Risoluzione dei problemi

Questa guida alla risoluzione dei problemi può aiutarti a monitorare e risolvere i problemi comuni di Cloud VPN.

Per interpretare i messaggi di stato e i riferimenti alle chiavi IKE, consulta la sezione Riferimento.

Per trovare informazioni su logging e monitoraggio, consulta Visualizzare i log e le metriche.

Per trovare le definizioni della terminologia utilizzata in questa pagina, consulta Termini chiave di Cloud VPN.

Messaggi di errore

Per controllare i messaggi di errore:

  1. Nella console Google Cloud, vai alla pagina VPN.

    Vai a VPN

  2. Se vedi un'icona di stato, passaci sopra il mouse per visualizzare il messaggio di errore.

Spesso il messaggio di errore può aiutarti a individuare il problema. In caso contrario, controlla i log per ulteriori informazioni. Puoi trovare informazioni dettagliate sullo stato nella pagina Dettagli tunnel della console Google Cloud.

Log VPN

I log di Cloud VPN vengono archiviati in Cloud Logging. Il logging è automatico, quindi non è necessario attivarlo.

Per informazioni su come visualizzare i log per il lato del gateway peer della connessione, consulta la documentazione del prodotto.

Spesso i gateway sono configurati correttamente, ma si verifica un problema nella rete peer tra gli host e il gateway o nella rete tra il gateway peer e il gateway Cloud VPN.

Per controllare i log:

  1. Nella console Google Cloud, vai alla pagina Esplora log.

    Vai a Esplora log

  2. Controlla i log per trovare le seguenti informazioni:

    1. Verifica che l'indirizzo IP del peer remoto configurato sul gateway Cloud VPN sia corretto.
    2. Verifica che il traffico proveniente dagli host on-premise raggiunga il gateway peer.
    3. Verifica che il traffico fluisca tra i due gateway VPN in entrambe le direzioni. Nei log VPN, controlla se sono stati registrati messaggi in arrivo dall'altro gateway VPN.
    4. Verifica che le versioni IKE configurate siano le stesse su entrambi i lati del tunnel.
    5. Verifica che la chiave segreta condivisa sia la stessa su entrambi i lati del tunnel.
    6. Se il gateway VPN peer si trova dietro un NAT uno a uno, assicurati di aver configurato correttamente il dispositivo NAT in modo da inoltrare il traffico UDP al gateway VPN peer sulle porte 500 e 4500.
    7. Se i log VPN mostrano un errore no-proposal-chosen, questo indica che Cloud VPN e il gateway VPN peer non sono riusciti a concordare un insieme di crittografi. Per IKEv1, l'insieme di crittografi deve corrispondere esattamente. Per IKEv2, deve essere presente almeno una crittografia comune proposta da ogni gateway. Assicurati di utilizzare crittografi supportati per configurare il gateway VPN peer.
    8. Assicurati di configurare i route e le regole del firewall del peer e di Google Cloud in modo che il traffico possa attraversare il tunnel. Potresti dover contattare l'amministratore di rete per ricevere assistenza.

  3. Per trovare problemi specifici, puoi cercare nei log le seguenti stringhe:

    1. Nel riquadro Query Builder, inserisci una delle query avanzate elencate nella tabella seguente per cercare un determinato evento e fai clic su Esegui query.

    2. Modifica l'intervallo di tempo nel riquadro Istogramma, se necessario, quindi fai clic su Esegui nel riquadro. Per maggiori dettagli sull'utilizzo di Esplora log per le query, consulta Creazione di query sui log.

