トラブルシューティング

このトラブルシューティングガイドは、Cloud VPN に関する一般的な問題のモニタリングと解決に役立ちます。

それぞれのステータスメッセージと IKE 暗号のリファレンスが示す意味については、リファレンスセクションをご覧ください。

ロギングとモニタリングの情報を確認するには、ログと指標の表示をご覧ください。

このページで使用する用語の定義については、Cloud VPN の主な用語をご覧ください。

エラーメッセージ

エラーメッセージを確認するには:

Google Cloud Console で、[VPN] ページに移動します。

[VPN] に移動
ステータスアイコンが表示されている場合は、アイコンにカーソルを合わせると、エラーメッセージを確認できます。

注: アイコンのステータスやメッセージのステータスの変化（First Handshake から Established など）を確認するには、ブラウザを更新します。

多くの場合、エラーメッセージは問題の特定に役立ちます。問題を特定できない場合は、ログで詳細を確認してください。Google Cloud コンソールの [トンネルの詳細] ページで詳細なステータス情報を確認できます。

VPN ログ

Cloud VPN ログは Cloud Logging に保存されます。ロギングは自動的に行われるため、有効にする必要はありません。

接続のピアゲートウェイ側のログの表示については、プロダクトのドキュメントをご覧ください。

多くの場合、ゲートウェイは正しく構成されますが、ホストとゲートウェイ間のピアネットワークに問題があるか、ピアゲートウェイと Cloud VPN ゲートウェイ間のネットワークに問題があります。

ログを確認する手順は次のとおりです。

Google Cloud コンソールで、[ログエクスプローラ] ページに移動します。

[ログエクスプローラ] に移動
ログでは次の情報を確認します。
1. Cloud VPN ゲートウェイに構成されているリモートピア IP アドレスが正しいことを確認します。
2. オンプレミスホストからのトラフィックがピアゲートウェイに到達していることを確認します。
3. 2 つの VPN ゲートウェイ間で双方向のトラフィックが適切に送信されていることを確認します。VPN のログで、相手側の VPN ゲートウェイからの受信メッセージが記録されていることを確認します。
4. 構成されている IKE のバージョンが、トンネルの両側で同じであることを確認します。
5. 共有シークレットがトンネルの両側で同じであることを確認します。
6. ピア VPN ゲートウェイが 1 対 1 の NAT の背後に置かれている場合、UDP トラフィックがピア VPN ゲートウェイのポート 500 と 4500 に転送されるように NAT デバイスを適切に構成されていることを確認します。
7. VPN ログに no-proposal-chosen エラーが表示される場合、Cloud VPN とピア VPN ゲートウェイの暗号セットが一致していなかったことを示します。IKEv1 では、暗号セットは正確に一致していなければなりません。IKEv2 では、各ゲートウェイによって少なくとも 1 つの共通の暗号が提示される必要があります。必ずサポートされている暗号を使用してピア VPN ゲートウェイを構成してください。
8. トラフィックがトンネルを通過できるように、ピアおよび Google Cloud ルートとファイアウォールルールが構成されていることを確認します。必要に応じてネットワーク管理者に相談してください。

特定の問題を確認するには、次のような文字列をログで検索します。

[クエリビルダー] ペインに、次の表に示す高度なクエリのいずれかを入力して、特定のイベントを検索し、[クエリを実行] をクリックします。

必要に応じて [ヒストグラム] ペインで期間を調整し、そのペインで [実行] をクリックします。クエリにログエクスプローラを使用する方法の詳細については、ログクエリの作成をご覧ください。

表示するアイテム	Logging での検索
Cloud VPN がフェーズ 1（IKE SA）を開始	resource.type="vpn_gateway" ("initiating IKE_SA" OR "generating IKE_SA_INIT request")
Cloud VPN がリモートピアに接続できない	resource.type="vpn_gateway" "establishing IKE_SA failed, peer not responding"
IKE（フェーズ 1）認証イベント	resource.type="vpn_gateway" ("generating IKE_AUTH request" OR "parsed IKE_AUTH response")
IKE 認証の成功	resource.type="vpn_gateway" ("authentication of" AND "with pre-shared key successful")
フェーズ 1（IKE SA）の確立	resource.type="vpn_gateway" ("IKE_SA" AND "established between")
すべてのフェーズ 2（子 SA）イベント（鍵交換イベントを含む）	resource.type="vpn_gateway" "CHILD_SA"
ピアがフェーズ 2 の鍵交換を要求	resource.type="vpn_gateway" detected rekeying of CHILD_SA
ピアがフェーズ 2（子 SA）の終了を要求	resource.type="vpn_gateway" received DELETE for ESP CHILD_SA
Cloud VPN がフェーズ 2（子 SA）の終了を要求	resource.type="vpn_gateway" sending DELETE for ESP CHILD_SA
Cloud VPN がフェーズ 2（子 SA）を終了（ピアに対するレスポンスなどで）	resource.type="vpn_gateway" closing CHILD_SA
Cloud VPN がフェーズ 2 を終了	resource.type="vpn_gateway" CHILD_SA closed
リモートのトラフィックセレクタが一致しない	resource.type="vpn_gateway" Remote traffic selectors narrowed
ローカルのトラフィックセレクタが一致しない	resource.type="vpn_gateway" Local traffic selectors narrowed

