VPN Gateway:IPsec-VPN接続に関するFAQ

原因

解決策

ピアゲートウェイが期待どおりに機能していません。

ピアゲートウェイデバイスを確認します。 詳細については、ピアゲートウェイ装置のサプライヤを参照してください。

IPsec-VPN設定は、ピアゲートウェイデバイスに追加されません。

IPsec-VPN設定をピアゲートウェイデバイスに追加し、ピアゲートウェイデバイスとIPsec-VPN接続が同じ設定を使用していることを確認します。 詳細については、「ローカルゲートウェイの設定」をご参照ください。

ピアゲートウェイデバイスのアクセス制御ポリシーでは、UDPポートの500と4500は許可されません。

ピアゲートウェイデバイスのアクセス制御ポリシーを確認し、次の条件が満たされていることを確認します。

• UDPポートの500と4500は、インバウンドとアウトバウンドの方向で許可されます。

• VPNゲートウェイのIPアドレスまたはIPsec-VPN接続ゲートウェイのIPアドレスは、インバウンドおよびアウトバウンド方向で許可されます。

ピアゲートウェイ装置の供給者によって課される制限のために、IPsecネゴシエーションは、インバウンドトラフィックが検出されたときにのみトリガされ得る。

制限がピアゲートウェイデバイスに適用されるかどうかを確認します。

制限がピアゲートウェイデバイスに適用される場合、IPsecネゴシエーションをトリガーする方法についてサプライヤに相談してください。

カテゴリ

原因

解決策

ゲートウェイデバイスの例外

Alibaba Cloud VPNゲートウェイに料金滞納があります。

アカウントを補充するか、新しい支払い方法を追加します。 詳細については、「支払い管理の指示」をご参照ください。

ピアゲートウェイ装置は例外を有する。

ピアゲートウェイデバイスを確認します。 詳細については、ピアゲートウェイ装置のサプライヤを参照してください。

ピアゲートウェイ装置上のアクセス制御ポリシーが変更される。

ピアゲートウェイデバイスのアクセス制御ポリシーを確認します。 ポリシーが仮想プライベートクラウド (VPC) とデータセンター間のデータ転送を許可していることを確認してください。

IPsec-VPN設定の変更

ピアゲートウェイデバイスのIPsec-VPN設定が削除されます。

IPsec-VPN設定をピアゲートウェイデバイスに追加し、ピアゲートウェイデバイスとIPsec-VPN接続が同じ設定を使用していることを確認します。 詳細については、「ローカルゲートウェイの設定」をご参照ください。

ピアゲートウェイ装置の構成は変更され、IPsec − VPN接続の構成とは異なる。

ピアゲートウェイデバイスとIPsec-VPN接続が同じ設定を使用していることを確認します。

ピアゲートウェイデバイス上のIPsec-VPN設定のパラメーターは、複数の値に設定されます。

たとえば、IKE ConfigurationsのEncryption Algorithmパラメーターは、aesおよびaes192に設定されます。

Alibaba CloudでIPsec-VPN接続を設定するときは、各パラメーターに1つの値のみを指定します。 各パラメーターが1つの値にのみ設定されていることを確認します。 さらに、ピアゲートウェイデバイスとIPsec-VPN接続が各パラメーターに同じ値を使用することを確認します。

IPsec − VPN接続の構成は変更され、ピアゲートウェイ装置の構成とは異なる。

ピアゲートウェイデバイスとIPsec-VPN接続が同じ設定を使用していることを確認します。 詳細については、「シングルトンネルモードでのIPsec-VPN接続の作成と管理」の「IPsec-VPN接続の変更」をご参照ください。

IPsec-VPN接続に関連付けられているVPCに対して、IPv4ゲートウェイとネットワークACLが新たに設定されます。

VPCに設定されているIPv4ゲートウェイとネットワークACLを確認します。 IPv4ゲートウェイとネットワークACLで、VPCとデータセンター間のデータ転送が許可されていることを確認します。 詳細については、「IPv4ゲートウェイの概要」および「ネットワークACLの概要」をご参照ください。

ピアゲートウェイデバイスのIPアドレス変更

IPsec-VPN接続を作成するためにピアゲートウェイ装置によって使用されるIPアドレスが変更される。 その結果、Alibaba Cloud上のカスタマーゲートウェイのIPアドレスは、ピアゲートウェイデバイスが使用するIPアドレスとは異なります。

Alibaba Cloud上のカスタマーゲートウェイのIPアドレスが、ピアゲートウェイデバイスがIPsec-VPN接続を作成するために使用するIPアドレスと同じであることを確認します。

ピアゲートウェイ装置は、複数のIPアドレスを使用する。 その結果、Alibaba Cloud上のカスタマーゲートウェイのIPアドレスは、ピアゲートウェイデバイスがIPsec-VPN接続を作成するために使用するIPアドレスとは異なります。

Alibaba Cloud上のカスタマーゲートウェイのIPアドレスが、ピアゲートウェイデバイスがIPsec-VPN接続を作成するために使用するIPアドレスと同じであることを確認します。

