AWS Client VPN 故障排除：与 VPC 的隧道连接问题

使用 AWS CLI 检查 Client VPN 端点的状态：

aws ec2 describe-client-vpn-endpoints --region your-region

在输出中查找端点状态。状态应为 available。

验证端点关联了目标网络（子网）。

如果状态不是 available，请检查是否存在任何可能表明配置问题的错误消息或待处理状态。

检查处于活动状态的客户端连接：

aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-id --region your-region

查看输出中的连接状态和所有错误消息。

检查客户端身份验证日志中是否有失败的身份验证尝试。

确认客户端是从配置的客户端 CIDR 数据块接收 IP 地址。

列出当前的授权规则：

aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-id --region your-region

验证存在适用于客户端需要访问的目标网络的规则。

确认规则指定了正确的 Active Directory 组（如果使用 AD 身份验证）。

确保授权规则处于 active 状态。

检查 Client VPN 端点路由：

aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-id --region your-region

验证存在适用于客户端需要访问的目标网络的路由。

检查 Amazon VPC 路由表，确保返回流量可以到达 Client VPN 端点：

aws ec2 describe-route-tables --filters "Name=vpc-id,Values=vpc-id" --region your-region

验证目标网络关联的配置正确。

检查目标 EC2 实例的安全组：

aws ec2 describe-security-groups --group-ids sg-xxxxxxxxx --region your-region

验证入站规则允许来自 Client VPN CIDR 数据块的流量：

对于 Client VPN 端点安全组（如果适用），请确保它允许：

确认网络 ACL 不阻止流量。网络 ACL 是无状态的，因此必须同时配置入站和出站规则。

验证您要发送的特定流量的入站和出站规则。

从连接的 Client VPN 客户端，测试到 Amazon VPC 资源的连接：

ping vpc-resource-ip
traceroute vpc-resource-ip

测试特定应用程序连接：

telnet vpc-resource-ip port

如果使用私有 DNS 名称，请验证 DNS 解析：

nslookup private-dns-name

如果启用了拆分隧道，请测试与互联网资源的连接。

验证客户端配置文件（.ovpn）包含正确的设置：

检查客户端日志中是否存在连接错误：

测试来自客户端的基本网络连接：

ping 8.8.8.8
nslookup cvpn-endpoint-id.cvpn.region.amazonaws.com

检查 Client VPN 端点中是否配置了 DNS 服务器：

aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-id --query 'ClientVpnEndpoints[0].DnsServers'

测试来自客户端的 DNS 解析：

nslookup private-resource.internal
dig private-resource.internal

如果使用自定义 DNS 解析，请验证 Route 53 Resolver 规则。

确认安全组允许从 Client VPN CIDR 到 DNS 服务器的 DNS 流量（UDP/TCP 端口 53）。

检查活动连接指标：

aws cloudwatch get-metric-statistics \
  --namespace AWS/ClientVPN \
  --metric-name ActiveConnectionsCount \
  --dimensions Name=Endpoint,Value=cvpn-endpoint-id \
  --start-time start-time \
  --end-time end-time \
  --period 300 \
  --statistics Average

查看身份验证失败指标：

aws cloudwatch get-metric-statistics \
  --namespace AWS/ClientVPN \
  --metric-name AuthenticationFailures \
  --dimensions Name=Endpoint,Value=cvpn-endpoint-id \
  --start-time start-time \
  --end-time end-time \
  --period 300 \
  --statistics Sum

查看其他可用指标，例如入口和出口字节及数据包。