接続

ping を使用してオンプレミスシステムと Google Cloud 仮想マシン（VM）インスタンス間の接続を確認する場合は、次の点を考慮してください。

Google Cloud ネットワークのファイアウォールルールで ICMP トラフィックの受信が許可されていることを確認します。暗黙の下り（外向き）許可ルールでは、このルールがオーバーライドされていない限り、ご使用のネットワークからの送信 ICMP トラフィックが許可されます。同様に、オンプレミスのファイアウォールルールも、受信と送信の ICMP トラフィックを許可するように構成されていることを確認します。
内部 IP アドレスを使用して、Google Cloud VM とオンプレミスシステムに ping を実行します。VPN ゲートウェイの外部 IP アドレスの ping では、トンネルを通過する接続はテストされません。
オンプレミスから Google Cloud への接続をテストする場合は、VPN ゲートウェイではなくネットワーク上のシステムから ping を開始することをおすすめします。適切なソースインターフェースが設定されていればゲートウェイからの ping も可能ですが、ご使用のネットワーク上のインスタンスから ping を行うと、ファイアウォール構成をテストできるという利点があります。
Ping テストでは、TCP ポートや UDP ポートが開いているかどうかは検証されません。システムの基本的な接続が確立されたら、ping を使用して追加のテストを実行できます。

ネットワークスループットを計算する

Google Cloud 内およびオンプレミスまたはサードパーティのクラウドロケーションへのネットワークスループットの計算ができます。このリソースには、結果の分析方法、ネットワークパフォーマンスに影響する変数についての説明、トラブルシューティングのヒントなどが記載されています。

一般的な問題と解決策

トンネルが定期的に数秒間停止する

デフォルトでは、Cloud VPN では既存のセキュリティアソシエーション（SA）が期限切れになる前に交換用の SA がネゴシエートされます（鍵交換とも言います）。ピア VPN ゲートウェイでは鍵交換が行われない場合があります。その場合、既存の SA の削除後に初めて新しい SA がネゴシエートされるため、中断が発生します。

ピアゲートウェイで鍵交換が行われたかどうかを確認するには、Cloud VPN のログを表示します。接続が切断され、Received SA_DELETE ログメッセージの直後に再確立された場合、オンプレミスゲートウェイでは鍵交換は行われていません。

トンネルの設定を確認するには、サポートされている IKE の暗号のドキュメントをご覧ください。特に、フェーズ 2 のライフタイムが正しいことと、Diffie-Hellman（DH）グループが推奨値のいずれかに設定されていることを確認してください。

Cloud VPN トンネル内のイベントを検索するには、Logging 高度なログフィルタを使用します。たとえば、次のような高度なフィルタでは、DH グループの不一致が検索されます。

resource.type="vpn_gateway"
"Peer proposal: DOES NOT HAVE DIFFIE_HELLMAN_GROUP"

オンプレミスゲートウェイが NAT の背後にある場合

Cloud VPN は NAT の背後にあるオンプレミス（ピア）VPN ゲートウェイに対応できます。これを可能にするのが UDP のカプセル化と NAT-T です。この場合、サポートされるのは 1 対 1 の NAT のみです。

接続が機能する VM と機能しない VM がある

ping や traceroute などのトラフィック送信方法が、特定の VM からオンプレミスシステムに送信するときや、特定のオンプレミスシステムから特定の Google Cloud VM に送信するときにだけ機能する場合、送信するトラフィックが Google Cloud とオンプレミスのどちらのファイアウォールルールでもブロックされていないことが確認されていれば、トラフィックセレクタによって特定の送信元または送信先が除外されている可能性があります。

トラフィックセレクタは VPN トンネルの IP アドレスの範囲を定義します。実装されているほとんどの VPN では、ルートが決められるだけでなく、次の両方の条件を満たす場合にのみ、パケットがトンネルを通って渡されます。

パケットの送信元が、ローカルトラフィックセレクタで指定された IP 範囲に入っている。
パケットの送信先が、リモートトラフィックセレクタで指定された IP 範囲に入っている。

トラフィックセレクタは、ポリシーベースのルーティングまたはルートベースの VPN を使用して Classic VPN トンネルを作成するときに指定します。また、対応するオンプレミストンネルの作成時にも指定します。

ベンダーによっては、ローカルトラフィックセレクタの類義語として、ローカルプロキシ、ローカル暗号化ドメイン、左側のネットワークなどを使用する場合があります。同様に、リモートトラフィックセレクタの類義語には、リモートプロキシ、リモート暗号化ドメイン、右側のネットワークがあります。

Classic VPN トンネルのトラフィックセレクタを変更するには、トンネルを削除して、再作成する必要があります。これらの操作が必要なのは、トラフィックセレクタがトンネルの作成処理に組み込まれていて、トンネルを後から編集できないためです。

