Troubleshoot SSL-VPN connection issues - VPN Gateway: Central de Documentação do Alibaba Cloud

Se você encontrar problemas ao usar conexões SSL-VPN, verifique os logs dos clientes SSL-VPN ou os logs de conexão SSL-VPN no console do VPN Gateway para solucionar as falhas.

Contexto

Este tópico descreve problemas comuns de conexão SSL-VPN e as etapas de solução. Verifique os logs dos clientes SSL-VPN ou os logs de conexão SSL-VPN no console do VPN Gateway. Consulte a seção Summary table.

Para consultar logs de clientes SSL-VPN em Linux, Windows, macOS ou Android, consulte a seção Log file locations for SSL-VPN clients deste tópico.
Para consultar logs de conexão SSL-VPN, consulte Query the logs of an SSL server.

Locais dos arquivos de log para clientes SSL-VPN

O local padrão do arquivo de log depende do sistema operacional do cliente. A tabela a seguir lista os diretórios padrão de arquivos de log para cada sistema operacional suportado.

Nota

Se você especificou um diretório personalizado ao instalar o aplicativo VPN, o arquivo de log estará nesse diretório.

Sistema operacional	Diretório padrão do arquivo de log
Cliente Linux com OpenVPN instalado	/var/log/openvpn.log
Cliente Windows com OpenVPN instalado	Por padrão, o arquivo de log fica na pasta log do diretório de instalação do OpenVPN. Exemplo: C:\Users\User\OpenVPN\log.
Cliente macOS com Tunnelblick instalado	/Library/Application Support/Tunnelblick/Logs
Cliente macOS com OpenVPN instalado	/Library/Application Support/OpenVPN/log/connection_name.log

Problemas comuns de conexão SSL-VPN e solução de problemas

Após obter os logs de conexão SSL-VPN, pesquise palavras-chave relevantes para identificar o problema. A tabela a seguir lista problemas comuns, palavras-chave e etapas de solução.

