トラブルシューティング AWS Client VPN: VPC へのトンネル接続の問題

を使用して AWS CLI 、クライアント VPN エンドポイントのステータスを確認します。

aws ec2 describe-client-vpn-endpoints --region your-region

出力でエンドポイントの状態を探します。状態は である必要がありますavailable。

エンドポイントにターゲットネットワーク (サブネット) が関連付けられていることを確認します。

状態が でない場合はavailable、エラーメッセージや、設定の問題を示す保留中の状態がないか確認します。

アクティブなクライアント接続を確認します。

aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-id --region your-region

出力の接続ステータスとエラーメッセージを確認します。

クライアント認証ログで、失敗した認証試行を確認します。

クライアントが設定されたクライアント CIDR ブロックから IP アドレスを受信していることを確認します。

現在の認可ルールを一覧表示します。

aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-id --region your-region

クライアントがアクセスする必要があるターゲットネットワークにルールが存在することを確認します。

ルールで正しい Active Directory グループが指定されていることを確認します (AD 認証を使用している場合）。

認可ルールが active状態であることを確認します。

クライアント VPN エンドポイントルートを確認します。

aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-id --region your-region

クライアントがアクセスする必要があるターゲットネットワークにルートが存在することを確認します。

Amazon VPC ルートテーブルをチェックして、リターントラフィックがクライアント VPN エンドポイントに到達できることを確認します。

aws ec2 describe-route-tables --filters "Name=vpc-id,Values=vpc-id" --region your-region

ターゲットネットワークの関連付けが正しく設定されていることを確認します。

ターゲット EC2 インスタンスのセキュリティグループを確認します。

aws ec2 describe-security-groups --group-ids sg-xxxxxxxxx --region your-region

インバウンドルールがクライアント VPN CIDR ブロックからのトラフィックを許可していることを確認します。

クライアント VPN エンドポイントセキュリティグループ (該当する場合) では、以下が許可されていることを確認します。

ネットワーク ACLsトラフィックをブロックしていないことを確認します。ネットワーク ACLs はステートレスであるため、インバウンドルールとアウトバウンドルールの両方を設定する必要があります。

送信しようとしている特定のトラフィックのインバウンドルールとアウトバウンドルールの両方を検証します。

接続されたクライアント VPN クライアントから、Amazon VPC リソースへの接続をテストします。

ping vpc-resource-ip
traceroute vpc-resource-ip

特定のアプリケーション接続をテストします。

telnet vpc-resource-ip port

プライベート DNS 名を使用する場合は、DNS 解決を確認します。

nslookup private-dns-name

分割トンネリングが有効になっている場合は、インターネットリソースへの接続をテストします。

クライアント設定ファイル (.ovpn) に正しい設定が含まれていることを確認します。

クライアントログで接続エラーを確認します。

クライアントから基本的なネットワーク接続をテストします。

ping 8.8.8.8
nslookup cvpn-endpoint-id.cvpn.region.amazonaws.com

DNS サーバーがクライアント VPN エンドポイントで設定されているかどうかを確認します。

aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-id --query 'ClientVpnEndpoints[0].DnsServers'

クライアントから DNS 解決をテストします。

nslookup private-resource.internal
dig private-resource.internal

カスタム DNS 解決を使用する場合は、Route 53 Resolver ルールを検証します。

セキュリティグループがクライアント VPN CIDR から DNS サーバーへの DNS トラフィック (UDP/TCP ポート 53) を許可していることを確認します。

アクティブな接続メトリクスを確認します。

aws cloudwatch get-metric-statistics \
  --namespace AWS/ClientVPN \
  --metric-name ActiveConnectionsCount \
  --dimensions Name=Endpoint,Value=cvpn-endpoint-id \
  --start-time start-time \
  --end-time end-time \
  --period 300 \
  --statistics Average

認証失敗メトリクスを確認します。

aws cloudwatch get-metric-statistics \
  --namespace AWS/ClientVPN \
  --metric-name AuthenticationFailures \
  --dimensions Name=Endpoint,Value=cvpn-endpoint-id \
  --start-time start-time \
  --end-time end-time \
  --period 300 \
  --statistics Sum

イングレスバイトやエグレスバイト、パケットなど、他の利用可能なメトリクスを確認します。