts between policy-based routes | Verifica se há sobreposição de blocos CIDR de destino em rotas baseadas em política. Se houver sobreposição de blocos CIDR de destino em rotas baseadas em política, exclua e recrie as rotas para garantir que os blocos CIDR não se sobreponham. Para mais informações, consulte (Deprecated) Policy-based routes (for classic VPN gateways only). Você também pode usar o BGP para conectividade de rede. Para mais informações, consulte Connect a VPC to an on-premises data center in dual-tunnel mode over BGP. | |
BGP Route Conflict Check |
Se o bloco CIDR de destino de uma rota BGP se sobrepor ao de outra rota, siga as sugestões do console. | |
VPC and VPN Route Match Check | Verifica se o bloco CIDR de destino de uma rota que aponta para a instância de VPN Gateway na tabela de rotas da VPC está contido no bloco CIDR de destino de uma rota baseada em política na instância de VPN Gateway. Certifique-se de que o bloco CIDR de destino da rota baseada em política inclua o bloco CIDR de destino da rota que aponta para a instância de VPN Gateway na tabela de rotas da VPC. Se o sistema detectar que as configurações atuais não atendem aos requisitos, modifique o bloco CIDR de destino da rota baseada em política. Para isso, exclua a rota baseada em política e crie uma nova. Para mais informações, consulte (Deprecated) Policy-based routes (for classic VPN gateways only). |
Executar um diagnóstico
Faça login no console do VPN Gateway.
Na barra de navegação superior, selecione a região onde a instância de VPN Gateway está implantada.
Na página VPN Gateways, localize a instância de VPN Gateway desejada e, na coluna Diagnose, selecione .
-
No painel Instance Diagnostics, visualize os detalhes do diagnóstico.
NotaSe esta for a primeira vez que você usa o Network Intelligence Service, marque a caixa de seleção Terms of Service for Standard Edition NIS e clique em Activate NIS free of charge to diagnose instances..
Se um usuário RAM não tiver as permissões necessárias para ativar o Network Intelligence Service, conceda a permissão AliyunNISFullAccess ao usuário RAM por meio da sua conta Alibaba Cloud. Para mais informações, consulte Manage the permissions of RAM users.
Ao executar um diagnóstico pela primeira vez, o sistema cria automaticamente uma função vinculada ao serviço (AliyunServiceRoleForNis) para realizar as operações necessárias. Para mais informações sobre a AliyunServiceRoleForNis, consulte Service-linked roles.
Nº
Descrição
1
Os itens anormais são exibidos diretamente. Visualize a descrição, os recursos associados e as ações recomendadas.
2
Na seção Diagnostic Items, selecione Show All Diagnostic Items para visualizar informações sobre todos os itens de diagnóstico da instância atual de VPN Gateway.
3
Na parte superior do painel Instance Diagnostics, clique em Go to the NIS console to view diagnostic records para acessar relatórios históricos de diagnóstico da instância na página Overview do console do Network Intelligence Service. Para mais informações, consulte Overview.
Exemplo de diagnóstico
Quando um data center on-premises se conecta a recursos da VPC por meio de uma conexão IPsec, diagnostique a instância de VPN Gateway para verificar sua configuração. Isso garante que a conexão esteja pronta para tráfego de produção.
Execute um diagnóstico na instância de VPN Gateway. Para mais informações, consulte Executar um diagnóstico.
-
No painel Instance Diagnostics, revise os resultados do diagnóstico e resolva quaisquer problemas encontrados.
Na página Diagnostic Item Details, a área Configuration Diagnostics inclui dois módulos: IKE tunnel negotiation status e Proposal Match Check. Para a verificação de correspondência de propostas, confirme se as configurações de versão IKE, algoritmo de criptografia, algoritmo de autenticação, grupo DH e chave pré-compartilhada são consistentes em ambas as extremidades.
O diagnóstico indica que a conexão IPsec apresenta o status Phase 1 Negotiation Failed. Clique em Phase 1 Negotiation Failed na coluna Diagnostic Result para visualizar informações detalhadas do diagnóstico e solucionar o problema com base nessas informações.
Você também pode solucionar problemas usando os códigos de erro na página IPsec Connections. Para falhas de conexão IPsec-VPN ocorridas durante a negociação de fase 1 ou fase 2, o sistema fornece códigos de erro correspondentes na página IPsec Connections para auxiliar na resolução do problema. Para mais informações, consulte Troubleshooting. Na coluna Connection Status da lista de conexões IPsec, visualize o motivo específico do erro, como pre-shared key mismatch. Clique em View Details para obter informações de diagnóstico mais detalhadas.
A incompatibilidade ocorre porque as chaves pré-compartilhadas são diferentes. Para corrigir isso, garanta que as chaves pré-compartilhadas sejam idênticas em ambas as extremidades da conexão.
-
Após corrigir o problema, execute o diagnóstico novamente para confirmar a resolução.
O resultado do diagnóstico exibe This diagnosis passed. Todas as 23 verificações foram aprovadas, com 0 problemas Críticos, 0 Maiores, 0 Menores e 0 Informativos.
Se o diagnóstico não detectar problemas, mas você ainda enfrentar dificuldades com a conexão IPsec, como falhas em testes de tráfego entre o data center on-premises e a VPC, consulte o FAQ para obter orientações adicionais de solução de problemas. Para mais informações, consulte FAQ about IPsec connections.