クラスタ接続のトラブルシューティング

このページでは、Google Cloud コンソール、Google Cloud CLI、kubectlを使用し、Connect Gateway を介してクラスタをフリートに登録する際、または Google Cloud の外側にあるクラスタに接続する際によく見られるエラーをトラブルシューティングする方法について説明します。

オンプレミスクラスタと他のパブリッククラウドのクラスタは、Connect Agent を使用して、クラスタと Google Cloud プロジェクト間の接続を確立して維持し、Kubernetes リクエストを処理します。「接続できないエージェント」や「クラスタのコントロールプレーンに接続できない」などのエラーが表示される場合は、Connect Agent に問題がある可能性があります。

Connect Agent のログの収集

Google Cloud の外部のクラスタを登録する際、Google Cloud は Connect Agent を使用してクラスタとフリートホストプロジェクト間の通信を処理します。Connect Agent は Deployment gke-connect-agent で、通常は、クラスタの gke-connect 名前空間にインストールされます。この Connect Agent からログを収集すると、登録と接続に関する問題のトラブルシューティングに役立ちます。

エージェントのログを取得するには、次のコマンドを実行します（必要に応じて行数を調整します）。

kubectl logs -n gke-connect -l app=gke-connect-agent --tail=-1

プロジェクトクラスタで実行中のすべての Connect Agent に関する情報を取得するには、次のコマンドを実行します。

kubectl describe deployment --all-namespaces -l app=gke-connect-agent

接続が成功すると、次の例のようなエントリが表示されます。

2019/02/16 17:28:43.312056 dialer.go:244: dialer: dial: connected to gkeconnect.googleapis.com:443
2019/02/16 17:28:43.312279 tunnel.go:234: serve: opening egress stream...
2019/02/16 17:28:43.312439 tunnel.go:248: serve: registering endpoint="442223602236", shard="88d2bca5-f40a-11e8-983e-42010a8000b2" {"Params":{"GkeConnect":{"endpoint_class":1,"metadata":{"Metadata":{"Default":{"manifest_version":"234227867"}}}}}} ...
2019/02/16 17:28:43.312656 tunnel.go:259: serve: serving requests...

GKE Identity Service のログの収集

Connect Gateway の Google グループまたはサードパーティのサポートに問題がある場合は、GKE Identity Service のログを調べると役立つことがあります。このログ生成方法は、VMware 上の GKE またはベアメタルクラスタ用の Google Distributed Cloud Virtual にのみ適用されます。

GKE Identity Service のログの詳細度を高めるには、次のコマンドを使用して clientconfig カスタムリソースを編集します。
```
kubectl edit deployment -n anthos-identity-service
```
containers フィールドの下に vmodule フラグを追加します。
```
spec:
  containers:
  ...
  - command:
    - --vmodule=cloud/identity/hybrid/charon/*=9
```
注: 説明に沿って vmodule フラグを追加して詳細度を上げると、シークレットを含めて、最大限の詳細情報が出力されます。
次のコマンドを使用して GKE Identity Service Pod を削除し、再起動します。
```
kubectl delete pods -l k8s-app=ais -n anthos-identity-service
```
数秒以内に Pod が再び起動します。
Pod が再起動したら、予期しないレスポンスが返された元のコマンドを実行して、GKE Identity Service Pod ログに詳細情報を入力します。
次のコマンドを使用して、これらのログの出力をファイルに保存します。
```
kubectl logs -l k8s-app=ais -n anthos-identity-service --tail=-1 > gke_id_service_logs.txt
```
注: すべてのログは UTC となっています。

想定されるグループが GKE Identity Service Pod のログにない場合は、クラスタの設定が正しいことを確認します。GKE Identity Service に関連するその他の問題がある場合は、ユーザーアクセスの問題のトラブルシューティングまたはフリートレベルの設定に関する問題のトラブルシューティングをご覧ください。

`tls: oversized record` エラー

症状

次ようなエラーが発生する場合があります。

... dialer: dial: connection to gkeconnect.googleapis.com:443 failed after
388.080605ms: serve: egress call failed: rpc error: code = Unauthenticated
desc = transport: oauth2: cannot fetch token: Post
https://oauth2.googleapis.com/token: proxyconnect tcp: tls: oversized record
received with length 20527