Categoria	Causa	Palavra-chave	Solução
Falha na conexão de rede	A comunicação de rede está anormal.	`network is unreachable` `TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)` `TLS Error: TLS handshake failed`	No cliente, execute o comando `ping` ou `mtr` para testar a conectividade com o endereço IP público do VPN Gateway. Se a conexão com a internet estiver ruim devido à alta latência ou perda de pacotes, entre em contato com seu provedor de services de internet (ISP) para obter assistência. Se a conectividade de rede estiver normal, verifique se os logs do servidor SSL contêm as informações de conexão do cliente. Se nenhum registro de conexão do cliente for encontrado, tente alterar a Port usada pelo servidor SSL. Em seguida, baixe e instale um novo certificado de cliente SSL no cliente. Altere o Protocol do servidor SSL para TCP para obter maior confiabilidade. Se você usar uma conexão SSL-VPN para comunicação de longa distância, como de US (Silicon Valley) para Singapore, e o problema persistir após alterar o Protocol para TCP, recomendamos usar Cloud Enterprise Network e Smart Access Gateway para conectar seu cliente à VPC. Se houver vários aplicativos VPN instalados no cliente, use apenas um para criar conexões SSL-VPN. Reinicie o cliente ou reinstale o aplicativo VPN.
Incompatibilidade de protocolo ou número de porta	O cliente e o servidor SSL usam protocolos ou portas diferentes.	`MANAGEMENT: >STATE:1676379239,TCP_CONNECT,,,,,,` `TCP: connect to [AF_INET]...:1194 failed: Unknown error`	Altere o Protocol e a Port no servidor SSL e, em seguida, baixe e instale um novo certificado de cliente SSL no cliente.
Excesso de conexões	O número de conexões SSL-VPN excede o limite.	`MANAGEMENT: >STATE:1676370715,WAIT,,,,,`	Verifique se o número de clientes SSL conectados ao VPN gateway excede o limite. Se o limite for excedido, aumente o número máximo de conexões do VPN gateway. Se o limite for excedido e você não quiser aumentá-lo, desconecte os clientes ociosos. Os recursos são liberados cerca de 5 minutos após a desconexão de um cliente. Altere o Protocol do servidor SSL para TCP e, em seguida, baixe e instale um novo certificado de cliente SSL. Isso evita que conexões UDP não confiáveis ocupem a cota de conexão. Além disso, as conexões TCP são mais confiáveis.
Expiração do certificado	O certificado do cliente SSL expirou.	`VERIFY ERROR: certificate has expired`	Verifique o período de validade do certificado do cliente SSL. O período de validade padrão do certificado do cliente SSL é de três anos. Exclua o certificado atual do cliente SSL e todas as suas configurações e, em seguida, baixe e instale um novo certificado no cliente. Você deve baixar e instalar o certificado do cliente SSL novamente após ativar ou desativar a autenticação de dois fatores ou após modificar a configuração do servidor SSL.
Erro de configuração do certificado	A configuração do certificado é inválida.	`Options error: --ca fails with 'ca.crt': No such file or directory (errno=2)` `Options error: --cert fails with 'vsc-**.crt': No such file or directory (errno=2)` `WARNING: cannot stat file 'vsc-.key': No such file or directory (errno=2)` `Options error: --key fails with 'vsc-**.key'` `Options error: Please correct these errors.`	Exclua o certificado atual do cliente SSL e todas as suas configurações e, em seguida, baixe e instale um novo certificado no cliente.
Versões incompatíveis do aplicativo VPN	A versão do aplicativo VPN instalada no cliente é incompatível com o servidor SSL da Alibaba Cloud.	`Data Channel Offload doesn't support DATA_V1 packets` `Upgrade your server to` `suggesting an upgrade to the server version`	Desinstale o aplicativo VPN existente do cliente e instale uma versão compatível com o servidor SSL. Para obter mais informações, consulte a seção "Etapa 4: configure o cliente" do tópico Connect a client to a VPC.
Endereços IP insuficientes	O bloco CIDR do cliente no servidor SSL não possui endereços IP suficientes.	`OpenVPN needs a gateway parameter for a -- route option and no default was specified by either --route-gateway or --ifconfig options`	Certifique-se de que o número de endereços IP no bloco CIDR do cliente seja pelo menos quatro vezes o número máximo de conexões SSL-VPN suportadas pelo VPN gateway. Para obter mais informações, consulte Create and manage an SSL server. Por exemplo, se você especificar 192.168.0.0/24 como o bloco CIDR do cliente, o sistema primeiro divide um bloco CIDR de sub-rede com máscara de sub-rede 30 de 192.168.0.0/24, como 192.168.0.4/30. Essa sub-rede fornece até quatro endereços IP. Em seguida, o sistema aloca um endereço IP de 192.168.0.4/30 para o cliente e usa os outros três endereços IP para garantir a comunicação de rede. Nesse caso, um cliente consome quatro endereços IP. Portanto, para garantir a alocação de um endereço IP ao seu cliente, certifique-se de que o número de endereços IP no bloco CIDR do cliente seja pelo menos quatro vezes o número máximo de conexões SSL-VPN suportadas pelo VPN gateway associado.
Incompatibilidade de algoritmo de criptografia	O servidor SSL e o cliente usam conjuntos de cifras TLS diferentes e nenhum algoritmo de criptografia correspondente foi encontrado.	`TLS error: The server has no TLS ciphersuites in common with the client. Your --tls-cipher setting might be too restrictive.` `OpenSSL: error:1408A0C1:SSL routines:ssl3_get_client_hello:no shared cipher`	Instale o aplicativo VPN recomendado pelo VPN Gateway no cliente. Para obter mais informações, consulte a seção "Etapa 4: configure o cliente" do tópico Connect a client to a VPC.