      Per visualizzare Utilizza questa ricerca di logging
      Cloud VPN avvia la fase 1 (IKE SA) 
      resource.type="vpn_gateway"
("initiating IKE_SA" OR "generating IKE_SA_INIT request")
      Cloud VPN non riesce a contattare il peer remoto 
      resource.type="vpn_gateway"
"establishing IKE_SA failed, peer not responding"
      Eventi di autenticazione IKE (fase 1) 
      resource.type="vpn_gateway"
("generating IKE_AUTH request" OR "parsed IKE_AUTH response")
      Autenticazione IKE riuscita 
      resource.type="vpn_gateway"
("authentication of" AND "with pre-shared key successful")
      Fase 1 (IKE SA) stabilita 
      resource.type="vpn_gateway"
("IKE_SA" AND "established between")
      Tutti gli eventi della Fase 2 (SA secondario), inclusi gli eventi di ricreazione della chiave 
      resource.type="vpn_gateway"
"CHILD_SA"
      Il peer richiede la nuova chiave della fase 2 
      resource.type="vpn_gateway"
detected rekeying of CHILD_SA
      Il peer chiede di terminare la fase 2 (account secondario bambino) 
      resource.type="vpn_gateway"
received DELETE for ESP CHILD_SA
      Cloud VPN chiede di terminare la fase 2 (SA secondario) 
      resource.type="vpn_gateway"
sending DELETE for ESP CHILD_SA
      Cloud VPN chiude la fase 2 (SA secondario), forse in risposta al peer 
      resource.type="vpn_gateway" closing CHILD_SA
      Cloud VPN ha chiuso la Fase 2 
      resource.type="vpn_gateway" CHILD_SA closed
      Se i selettori di traffico remoto non corrispondono 
      resource.type="vpn_gateway"
Remote traffic selectors narrowed
      Se i selettori del traffico locale non corrispondono 
      resource.type="vpn_gateway"
Local traffic selectors narrowed

Connettività

Valuta i seguenti suggerimenti quando utilizzi ping per verificare la connettività tra i sistemi on-premise e le istanze di macchine virtuali (VM) Google Cloud:

  • Assicurati che le regole del firewall nella tua rete Google Cloud consentano il traffico ICMP in entrata. La regola di traffico in uscita implicita consente il traffico ICMP in uscita dalla tua rete, a meno che tu non l'abbia sostituita. Analogamente, assicurati che le regole del firewall on-premise siano configurate anche per consentire il traffico ICMP in entrata e in uscita.

  • Utilizza gli indirizzi IP interni per eseguire ping alle VM Google Cloud e ai sistemi on-premise. L'invio di ping agli indirizzi IP esterni dei gateway VPN non testa la connettività tramite il tunnel.

  • Quando testi la connettività da on-premise a Google Cloud, è meglio avviare un ping da un sistema sulla tua rete, non dal gateway VPN. È possibile eseguire un ping da un gateway se imposti l'interfaccia di origine appropriata, ma eseguire un ping da un'istanza sulla tua rete offre il vantaggio aggiuntivo di testare la configurazione del firewall.

  • I test Ping non verificano che le porte TCP o UDP siano aperte. Dopo aver stabilito che i sistemi dispongono di una connettività di base, puoi utilizzare ping per eseguire test aggiuntivi.

Calcolare la velocità effettiva di rete

Puoi calcolare il throughput della rete all'interno di Google Cloud e nelle tue sedi on-premise o cloud di terze parti. Questa risorsa include informazioni su come analizzare i risultati, spiegazioni delle variabili che possono influire sul rendimento della rete e suggerimenti per la risoluzione dei problemi.

Problemi e soluzioni comuni

Il tunnel si disconnette regolarmente per alcuni secondi

Per impostazione predefinita, Cloud VPN negozia un'associazione di sicurezza (SA) sostitutiva prima della scadenza di quella esistente (noto anche come riassegnazione della chiave). Il gateway VPN peer potrebbe non eseguire il ricoinvolgimento. Potrebbe invece negoziare un nuovo SA solo dopo aver eliminato quello esistente, causando interruzioni.

Per verificare se il gateway peer esegue la ricodificazione, visualizza i log Cloud VPN. Se la connessione si interrompe e si ricollega subito dopo un messaggio di log Received SA_DELETE, il gateway on-premise non ha eseguito la reimpostazione della chiave.

Per verificare le impostazioni del tunnel, consulta il documento Cifrari IKE supportati. In particolare, assicurati che la durata della fase 2 sia corretta e che un gruppo Diffie-Hellman (DH) sia impostato su uno dei valori consigliati.

Per cercare eventi nel tunnel Cloud VPN, puoi utilizzare un filtro dei log avanzato di registrazione. Ad esempio, il seguente filtro avanzato cerca le mancate corrispondenze del gruppo DH:

resource.type="vpn_gateway"
"Peer proposal: DOES NOT HAVE DIFFIE_HELLMAN_GROUP"

Gateway on-premise dietro NAT

Cloud VPN può funzionare con gateway VPN on-premise o peer che si trovano dietro NAT. Ciò è reso possibile dall'incapsulamento UDP e da NAT-T. È supportato solo il NAT 1:1.