考えられる原因

Connect Agent が HTTP のみのプロキシに、HTTPS で接続しようとしている可能性があります。Connect Agent は CONNECT ベースの HTTP プロキシのみをサポートします。

解決策

プロキシの環境変数を次のように再構成する必要があります。

http_proxy=http://[PROXY_URL]:[PROXY_PORT]
https_proxy=http://[PROXY_URL]:[PROXY_PORT]

`oauth2: cannot fetch token` エラー

症状

次ようなエラーが発生する場合があります。

...  dialer: dial: connection to gkeconnect.googleapis.com:443 failed
after 388.080605ms: serve: egress call failed: rpc error: code =
Unauthenticated desc = transport: oauth2: cannot fetch token: Post
https://oauth2.googleapis.com/token: read tcp 192.168.1.40:5570->1.1.1.1:80
read: connection reset by peer

考えられる原因

アップストリームの HTTP プロキシが接続をリセットした可能性があります。おそらく、この特定の URL が HTTP プロキシで許可されていないためです。上記の例では、1.1.1.1:80 が HTTP プロキシアドレスです。

解決策

HTTP プロキシの許可リストに次の URL とドメインが含まれていることを確認してください。

gkeconnect.googleapis.com
oauth2.googleapis.com/token
www.googleapis.com/oauth2/v1/certs

Connect Agent Pod がクラッシュして再起動エラーが発生する

症状

Google Cloud コンソールでクラスタに関する「接続できないエージェント」エラーが断続的に発生する場合や、Pod が複数回再起動する場合があります。

$ kubectl get pods -n gke-connect
NAME                                                READY   STATUS    RESTARTS   AGE
gke-connect-agent-20230706-03-00-6b8f75dd58-dzwmt   1/1     Running   5          99m

この動作をトラブルシューティングするには、最後の状態がメモリ不足エラー（OOMKilled）による終了だったかどうかを確認するよう Pod を記述します。

  kubectl describe pods/gke-connect-agent-20230706-03-00-6b8f75dd58-dzwmt -n gke-connect
        <some details skipped..>
        Last State:     Terminated
        Reason:       OOMKilled

考えられる原因

デフォルトでは、Connect Agent Pod の RAM の上限は 256 MiB です。クラスタで多くのワークロードがインストールされている場合、一部のリクエストとレスポンスを期待どおりに処理できない場合があります。

解決策

Connect Agent のデプロイメントを更新し、メモリの上限をより高く設定します。次に例を示します。

containers:
  name: gke-connect-agent-20230706-03-00
  resources:
    limits:
      memory: 512Mi

`PermissionDenied` エラー

症状

次ようなエラーが発生する場合があります。

tunnel.go:250: serve: recv error: rpc error: code = PermissionDenied
desc = The caller does not have permission
dialer.go:210: dialer: dial: connection to gkeconnect.googleapis.com:443
failed after 335.153278ms: serve: receive request failed: rpc error:
code = PermissionDenied desc = The caller does not have permission
dialer.go:150: dialer: connection done: serve: receive request failed:
rpc error: code = PermissionDenied desc = The caller does not have permission
dialer.go:228: dialer: backoff: 1m14.1376766s

考えられる原因

Connect Agent から Google への接続を承認するために作成した Google Cloud サービスアカウントに、必要な Identity and Access Management（IAM）ロールが割り当てられていない可能性があります。Google Cloud サービスアカウントには、gkehub.connect IAM ロールが必要です。

これは、Google Cloud サービスアカウントを削除して同じ名前で再作成する場合にも発生します。その場合は、IAM ロールバインディングを削除して再作成する必要もあります。詳細については、サービスアカウントの削除と再作成をご覧ください。

解決策

サービスアカウントに gkehub.connect ロールをバインドします（gkehub.admin ロールには接続のための適切な権限が付与されておらず、サービスアカウントによる使用を想定していません）。

たとえば、my-project という名前のプロジェクトと gkeconnect@my-project.iam.gserviceaccount.com という Google Cloud サービスアカウントの場合は、次のコマンドを実行してロールをサービスアカウントにバインドします。

gcloud projects add-iam-policy-binding my-project --member \
serviceAccount:gkeconnect@my-project.iam.gserviceaccount.com \
--role "roles/gkehub.connect"