ピアゲートウェイ装置は、動的IPアドレスを使用する。 その結果、Alibaba Cloud上のカスタマーゲートウェイのIPアドレスは、ピアゲートウェイデバイスがIPsec-VPN接続を作成するために使用するIPアドレスとは異なります。

ピアゲートウェイデバイスの静的IPアドレスを設定します。 Alibaba Cloud上のカスタマーゲートウェイのIPアドレスが、ピアゲートウェイデバイスがIPsec-VPN接続を作成するために使用するIPアドレスと同じであることを確認します。

カテゴリ

原因

解決策

IPsec-VPN設定の変更

IPsec-VPN接続とピアゲートウェイデバイスは、DHグループパラメーター、またはIPsec-VPN設定の一部のゲートウェイデバイスではPFSに異なる値を使用します。

IPsec-VPN接続とピアゲートウェイデバイスのIPsec-VPN設定のDHグループパラメーターまたはPFSを確認します。 DHグループパラメーターまたはPFSに同じ値が使用されていることを確認してください。 IPsec-VPN接続の設定を変更する方法の詳細については、「シングルトンネルモードでのIPsec-VPN接続の作成と管理」の「IPsec-VPN接続の変更」をご参照ください。

ピアゲートウェイデバイス上のIPsec-VPN設定のパラメーターは、複数の値に設定されます。

たとえば、IKE ConfigurationsのEncryption Algorithmパラメーターは、aesおよびaes192に設定されます。

Alibaba CloudでIPsec-VPN接続を設定するときは、各パラメーターに1つの値のみを指定します。 各パラメーターが1つの値にのみ設定されていることを確認します。 さらに、ピアゲートウェイデバイスとIPsec-VPN接続が各パラメーターに同じ値を使用することを確認します。

トラフィックベースのセキュリティアソシエーション (SA) ライフタイムは、ピアゲートウェイデバイスのために構成される。

Alibaba CloudのIPsec-VPN接続は、時間ベースのSA有効期間のみをサポートし、トラフィックベースのSA有効期間はサポートしません。 ピアゲートウェイデバイスでトラフィックベースのSAの有効期間を空のままにするか、有効期間を0バイトに設定することを推奨します。

ネットワーク品質が悪い

デッドピア検出 (DPD) パケット、ヘルスチェックパケット、またはIPsecパケットはタイムアウトし、IPsec-VPN接続とピアゲートウェイデバイス間のネットワーク品質が悪いためにドロップされます。 これはIPsec − VPN接続を中断する。

IPsec-VPN接続が中断した場合は、ネットワーク接続を確認してください。

IPsec-VPN接続の制限

ピアゲートウェイ装置の供給者によって課される制限のために、IPsecネゴシエーションは、インバウンドトラフィックが検出されたときにのみトリガされ得る。

制限がピアゲートウェイデバイスに適用されるかどうかを確認します。

制限がピアゲートウェイデバイスに適用される場合、IPsecネゴシエーションをトリガーする方法についてサプライヤに相談してください。

デュアルトンネルIPsec-VPN接続を確立する場合、同じ保護されたデータフローが2つのトンネルに使用されます。 ただし、ピアゲートウェイにCisco ASAファイアウォールゲートウェイなどの関連する制限がある場合、ネゴシエーションを正常に完了できるのは1つのトンネルだけです。

メーカーに連絡して、そのような制限があるかどうかを確認してください。

このような制限がある場合は、ピアゲートウェイのIPsec-VPN設定を変更します。 詳細については「設定例」をご参照ください。

カテゴリ

原因

解決策

誤ったBGP設定

ピアゲートウェイデバイスに設定されたBGP IPアドレスが無効です。

IPsec-VPN接続とピアゲートウェイデバイスのBGP設定を確認します。 IPsec-VPN接続のBGP IPアドレスとピアゲートウェイデバイスのBGP IPアドレスが同じCIDRブロック内にあり、互いに競合しないことを確認してください。

BGP IPアドレスが属するCIDRブロックは、サブネットマスクの長さが30のCIDRブロック169.254.0.0/16に含まれている必要があります。

IPsec-VPN接続の問題

IPsec − VPN接続の接続性例外のため、ローカルゲートウェイは、ピアゲートウェイデバイスからBGPパケットを受信することができない。

IPsec-VPN接続の接続性を確認し、ローカルゲートウェイがピアゲートウェイデバイスからBGPパケットを受信するかどうかを確認します。

IPsec-VPN接続のトラフィック監視データを表示できます。 トラフィックが検出されない場合、ローカルゲートウェイがピアゲートウェイデバイスからBGPパケットを受信しないことを示します。

IPsecネゴシエーションは中断されます。

IPsec-VPN接続のログを表示して、フェーズ2ネゴシエーションが成功したかどうかを確認します。

IPsecネゴシエーションの状態が不安定な場合は、ログを確認してトラブルシューティングを行います。 詳細については、「IPsec-VPN接続の問題のトラブルシューティング」をご参照ください。