Algoritmos de criptografia inconsistentes	As configurações de algoritmos de criptografia no servidor SSL e no cliente são inconsistentes.	`Authenticate/Decrypt packet error: cipher final failed`	Verifique se o algoritmo de criptografia do certificado do cliente SSL instalado no cliente corresponde ao do servidor SSL. Se os algoritmos de criptografia forem inconsistentes, exclua o certificado atual do cliente SSL e todas as configurações, baixe o certificado novamente e instale-o no cliente. O algoritmo de criptografia do certificado do cliente SSL corresponde ao valor do campo `cipher` no arquivo config.ovpn. Para visualizar o algoritmo de criptografia do servidor SSL, execute as seguintes operações: Acesse a página SSL Servers no console do VPN Gateway. Encontre o servidor SSL desejado. Clique em Details na coluna Actions. Na página de detalhes do servidor SSL, visualize o algoritmo de criptografia.
Conflito de ID de pacote	A conexão de rede está instável ou o algoritmo de criptografia do servidor SSL está definido como none.	`Authenticate/Decrypt packet error: bad packet ID (may be a replay)`	Altere o protocol usado pelo servidor SSL para TCP para obter maior confiabilidade. Verifique se o Encryption Algorithm do servidor SSL está definido como none. Se estiver, altere o Encryption Algorithm para um algoritmo AES, como AES-128-CBC, AES-192-CBC ou AES-256-CBC. Após modificar a configuração do servidor SSL, exclua o certificado atual do cliente SSL e todas as configurações, baixe o certificado novamente e instale-o no cliente.
Problema de sincronização de tempo	A verificação SSL falha ou a diferença de tempo entre o cliente e o servidor SSL excede 10 minutos.	`OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed` `TLS_ERROR: BIO read tls_read_plaintext error` `TLS Error: TLS object -> incoming plaintext read error` `TLS Error: TLS handshake failed`	A diferença de tempo entre o cliente e o servidor SSL não deve exceder 10 minutos. Sincronize o horário do cliente com uma source de tempo padrão. Verifique o período de validade do certificado do cliente SSL. O período de validade padrão do certificado do cliente SSL é de três anos.
Falha na verificação do certificado	A verificação do certificado SSL falha.	`No server certificate verification method has been enabled`	Verifique a validade do certificado do cliente SSL. Por padrão, os certificados de cliente SSL são válidos por três anos. Exclua o certificado atual do cliente SSL e todas as suas configurações e, em seguida, baixe e instale um novo certificado no cliente. Você deve baixar e instalar o certificado do cliente SSL novamente após ativar ou desativar a autenticação de dois fatores ou após modificar a configuração do servidor SSL.
Falha na autenticação de dois fatores	A autenticação de dois fatores falha.	`AUTH: Received control message: AUTH_FAILED` `TCP/UDP: Closing socket` `SIGUSR1[soft,auth-failure] received, process restarting` `MANAGEMENT: >STATE:1676381342,RECONNECTING,auth-failure,,,,,`	Verifique se você inseriu um nome de usuário e senha válidos. Verifique se a conta está configurada na instância IDaaS, se a conta está desativada e se a instância IDaaS expirou. Para obter mais informações, consulte What is IDaaS? Se a instância IDaaS não for a causa, tente uma conta diferente. Exclua o certificado atual do cliente SSL e todas as suas configurações e, em seguida, baixe e instale um novo certificado no cliente. Você deve baixar e instalar o certificado do cliente SSL novamente após ativar ou desativar a autenticação de dois fatores ou após modificar a configuração do servidor SSL.
Adaptador TAP ausente	O cliente não possui um adaptador Ethernet virtual TAP.	`There are no TAP-Windows adapters on this system. You should be able to create a TAP` `CreateFile failed on TAP device` `All TAP-Win32 adapters on this system are currently in use`	Confirme se você selecionou a opção TAP virtual Ethernet adapter ao instalar o software OpenVPN. Se você não selecionou essa opção durante a instalação, crie um adaptador Ethernet virtual TAP ou reinstale o OpenVPN. Feche o OpenVPN. Em seguida, execute o OpenVPN como administrador.
Programa ovpnagent parado	O programa ovpnagent em um cliente macOS não está em execução.	`Transport Error: socket_protect error`	Execute o seguinte comando usando a CLI do cliente para iniciar o programa ovpnagent: `/Library/Frameworks/OpenVPNConnect.framework/Versions/Current/usr/sbin/ovpnagent` Para clientes macOS, recomendamos usar o Tunnelblick para criar conexões SSL-VPN.
Reconexão frequente do cliente	O cliente se reconecta automaticamente ao servidor.	`Connection reset, restarting [-1]SIGUSR1[soft,connection-reset] received, client-instance restarting` `TCP/UDP: Closing socket`	Verifique se o cliente reiniciou ou se reconectou no horário mostrado nos logs. Verifique a validade do certificado do cliente SSL. Por padrão, os certificados de cliente SSL são válidos por três anos. Verifique a hora do sistema do cliente. A diferença de tempo entre o cliente e o servidor SSL não deve exceder 10 minutos. Sincronize o horário do cliente com uma source de tempo padrão.
Problemas de configuração de ACL de rede	A ACL de rede associada ao vSwitch da VPC não permite tráfego de entrada do bloco CIDR do cliente VPN	A conexão SSL-VPN é estabelecida com sucesso, mas não é possível acessar os recursos na VPC.	Verifique a ACL de rede associada ao vSwitch da VPC ao qual a conexão SSL-VPN pertence. Confirme se a regra de entrada da ACL de rede permite o bloco CIDR do cliente configurado no servidor SSL. O bloco CIDR do cliente refere-se ao bloco CIDR do qual os endereços IP são alocados para os clientes no servidor SSL, por exemplo, 10.200.200.0/24. Se a regra de entrada não permitir o bloco CIDR do cliente, adicione uma regra de entrada para permitir o tráfego desse bloco CIDR.