次のコマンドの出力を調べることで、Google Cloud サービスアカウントにサービスアカウントの権限が適用されていることを表示して確認できます。また、role: roles/gkehub.connect が関連付けられた Google Cloud のサービスアカウントにバインドされていることがわかります。

gcloud projects get-iam-policy my-project

IAM ロールを Google Cloud サービスアカウントにバインドするときにエラーが発生する

症状

次ようなエラーが発生する場合があります。

ERROR: (gcloud.projects.add-iam-policy-binding) PERMISSION_DENIED:
Service Management API has not been used in project [PROJECT_ID] before or it
is disabled. Enable it by visiting
https://console.developers.google.com/apis/api/servicemanagement.googleapis.com/overview?project=[PROJECT_ID]
then retry. If you enabled this API recently, wait a few minutes for the
action to propagate to our systems and retry.

考えられる原因

コマンド gcloud projects add-iam-policy-binding を実行するための IAM 権限を付与されていない可能性があります。

解決策

resourcemanager.projects.setIamPolicy 権限を付与されていることが必要です。Project IAM Admin、Owner、Editor のいずれかのロールを割り当てられている場合は、コマンドを実行できます。内部セキュリティポリシーにより、コマンドの実行が禁止されている場合は、管理者に確認してください。

無効なサービスアカウントキーからエラーが返される

症状

次ようなエラーが発生する場合があります。

2020/05/08 01:22:21.435104 environment.go:214: Got ExternalID 3770f509-b89b-48c4-96e0-860bb70b3a58 from namespace kube-system.
2020/05/08 01:22:21.437976 environment.go:485: Using gcp Service Account key
2020/05/08 01:22:21.438140 gkeconnect_agent.go:50: error creating kubernetes connect agent: failed to get tunnel config: unexpected end of JSON input

考えられる原因

これらのログは、インストール時に Connect Agent に無効なサービスアカウントキーが指定されたことを示しています。

解決策

サービスアカウントの認証情報が含まれている JSON ファイルを新規に作成し、手順に沿って再度クラスタを登録して、Connect Agent を再インストールします。

期限切れのサービスアカウントキーからエラーが返される

症状

次ようなエラーが発生する場合があります。

2020/05/08 01:22:21.435104 dialer.go:277: dialer: dial: connection to gkeconnect.googleapis.com:443 failed after 37.901608ms:
serve: egress call failed: rpc error: code = Unauthenticated desc = transport: oauth2: cannot fetch token: 400 Bad Request
Response: {"error":"invalid_grant","error_description":"Invalid JWT Signature."}

考えられる原因

これらのログは、Connect Agent が Google の認証サービスでは使用できない、問題のあるサービスアカウントキーを使用して Connect に発信していたことを示しています。サービスアカウントキーファイルが破損しているか、キーの有効期限が切れている可能性があります。

キーの有効期限が切れていることを確認するには、Google Cloud コンソールのサービスアカウントの詳細ページで「鍵の有効期限」を表示できます。デフォルトで、サービスアカウントの有効期間が短い特殊なポリシーが、プロジェクトまたは組織で設定されている場合もあります。

解決策

システムクロックのずれによるエラー

症状

次ようなエラーが発生する場合があります。

acceptCall: failed to parse token in req [rpc_id=1]: Token used before issued [rpc_id=1]

考えられる原因

通常、このログメッセージはクラスタで時計のずれが生じていることを示しています。クラスタが発行したトークンに同期のずれたタイムスタンプがあるため、トークンが拒否されます。

解決策

時計が正しく同期されていないことを確認するには、クラスタで date コマンドを実行して、標準時間と比較することができます。通常は、数秒のドリフトがあるとこの問題が発生します。この問題を解決するには、クラスタの時計を再同期してください。

Google Cloud コンソールでワークロードを確認できない

症状

Connect Agent のログに、以下のエラーが記録される場合があります。

"https://10.0.10.6:443/api/v1/nodes" YYYY-MM-DDTHH mm:ss.sssZ http.go:86: GET
"https://10.0.10.6:443/api/v1/pods" YYYY-MM-DDTHH mm:ss.sssZ http.go:139:
Response status: "403 Forbidden" YYYY-MM-DDTHH mm:ss.sssZ http.go:139:
Response status: "403 Forbidden"`