La connettività funziona per alcune VM, ma non per altre

Se ping, traceroute o altri metodi di invio del traffico funzionano solo da alcune VM ai sistemi on-premise o solo da alcuni sistemi on-premise ad alcune VM Google Cloud e hai verificato che sia Google Cloud sia le regole del firewall on-premise non bloccano il traffico che stai inviando, potresti avere selettori di traffico che escludono determinate origini o destinazioni.

I selettori di traffico definiscono gli intervalli di indirizzi IP per un tunnel VPN. Oltre alle route, la maggior parte delle implementazioni VPN passa i pacchetti attraverso un tunnel solo se si verificano entrambe le seguenti condizioni:

  • Le relative origini rientrano negli intervalli IP specificati nel selettore del traffico locale.
  • Le relative destinazioni rientrano negli intervalli IP specificati nel selettore del traffico da remoto.

Specifichi i selettori di traffico quando crei un tunnel VPN classica utilizzando il routing basato su criteri o una VPN basata su route. Specifichi anche i selettori di traffico quando crei il tunnel peer corrispondente.

Alcuni fornitori utilizzano termini come proxy locale, dominio di crittografia locale o rete lato sinistro come sinonimi di selettore del traffico locale. Analogamente, proxy remoto, dominio di crittografia remoto o rete lato destro sono sinonimi di selettore del traffico remoto.

Per modificare i selettori di traffico per un tunnel VPN classica, devi eliminare e ricreare il tunnel. Questi passaggi sono obbligatori perché i selettori di traffico sono parte integrante della creazione dei tunnel e i tunnel non possono essere modificati in un secondo momento.

Segui queste linee guida per definire i selettori di traffico:

  • Il selettore del traffico locale per il tunnel Cloud VPN deve coprire tutte le sottoreti della rete Virtual Private Cloud (VPC) che devi condividere con la rete peer.
  • Il selettore del traffico locale per la rete peer deve coprire tutte le subnet on-premise che devi condividere con la rete VPC.
  • Per un determinato tunnel VPN, i selettori di traffico hanno la seguente relazione:
    • Il selettore di traffico locale Cloud VPN deve corrispondere al selettore di traffico remoto per il tunnel sul gateway VPN peer.
    • Il selettore di traffico remoto Cloud VPN deve corrispondere al selettore di traffico locale per il tunnel sul gateway VPN peer.

Problemi di latenza della rete tra VM in regioni diverse

Per determinare se si verificano problemi di latenza o perdita di pacchetti, monitora le prestazioni dell'intera rete Google Cloud. Nella visualizzazione delle prestazioni di Google Cloud, Performance Dashboard mostra le metriche relative alla latenza e alla perdita di pacchetti in tutto Google Cloud. Queste metriche possono aiutarti a capire se i problemi evidenti nella visualizzazione del rendimento del progetto sono specifici del tuo progetto. Per ulteriori dettagli, consulta Utilizzare Performance Dashboard.

Impossibile connettere un gateway VPN ad alta disponibilità a un gateway VPN non ad alta disponibilità

Google Cloud non supporta la creazione di connessioni in tunnel tra un gateway VPN ad alta disponibilità e qualsiasi gateway VPN non ad alta disponibilità ospitato in Google Cloud. Questa limitazione include i gateway VPN classica e i gateway VPN di terze parti in esecuzione sulle VM Compute Engine.

Se provi a farlo, Google Cloud restituisce il seguente messaggio di errore:

  You cannot provide an interface with an IP address owned by Google Cloud.
  You can only create tunnels from an HA gateway to an HA gateway
  or create tunnels from an HA gateway to an ExternalVpnGateway.

Per evitare questo errore, crea un tunnel VPN che colleghi il gateway VPN ad alta disponibilità a uno dei seguenti elementi:

  • Un altro gateway VPN ad alta disponibilità
  • Un gateway VPN esterno non ospitato in Google Cloud
  • Istanze di macchine virtuali (VM) Compute Engine

Impossibile connettersi alla destinazione esterna tramite VPN ad alta disponibilità

Quando utilizzi un gateway VPN ad alta disponibilità, le risorse Google Cloud utilizzano il tunnel VPN per connettersi solo alle destinazioni annunciate dal router peer.

