AWS Client VPN のトラブルシューティング: VPC へのトンネル接続の問題

AWS CLI を使用して、クライアント VPN エンドポイントのステータスを確認します。

aws ec2 describe-client-vpn-endpoints --region your-region

出力でエンドポイントの状態を探します。状態は available である必要があります。

エンドポイントにターゲットネットワーク (サブネット) が関連付けられていることを確認します。

状態が available でない場合は、設定の問題を示すエラーメッセージや保留中の状態がないか確認します。

以下のアクティブなクライアント接続を確認します。

aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-id --region your-region

出力の接続ステータスとエラーメッセージを確認します。

クライアント認証ログで失敗した認証の試行を確認します。

クライアントが設定されたクライアント CIDR ブロックから IP アドレスを受信していることを確認します。

現在の承認ルールを一覧表示します。

aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-id --region your-region

クライアントがアクセスする必要があるターゲットネットワークにルールが存在することを確認します。

ルールで正しい Active Directory グループが指定されていることを確認します (AD 認証を使用している場合）。

承認ルールが active の状態であることを確認します。

クライアント VPN エンドポイントルートを確認する

aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-id --region your-region

クライアントがアクセスする必要があるターゲットネットワークにルートが存在することを確認します。

Amazon VPC ルートテーブルをチェックして、リターントラフィックがクライアント VPN エンドポイントに到達できることを確認します。

aws ec2 describe-route-tables --filters "Name=vpc-id,Values=vpc-id" --region your-region

ターゲットネットワークの関連付けが正しく設定されていることを確認します。

ターゲット EC2 インスタンスのセキュリティグループを確認する

aws ec2 describe-security-groups --group-ids sg-xxxxxxxxx --region your-region

インバウンドルールでクライアント VPN CIDR ブロックからのトラフィックが許可されていることを確認します。

クライアント VPN エンドポイントセキュリティグループ (該当する場合) では、以下が許可されていることを確認します。

ネットワーク ACL がトラフィックをブロックしていないことを確認します。ネットワーク ACL はステートレスであるため、インバウンドルールとアウトバウンドルールの両方を設定する必要があります。

送信しようとしている特定のトラフィックのインバウンドルールとアウトバウンドルールの両方を確認します。

接続されたクライアント VPN クライアントから、Amazon VPC リソースへの接続をテストします。

ping vpc-resource-ip
traceroute vpc-resource-ip

特定のアプリケーションの接続性をテストします。

telnet vpc-resource-ip port

プライベート DNS 名を使用する場合は、DNS 解決を検証します。

nslookup private-dns-name

スプリットトンネリングが有効になっている場合は、インターネットリソースへの接続をテストします。

クライアント設定ファイル (.ovpn) に正しい設定が含まれていることを確認します。

クライアントログで接続エラーを確認します。

クライアントからの基本的なネットワーク接続をテストします。

ping 8.8.8.8
nslookup cvpn-endpoint-id.cvpn.region.amazonaws.com

DNS サーバーがクライアント VPN エンドポイントで設定されているかどうかを確認します。

aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-id --query 'ClientVpnEndpoints[0].DnsServers'

クライアントから DNS 解決をテストします。

nslookup private-resource.internal
dig private-resource.internal

カスタム DNS 解決を使用する場合は、Route 53 Resolver ルールを確認します。

セキュリティグループがクライアント VPN CIDR から DNS サーバーへの DNS トラフィック (UDP/TCP ポート 53) を許可していることを確認します。

アクティブな接続メトリクスを確認します。

aws cloudwatch get-metric-statistics \
  --namespace AWS/ClientVPN \
  --metric-name ActiveConnectionsCount \
  --dimensions Name=Endpoint,Value=cvpn-endpoint-id \
  --start-time start-time \
  --end-time end-time \
  --period 300 \
  --statistics Average

認証失敗のメトリクスを確認します。

aws cloudwatch get-metric-statistics \
  --namespace AWS/ClientVPN \
  --metric-name AuthenticationFailures \
  --dimensions Name=Endpoint,Value=cvpn-endpoint-id \
  --start-time start-time \
  --end-time end-time \
  --period 300 \
  --statistics Sum

受信バイトや送信バイト、受信パケットや送信パケットなど、他の利用可能なメトリクスを確認します。