考えられる原因

これらのログは、登録時に指定した認証情報を使用して Google Cloud がクラスタにアクセスしようとしたことを示しています。403 エラーは、クラスタへのアクセスに必要な権限が認証情報にないことを表します。

解決策

トークンとそのトークンがバインドされているアカウントを確認し、クラスタに対する適切な権限があることを確認します。

コンテキストの期限を超過している

症状

次ようなエラーが発生する場合があります。

2019/03/06 21:08:43.306625 dialer.go:235: dialer: dial: connecting to gkeconnect.googleapis.com:443...
2019/03/06 21:09:13.306893 dialer.go:240: dialer: dial: unable to connect to gkeconnect.googleapis.com:443: context deadline exceeded
2019/03/06 21:09:13.306943 dialer.go:183: dialer: connection done: context deadline exceeded

考えられる原因

このエラーは低レベルの TCP ネットワーキングの問題で、Connect Agent が gkeconnect.googleapis.com と通信できないことを示しています。

解決策

このクラスタ内の Pod ワークロードが、gkeconnect.googleapis.com を解決し、ポート 443 でアウトバウンド接続を行っていることを確認します。

エージェントの接続が断続的に失敗する

症状

Connect Agent のログに、以下のエラーが記録される場合があります。

2020/10/06 18:02:34.409749 dialer.go:277: dialer: dial: connection to gkeconnect.googleapis.com:443 failed after 8m0.790286282s: serve: receive request failed: rpc error: code = Unavailable desc = transport is closing
2020/10/06 18:02:34.416618 dialer.go:207: dialer: connection done: serve: receive request failed: rpc error: code = Unavailable desc = transport is closing
2020/10/06 18:02:34.416722 dialer.go:295: dialer: backoff: 978.11948ms
2020/10/06 18:02:34.410097 tunnel.go:651: sendResponse: EOF [rpc_id=52]
2020/10/06 18:02:34.420077 tunnel.go:651: sendResponse: EOF [rpc_id=52]
2020/10/06 18:02:34.420204 tunnel.go:670: sendHalfClose: EOF [rpc_id=52]
2020/10/06 18:02:34.401412 tunnel.go:670: sendHalfClose: EOF [rpc_id=53]

考えられる原因

Connect Agent のリソースが不足している（t3.medium のような小規模な AWS EC2 インスタンスなど）場合に、Connect への接続が終了します。

解決策

AWS と T3 インスタンスタイプを使用する場合は、T3 無制限を有効にするか、ノードプールに対してより多くのリソースを利用できるインスタンスタイプを使用します。

フリートがプロジェクトにアクセスできない

症状

一部のフリートオペレーション（通常はクラスタ登録）中に、次のようなエラーが発生する場合があります。

ERROR: (gcloud.container.hub.memberships.register) failed to initialize Feature
"authorizer", the fleet service account (service-PROJECT_NUMBER@gcp-sa-gkehub.iam.gserviceaccount.com) may not have access to your project

考えられる原因

GKE のデフォルトのサービスアカウント（gcp-sa-gkehub）が、プロジェクトから誤ってバインド解除されることがあります。フリートサービスエージェントは、クラスタリソースを管理する権限をサービスアカウントに付与する IAM ロールです。このロールバインディングをサービスアカウントから削除すると、デフォルトサービスアカウントはプロジェクトからバインド解除され、アプリケーションのデプロイや他のクラスタ操作をユーザーができなくなる可能性があります。

gcloud CLI または Google Cloud コンソールを使用して、サービスアカウントがプロジェクトから削除されているか確認できます。コマンドまたはダッシュボードで、サービスアカウントの中に gcp-sa-gkehub が表示されない場合、サービスアカウントのバインドは解除されています。

gcloud

次のコマンドを実行します。

gcloud projects get-iam-policy PROJECT_NAME

PROJECT_NAME はクラスタの登録を試行するプロジェクトの名前です。

コンソール

Google Cloud コンソールで [IAM と管理] ページにアクセスします。

解決策

フリートサービスエージェントのロールバインディングを削除した場合は、次のコマンドを実行してロールバインディングを復元します。

PROJECT_NUMBER=$(gcloud projects describe PROJECT_NAME --format "value(projectNumber)")
gcloud projects add-iam-policy-binding PROJECT_NAME \
  --member "serviceAccount:service-${PROJECT_NUMBER}@gcp-sa-gkehub.iam.gserviceaccount.com" \
  --role roles/gkehub.serviceAgent