カテゴリ

原因

解決策

ヘルスチェックの宛先IPアドレスに関連する問題

ヘルスチェックの宛先IPアドレスにアクセスできません。

宛先IPアドレスに関連付けられているホストでpingまたはmtrコマンドを実行し、宛先IPアドレスが送信元IPアドレスにアクセスできるかどうかを確認します。

宛先IPアドレスが送信元IPアドレスにアクセスできない場合は、宛先IPアドレスの設定を確認します。

宛先IPアドレスに関連付けられているホストに例外があり、IPsec-VPN接続からのICMPパケットに応答できません。

宛先IPアドレスに関連付けられているホストが期待どおりに動作しているかどうかを確認します。 詳細については、ゲートウェイデバイスのサプライヤを参照してください。

宛先IPアドレスのルート設定とセキュリティポリシーが変更されました。

たとえば、セキュリティポリシーは、送信元IPアドレス、宛先IPアドレス、またはICMPパケットを許可しません。

宛先IPアドレスのルート設定とセキュリティポリシーが次の要件を満たしていることを確認してください。

• 宛先IPアドレスは、ソースIPアドレスにアクセスすることができる。

• セキュリティポリシーでは、送信元IPアドレス、宛先IPアドレス、およびICMPパケットが許可されます。

宛先IPアドレスは、宛先IPアドレスがプローブを受信するのと同じパスを介してヘルスチェックプローブに応答しません。

mtrコマンドを実行して、リクエストパケットとレスポンスパケットが同じパスで転送されているかどうかを確認します。 要求パケットと応答パケットが異なるパスを介して転送される場合は、ピアゲートウェイデバイスのルート設定を確認します。 リクエストパケットとレスポンスパケットが同じパスで転送されていることを确认してください。

IPsec-VPN接続の問題

IPsecネゴシエーションは中断されます。

IPsec-VPN接続のログを表示して、フェーズ2ネゴシエーションが成功したかどうかを確認します。

IPsecネゴシエーションの状態が不安定な場合は、ログを確認してトラブルシューティングを行います。 詳細については、「IPsec-VPN接続の問題のトラブルシューティング」をご参照ください。

カテゴリ

原因

解決策

VPNゲートウェイ仕様の問題

データ転送中に突然のトラフィックサージが発生し、VPNゲートウェイの最大帯域幅を超えます。

VPN gatewayコンソールでVPN Gatewayのトラフィック監視情報を表示して、突然のトラフィック急増が発生していないかどうかを確認できます。

VPNゲートウェイをアップグレードできます

IPsec-VPN接続の問題

IPsecネゴシエーションは中断されます。

IPsec-VPN接続のログを表示して、フェーズ2ネゴシエーションが成功したかどうかを確認します。

IPsec-VPNネゴシエーションが不安定な状態にあり、IPsecトンネルが頻繁にリセットされてネットワークが中断する場合は、IPsec-VPN接続のログを確認してトラブルシューティングを行います。 詳細については、「IPsec-VPN接続の問題のトラブルシューティング」をご参照ください。

最大伝送ユニット (MTU) に関連する問題

データセンターで設定されたMTUが1,300バイトを超えています。

VPNゲートウェイが2021年4月1日より前に作成され、データセンターで設定されたユーザーMTUが1,300バイトを超える場合、IPsec-VPN接続が失敗する可能性があります。 この場合、VPN gatewayを最新バージョンに更新することを推奨します。 VPN gatewayをアップグレードする方法の詳細については、「VPN gatewayのアップグレード」をご参照ください。

データ送信中、パケットサイズはMTUを超え、これはパケット断片化を引き起こす。

VPN Gatewayは、断片化されたパケットを送信できますが、パケットの断片を再構築できません。 MTUを1,399バイトに設定することを推奨します。 詳細については、「MTU値の設定」をご参照ください。

カテゴリ

原因

解決策

VPNゲートウェイ仕様の問題

データ転送中に突然のトラフィックサージが発生し、VPNゲートウェイの最大帯域幅を超えます。

VPN gatewayコンソールでVPN Gatewayのトラフィック監視情報を表示して、突然のトラフィック急増が発生していないかどうかを確認できます。

VPNゲートウェイをアップグレードできます

ネットワーク品質が悪い

IPsec-VPN接続とピアゲートウェイ装置との間のネットワーク品質は悪く、これは、高いネットワーク待ち時間およびパケット損失を引き起こす。

pingまたはmtrコマンドを実行して、VPN gatewayへのプライベート接続またはパブリック接続を確認します。

ネットワークの遅延が大きい場合は、セグメントでプローブを実行して原因を特定できます。 パブリック接続のネットワーク品質が悪い場合は、Cloud Enterprise network (CEN) などのサービスを使用することを推奨します。

名前

ソースCIDRブロック

宛先CIDRブロック

次のホップ

重量

優先度

ルート1

10.66.90.0/24

10.55.193.0/24

IPsec-VPN 接続 1

100

10

ルート2

10.66.89.0/24

10.55.0.0/16

IPsec-VPN接続2

100

10

ルート3

10.66.90.0/24

10.55.178.0/24

IPsec-VPN接続3

100

10

ルート4

10.66.88.0/24

10.55.0.0/16

IPsec-VPN接続4

100

10