トラフィックセレクタを定義する場合は、次のガイドラインを参考にしてください。

ピアネットワークと共有する Virtual Private Cloud（VPC）ネットワーク内のすべてのサブネットを、Cloud VPN トンネルのローカルトラフィックセレクタの対象に含める必要があります。
VPC ネットワークと共有するすべてのオンプレミスサブネットを、ピアネットワークのローカルトラフィックセレクタの対象に含める必要があります。
各 VPN トンネルでは、トラフィックセレクタに次の関係が存在します。
- Cloud VPN ローカルトラフィックセレクタは、ピア VPN ゲートウェイのトンネルのリモートトラフィックセレクタと一致する必要があります。
- Cloud VPN リモートトラフィックセレクタは、ピア VPN ゲートウェイ上のトンネルのローカルトラフィックセレクタと一致する必要があります。

重要: 静的ルーティングを使用する Classic VPN の場合、IKEv1 はトラフィックセレクタごとに単一の IP 範囲（CIDR ブロック）をサポートします。Classic VPN では、IKEv2 の場合にトラフィックセレクタで複数の CIDR ブロックを使用できますが、すべての CIDR ブロックにそれぞれ 1 つの子 SA が使用されます。ピア VPN ゲートウェイで、IKEv2 の場合に 1 つの子 SA で複数の CIDR を使用できるかどうかを判別するには、そのピア VPN ゲートウェイのドキュメントをご覧ください。複数の IP 範囲とトラフィックセレクタの詳細については、ネットワークとトンネルルーティングのページにあるポリシーベースのトンネルとトラフィックセレクタをご覧ください。

リージョンが異なる VM 間のネットワークレイテンシの問題

レイテンシやパケットロスの問題を確認するには、Google Cloud ネットワーク全体のパフォーマンスをモニタリングします。Google Cloud のパフォーマンスビューでは、パフォーマンスダッシュボードに Google Cloud 全体のパケットロスとレイテンシの指標が表示されます。これらの指標からは、プロジェクトパフォーマンスビューの問題がプロジェクトに固有のものかどうか確認できます。詳細については、パフォーマンスダッシュボードの使用をご覧ください。

HA VPN ゲートウェイを非 HA VPN ゲートウェイに接続できない

Google Cloud は、HA VPN ゲートウェイと Google Cloud でホストされている非 HA VPN ゲートウェイ間のトンネル接続の作成をサポートしていません。この制限には、Classic VPN ゲートウェイと Compute Engine VM で実行されるサードパーティ VPN ゲートウェイが含まれます。

これを行うと、Google Cloud から次のようなエラーメッセージが返されます。

  You cannot provide an interface with an IP address owned by Google Cloud.
  You can only create tunnels from an HA gateway to an HA gateway
  or create tunnels from an HA gateway to an ExternalVpnGateway.

このエラーを回避するには、HA VPN ゲートウェイを次のいずれかに接続する VPN トンネルを作成します。

別の HA VPN ゲートウェイ
Google Cloud でホストされていない外部 VPN ゲートウェイ

HA VPN 経由で外部の宛先に接続できない

HA VPN ゲートウェイを使用する場合、Google Cloud リソースは VPN トンネルを使用して、ピアルーターからアドバタイズされた宛先にのみ接続します。

リモート宛先に接続できない場合は、宛先の IP 範囲をピアルーターがアドバタイズしていることを確認してください。

IPv6 トラフィックがルーティングされない

IPv6 ホストに接続する際に問題が発生した場合は、次のようにします。

IPv4 ルートが正しくアドバタイズされていることを確認します。IPv4 ルートがアドバタイズされていない場合は、BGP ルートとルート選択のトラブルシューティングをご覧ください。
ファイアウォールルールを調べて、IPv6 トラフィックを許可していることを確認します。
VPC ネットワークとオンプレミスネットワークで IPv6 サブネット範囲が重複していないことを確認します。重複するサブネットの範囲を確認するをご覧ください。
Cloud Router で学習したルートの割り当てや上限を超過していないかどうかを判断します。学習したルートの割り当てを超過すると、IPv4 接頭辞の前に IPv6 接頭辞がドロップされます。割り当てと上限を確認するをご覧ください。
IPv6 構成を必要とするすべてのコンポーネントが正しく構成されていることを確認します。
- VPC ネットワークで、--enable-ula-internal-ipv6 フラグを指定した内部 IPv6 アドレスの使用が有効になっている。
- VPC サブネットが、IPV4_IPV6 スタックタイプを使用するように構成されている。
- VPC サブネットの --ipv6-access-type が INTERNAL に設定されている。
- サブネット上の Compute Engine VM が IPv6 アドレスで構成されている。
- HA VPN ゲートウェイが、IPV4_IPV6 スタックタイプを使用するように構成されている。
- BGP ピアで IPv6 が有効であり、BGP セッションに正しい IPv6 ネクストホップアドレスが構成されている。
  - Cloud Router のステータスとルートを表示するには、Cloud Router のステータスとルートの表示をご覧ください。
  - BGP セッション構成を表示するには、BGP セッション構成の表示をご覧ください。