Se non riesci a connetterti a una destinazione remota, assicurati che il router peer pubblicizzi l'intervallo IP della destinazione.

Il traffico IPv6 non viene instradato

Se hai difficoltà a connetterti agli host IPv6, procedi nel seguente modo:

  1. Verifica che le route IPv4 vengano pubblicizzate correttamente. Se le route IPv4 non vengono annunciate, consulta Risolvere i problemi relativi alle route BGP e alla selezione delle route.
  2. Controlla le regole firewall per assicurarti di consentire il traffico IPv6.
  3. Verifica di non avere intervalli di subnet IPv6 sovrapposti nella rete VPC e nella rete on-premise. Vedi Verificare gli intervalli di subnet sovrapposti.
  4. Determina se hai superato quote e limiti per le route apprese nel router Cloud. Se hai superato la quota per le route apprese, i prefissi IPv6 vengono eliminati prima dei prefissi IPv4. Consulta Verifica quote e limiti.
  5. Verifica che tutti i componenti che richiedono la configurazione IPv6 siano stati configurati correttamente.
    • La rete VPC ha attivato l'utilizzo di indirizzi IPv6 interni con il flag --enable-ula-internal-ipv6.
    • La sottorete VPC è configurata per utilizzare il tipo di stack IPV4_IPV6.
    • La subnet VPC ha--ipv6-access-type impostato su INTERNAL.
    • Le VM Compute Engine nella subnet sono configurate con indirizzi IPv6.
    • Il gateway VPN ad alta disponibilità è configurato per utilizzare il tipo di stack IPV4_IPV6.
    • Il peer BGP ha attivato IPv6 e gli indirizzi IPv6 successivi corretti sono configurati per la sessione BGP.

Risoluzione dei problemi

Questa sezione include informazioni sulle icone di stato, sui messaggi di stato e sulle cypher IKE supportate.

Icone di stato

Cloud VPN utilizza le seguenti icone di stato nella console Google Cloud.

Grafica delle icone Colore Descrizione Si applica ai messaggi
Icona di operazione riuscita verde
 Verde Operazione riuscita COSTITUITA
Icona di avviso gialla
 Giallo Avviso ALLOCATING RESOURCES, FIRST HANDSHAKE, WAITING FOR FULL CONFIG, PROVISIONING
Icona di errore rossa
 Rosso Errore Tutti i messaggi rimanenti

Messaggi di stato

Per indicare gli stati del gateway e del tunnel VPN, Cloud VPN utilizza i seguenti messaggi di stato. Il tunnel VPN viene fatturato per gli stati indicati.

Messaggio Descrizione Il tunnel è stato fatturato in questo stato?
ALLOCAZIONE DELLE RISORSE Assegnazione delle risorse per configurare il tunnel. Sì
PROVISIONING In attesa di ricevere tutte le configurazioni per configurare il tunnel. No
WAITING FOR FULL CONFIG Configurazione completa ricevuta, ma non è ancora stato stabilito un tunnel. Sì
PRIMO HANDSHAKE Creazione del tunnel. Sì
COSTITUITA Viene stabilita una sessione di comunicazione sicura. Sì
ERRORE DI RETE
(sostituito da NESSUN PACCHETTO IN ENTRATA)		 Autorizzazione IPsec non valida. Sì
ERRORE DI AUTORIZZAZIONE Handshake non riuscito. Sì
NEGOTIATION FAILURE La configurazione del tunnel è stata rifiutata; può essere dovuta all'aggiunta a una lista di blocco. Sì
DEPROVISIONING Il tunnel è in fase di arresto. No
NESSUN PACCHETTO IN ARRIVO Il gateway non riceve pacchetti dalla VPN on-premise. Sì
RIFIUTATO La configurazione del tunnel è stata rifiutata. Contatta l'assistenza. Sì
INTERROTTO Il tunnel è fermo e non attivo. Può essere dovuto all'eliminazione di una o più regole di inoltro richieste per il tunnel VPN. Sì

Riferimento alla crittografia IKE

Cloud VPN supporta le crittografie e i parametri di configurazione per i dispositivi VPN peer o i servizi VPN. Cloud VPN negozia automaticamente la connessione se il lato peer utilizza un'impostazione di crittografia IKE supportata.

Per il riferimento completo alla crittografia IKE, consulta Tipi di crittografia IKE supportati.

Passaggi successivi