ロールバインディングが付与されたことを確認するには、次のコマンドを実行します。

gcloud projects get-iam-policy PROJECT_NAME

サービスアカウント名と gkehub.serviceAgent 役割が表示されている場合、役割バインディングが付与されています。例:

- members:
  - serviceAccount:service-1234567890@gcp-sa-gkehub.iam.gserviceaccount.com
  role: roles/gkehub.serviceAgent

フリートとは別のプロジェクトの GKE クラスタを登録する際にエラーが発生する

症状

フリートプロジェクトとは別のプロジェクトの GKE クラスタを登録する際に、gcloud CLI で次のようなエラーが発生する場合があります。

...
message: 'DeployPatch failed'>
detail: 'DeployPatch failed'
...

ログで確認するには、次のフィルタを適用します。

resource.type="gke_cluster"
resource.labels.cluster_name="my-cluster"
protoPayload.methodName="google.container.v1beta1.ClusterManager.UpdateCluster"
protoPayload.status.code="13"
protoPayload.status.message="Internal error."
severity=ERROR

考えられる原因

フリートのデフォルトのサービスアカウントに、GKE クラスタのプロジェクトで必要な権限が付与されていません。

解決策

クラスタを登録する前に、フリートのデフォルトのサービスアカウントに必要な権限を付与します。

認証情報のローテーション時に、GKE クラスタの登録または登録解除や、登録済みの GKE クラスタのフリートメンバーシップの詳細の更新でエラーが発生する

症状

クラスタ認証情報のローテーション（https://cloud.google.com/kubernetes-engine/docs/how-to/credential-rotation）中に、GKE クラスタの登録や登録解除、または登録済みの GKE クラスタのメンバーシップの更新を行うと、エラーが発生することがあります。

ERROR: (gcloud.container.hub.memberships.unregister) "code": 13,
"message": "an internal error has occurred"

考えられる原因

クラスタ認証情報は中間状態にあり、フリートサービスが認証情報にアクセスできません。

解決策

クラスタの登録や登録解除、または登録済みの GKE クラスタのメンバーシップの更新の前に、ローテーションを完了します。

Fleet API を無効にする際にエラーが発生する

症状

Fleet API（gkehub.googleapis.com）を無効にしようとすると、次のようなエラーが発生する場合があります。

Not ready to deactivate the service on this project; ensure there are no more resources managed by this service.

考えられる原因

このプロジェクトには、まだ Google Cloud（メンバーシップ）に登録されているクラスタがあるか、フリートレベルの機能が有効になっています。API を無効にする前に、すべてのメンバーや機能を、登録解除するか無効にする必要があります。

現在の登録済みクラスタを表示するには、フリートメンバーの表示の手順に沿って操作します。
プロジェクトでアクティブなフリートレベルの機能をすべて表示するには、次のコマンドを実行します。

gcloud および cURL

$ curl -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    https://gkehub.googleapis.com/v1alpha1/projects/PROJECT_NAME/locations/global/features

PROJECT_NAME は Fleet API を無効化するプロジェクトの名前です。

コンソール

プロジェクトで GKE Enterprise を有効にしている場合は、Google Cloud コンソールの機能の概要ページにアクセスします。[有効] と表示されている機能は、アクティブなフリートレベルの機能です。

解決策

最初に、プロジェクトフリートにまだ登録されているクラスタを登録解除します。なんらかの機能を無効にするには、その前にすべてのクラスタの登録を解除する必要があります。

この手順を完了したら、フリートレベルの機能をすべて無効にします。現在、この操作は Fleet REST API でのみ行えます。

プロジェクトに対して有効にしたフリートレベルの機能を無効にする
```
$ gcloud alpha container hub FEATURE_COMMAND disable
```

デフォルトで有効になっている Feature Authorizer と測定を無効にします。

$ curl -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -X "DELETE" \
    https://gkehub.googleapis.com/v1alpha1/projects/PROJECT_NAME/locations/global/features/FEATURE

FEATURE は無効にする機能の名前です（authorizer、metering など）。

クラスタを登録する際にクラスタに関する権限がない

症状:

