SSL VPN連接常見問題
更新時間 2023-11-16 09:17:32
最近更新時間: 2023-11-16 09:17:32
分享文章
本文介紹SSL VPN連接相關問題。
如何理解SSL VPN連接中的本端子網和客戶端地址池？
SSL VPN是一種通過SSL協議實現遠程訪問內部網絡的方式。
在建立SSL VPN服務端時，本端子網是指企業內部的網絡，而客戶端地址池則是用于分配給客戶端虛擬網卡的IP地址集合。
從天翼云的角度來看，本端子網一般指VPC網絡，VPC是Virtual Private Cloud的縮寫，它指用戶在云平臺上虛擬化的私有網絡。而客戶端地址池是用于分配給客戶端虛擬網卡的IP地址集合。當用戶通過SSL VPN連接到企業內網時，客戶端虛擬網卡會獲得一個屬于該地址池的IP地址，以便可以在企業內部網絡中訪問相應的資源。通過正確配置本端子網和客戶端地址池，可以確保SSL VPN連接的穩定性和安全性。
客戶端連接失敗怎么辦？
產生當前問題的可能原因及解決方案如下表。
| 分類 | 原因 | 解決方案 |
|---|---|---|
| 配置錯誤 | SSL客戶端配置錯誤。 | 請排查客戶端VPN軟件的配置是否與服務端配置一致。 |
| SSL客戶端證書到期 | SSL客戶端證書過期或無效。 | 1. 請排查SSL客戶端證書的有效性。SSL客戶端證書默認有效期為10年。2. 請刪除現有的SSL客戶端證書及所有配置，然后重新創建、下載、安裝SSL客戶端證書。開啟和關閉雙因子認證功能、修改SSL服務端的配置，均需要重新下載、安裝SSL客戶端證書。 |
| 客戶端連接數超限 | 當前SSL服務端下的客戶端連接數超限。 | 在VPN網關實例下查看已連接的客戶端數量，確認在線客戶端數量是否超限。 |
| IP地址問題 | VPC下的IP地址與客戶端的IP地址沖突。 | 請根據實際情況，修改SSL服務端的本端網段（VPC或云間高速的網段）或者客戶端網段以確保兩側IP地址不沖突。 |
| IP地址問題 | SSL服務端的客戶端網段配置的太小，導致客戶端無法被分配IP地址。 | 請確保您指定的客戶端網段所包含的IP地址數量大于SSL VPN客戶端數量。 |
| VPN軟件問題 | 客戶端VPN軟件沖突。 | 1.如果您的客戶端上安裝了多個VPN客戶端軟件，建議僅使用一個VPN客戶端軟件建立SSL VPN連接。 |
客戶端之前連接成功，但間歇性中斷下線怎么辦？
產生當前問題的可能原因及解決方案如下表。
| 分類 | 原因 | 解決方案 |
|---|---|---|
| 公網鏈路質量不佳 | 由于客戶端和VPN網關之間的公網鏈路質量不佳導致客戶端間歇性中斷下線。 | 公網鏈路質量不佳（延時高或丟包率高等），可聯系運營商協助進行故障排查。 |
| SSL服務端配置變更 | SSL服務端配置變更導致客戶端中斷下線。 | SSL服務端修改配置后，請在客戶端調整配置，重新發起連接。 |
客戶端連接成功，但無法ping通VPC內的網絡資源怎么辦？
原因：
- VPC應用的訪問控制策略禁止ping命令探測。
- 未配置對應的VPC子網資源。
- VPC應用的安全組規則未放通客戶端地址池。
解決方案：
- 請排查VPC內的網絡資源是否禁止ping命令探測，如果是，請修改訪問控制策略。
默認情況下Windows操作系統的客戶端的防火墻是禁止ping命令探測的，您需要修改Windows防火墻的入站規則允許ICMPv4-In。
- 排查VPC本端子網的配置，確保本端子網中包含了需要訪問的網絡資源。
- 排查VPC應用的安全組規則。確保安全組規則允許云主機實例和客戶端之間互相訪問。