Verificar regras do grupo de segurança

Certifique-se de que a regra do grupo de segurança da instância ECS permita o acesso do cliente.
As regras do grupo de segurança têm prioridades. Se um grupo de segurança contiver duas regras com a mesma prioridade, mas ações diferentes (permitir e negar), a regra de negação terá precedência. Exemplo:
Sintoma: Não é possível executar ping nos recursos da VPC após o estabelecimento da conexão SSL-VPN.

Causa: O grupo de segurança contém duas regras ICMP de entrada, ambas com prioridade 1:
- Negar todas as origens (0.0.0.0/0)
- Permitir o bloco CIDR do cliente VPN (10.200.200.0/24)
Quando as duas regras têm a mesma prioridade, a regra de negação tem precedência, bloqueando o tráfego ICMP.

Solução: Aumente o valor de prioridade da regra de negação (por exemplo, altere de 1 para 2) para que a regra de permissão (prioridade 1) seja correspondida e tenha efeito primeiro.

Verificar o firewall do sistema operacional da instância ECS

Se a conexão SSL-VPN for estabelecida com sucesso, mas você não conseguir executar ping na instância ECS ou acessar services nela, faça login na instância ECS para verificar se o firewall do sistema operacional está bloqueando o tráfego do cliente VPN.

Execute o seguinte comando para verificar o status do service firewalld.
```
systemctl status firewalld
```
Se o firewalld estiver no estado active (running), o firewall está em execução. Execute sudo systemctl stop firewalld para desativar temporariamente o firewall e teste a conectividade novamente. Se o tráfego for restaurado após a desativação do firewall, as regras do firewalld estão bloqueando o tráfego VPN. Configure uma regra para permitir o bloco CIDR do cliente VPN.
Execute o seguinte comando para visualizar as regras do iptables.
```
iptables -L
```
Verifique se a saída contém uma regra DROP ou REJECT que bloqueia o tráfego do bloco CIDR do cliente VPN. Se tal regra existir, execute sudo iptables -I INPUT -s <VPN client CIDR block> -j ACCEPT para adicionar uma regra de permissão.
Execute o seguinte comando para verificar o status do SELinux.
```
getenforce
```
Se Enforcing for retornado, o SELinux está no modo de imposição. Execute sudo setenforce 0 para alternar temporariamente para o modo Permissivo e teste novamente. Se o tráfego for restaurado, a política do SELinux está afetando a comunicação VPN. Ajuste a política do SELinux para permitir o tráfego VPN.

Referências

As referências a seguir podem ajudar você a solucionar problemas de conexão SSL-VPN.

Para modificar a configuração do servidor SSL, consulte Modify an SSL server.
Para modificar a especificação de conexão do servidor SSL, consulte Modify SSL concurrent connections.
Para criar um certificado de cliente SSL, consulte Create and manage SSL client certificates.
Para baixar um certificado de cliente SSL, consulte Download an SSL client certificate.
Seção "Etapa 4: configure o cliente" no tópico Connect a client to a VPC
Para visualizar as informações de log do servidor SSL, consulte View the logs of the SSL server.
Para visualizar as informações de conexão do cliente, consulte View SSL client connections.

Nota

Para modificar as configurações do cliente ao solucionar problemas de conexão SSL-VPN, consulte o guia do usuário do seu cliente.