ユーザーアカウントや Google Cloud サービスアカウントでクラスタを登録しようとすると、次のようなエラーが発生することがあります。

ERROR: (gcloud.container.hub.memberships.register) ResponseError: code=403, message=Required "container.clusters.get" permission(s) for "projects/my-project/zones/zone-a/clusters/my-cluster"

考えられる原因:

クラスタを登録しようとしているアカウントに、クラスタに必要な cluster-admin ロールベースアクセス制御（RBAC）のロールがありません。

解決策:

クラスタを登録する前に、アカウントに cluster-admin RBAC ロールを付与します。

クラスタの登録時に `Failed to check if the user is a cluster-admin: Unable to connect to the server` エラーが発生する

症状:

クラスタを登録しようとすると、次のようなエラーが発生することがあります。

ERROR: (gcloud.container.hub.memberships.register) Failed to check if the user is a cluster-admin: Unable to connect to the server: net/http: request canceled while waiting for connection (Client.Timeout exceeded while awaiting headers)

または

ERROR: (gcloud.container.hub.memberships.register) Failed to check if the user is a cluster-admin: Unable to connect to the server: dial tcp MASTER_ENDPOINT_IP:443: i/o timeout

考えられる原因:

gcloud 登録コマンドを実行しているマシンが、クラスタの外部エンドポイントに接続できません。このエラーは通常、外部アクセスや外部 IP が無効になっている限定公開クラスタを使用しているが、マシンの外部 IP アドレスが許可リストに登録されていない場合に発生します。gcloud 407.0.0 以降では、GKE クラスタの登録にはこのような要件がないことに注意してください。

解決策:

gcloud 登録コマンドを実行するマシンが、クラスタの API サーバーにアクセスできることを確認します。クラスタで外部アクセスが有効になっていない場合は、Google Cloud サポートにご連絡ください。

追加の支援を受ける

Google Cloud サポートで GKE Enterprise のチケットを作成する手順は、次のとおりです。

Google Cloud サポートにサポートケースを送信します。
Connect Agent ログの収集の手順に沿って、GKE Connect ログを保存します。
Google グループまたはサードパーティサポートを使用して GKE on VMware または Google Distributed Cloud Virtual for Bare Metal クラスタのトラブルシューティングを行う場合は、GKE Identity Service のログを収集するの手順に沿って GKE Identity Service のログを保存します。必要に応じて、保存したファイル内の Pod ログをサニタイズしてください。
関連するログをケースに添付します。

クラスタ接続のトラブルシューティング

Connect Agent のログの収集

GKE Identity Service のログの収集

tls: oversized record エラー

oauth2: cannot fetch token エラー

Connect Agent Pod がクラッシュして再起動エラーが発生する

PermissionDenied エラー

IAM ロールを Google Cloud サービス アカウントにバインドするときにエラーが発生する

無効なサービス アカウント キーからエラーが返される

期限切れのサービス アカウント キーからエラーが返される

システム クロックのずれによるエラー

Google Cloud コンソールでワークロードを確認できない

コンテキストの期限を超過している

エージェントの接続が断続的に失敗する

フリートがプロジェクトにアクセスできない

gcloud

コンソール

フリートとは別のプロジェクトの GKE クラスタを登録する際にエラーが発生する

認証情報のローテーション時に、GKE クラスタの登録または登録解除や、登録済みの GKE クラスタのフリート メンバーシップの詳細の更新でエラーが発生する

Fleet API を無効にする際にエラーが発生する

gcloud および cURL

コンソール

クラスタを登録する際にクラスタに関する権限がない

クラスタの登録時に Failed to check if the user is a cluster-admin: Unable to connect to the server エラーが発生する

追加の支援を受ける

`tls: oversized record` エラー

`oauth2: cannot fetch token` エラー

`PermissionDenied` エラー

IAM ロールを Google Cloud サービスアカウントにバインドするときにエラーが発生する

無効なサービスアカウントキーからエラーが返される

期限切れのサービスアカウントキーからエラーが返される

システムクロックのずれによるエラー

認証情報のローテーション時に、GKE クラスタの登録または登録解除や、登録済みの GKE クラスタのフリートメンバーシップの詳細の更新でエラーが発生する

クラスタの登録時に `Failed to check if the user is a cluster-admin: Unable to connect to the server` エラーが発生する