诊断VPN网关实例_VPN网关(VPN)-阿里云帮助中心

VPN网关接入网络智能服务NIS（Network Intelligence Service），支持诊断VPN网关实例并能根据诊断出的异常项提供修复建议。您可以使用该功能排查使用SSL-VPN过程中遇到的问题，例如SSL-VPN连接协商问题、VPN网关实例状态问题等。诊断VPN网关实例的过程不会影响您的业务。

VPN网关诊断项说明

下表为您介绍VPN网关实例支持的诊断项。

诊断项分类	诊断项	诊断项说明
配置诊断	实例配置检查	检查VPN网关实例是否处于配置状态。如果VPN网关实例处于配置状态，请等待VPN网关实例变为正常状态后再操作。
	版本检查	检查VPN网关实例的版本是否为最新版本。建议您将VPN网关版本自助升级至最新版以体验更多功能。具体操作，请参见升级VPN网关。
	VPN隧道配置完整性检查	检查VPN网关实例下SSL-VPN连接是否已经完成SSL服务端的配置。如果系统检测到VPN网关实例缺少配置，请您根据网络互通需求添加相关配置，配置SSL服务端，请参见创建和管理SSL服务端。
	SSL虚连接检查	检查VPN网关实例下是否存在不可靠的SSL-VPN连接。 SSL服务端使用UDP协议存在不可靠连接占用连接数的情况，建议修改SSL服务端协议为TCP，使用TCP协议可以规避该问题，且TCP协议可靠性更好。具体操作，请参见修改SSL服务端。
	VPC内网段冲突检查	检查SSL服务端配置的本端网段和客户端网段是否与VPC下交换机的网段冲突。如果系统检测到网段冲突，建议修改SSL服务端的网段配置。具体操作，请参见修改SSL服务端。
	网段不足检查	检查SSL服务端配置的客户端网段包含的IP地址数量是否可以满足SSL-VPN连接数的需求。如果系统检测到客户端网段IP地址不足，请修改客户端网段。具体操作，请参见修改SSL服务端。需确保您指定的客户端网段所包含的IP地址个数是SSL-VPN连接数的4倍及以上。例如：您指定的客户端网段为192.168.0.0/24，系统在为客户端分配IP地址时，会先从192.168.0.0/24网段中划分出一个子网掩码为30的子网段，例如192.168.0.4/30，然后从192.168.0.4/30中分配一个IP地址供客户端使用，剩余三个IP地址会被系统占用以保证网络通信，此时一个客户端会耗费4个IP地址。因此，为保证您的客户端均能分配到IP地址，请确保您指定的客户端网段所包含的IP地址个数是SSL-VPN连接数的4倍及以上。
	公网地址冲突检查	检查SSL服务端的客户端网段配置为公网网段时，该公网网段是否被指定为VPC的用户网段。如果系统检测到SSL服务端的客户端网段为公网网段时，您需要将该公网网段设置为VPC的用户网段。关于用户网段的更多信息，请参见什么是用户网段？和如何配置用户网段？。
容量超限诊断	VPN网关带宽使用率检查	检查VPN网关实例的带宽利用率是否已达VPN网关实例带宽规格的80%。如果VPN网关实例的带宽利用率已达VPN网关实例带宽规格的80%，您可以根据实际网络需求提升VPN网关实例带宽规格。具体操作，请参见变配VPN网关实例。
容量超限诊断	VPN连接数检查	检查VPN网关实例下的SSL-VPN连接数是否已达VPN网关实例SSL-VPN连接数规格的80%。如果VPN网关实例下的SSL-VPN连接数已达VPN网关实例SSL-VPN连接数规格的80%，您可以根据实际网络需求提升VPN网关实例SSL-VPN连接数规格。具体操作，请参见修改SSL并发连接数。
证书诊断	SSL客户端证书过期检查	检查SSL客户端证书是否已过期。 SSL客户端证书默认有效期为3年。如果系统检测到SSL客户端证书已到期，请删除当前SSL客户端证书，然后新建SSL客户端证书并安装在客户端中。相关文档，请参见创建和管理SSL客户端证书和配置客户端。
证书诊断	SSL客户端证书预过期检查	检查SSL客户端证书是否将在60天内过期。如果系统检测到SSL客户端证书即将到期，建议删除当前SSL客户端证书，然后新建SSL客户端证书并安装在客户端中，以免SSL客户端证书到期影响您的使用。相关文档，请参见创建和管理SSL客户端证书和配置客户端。
费用诊断	欠费状态告警	检查VPN网关实例是否处于欠费状态。如果系统检测到VPN网关实例处于欠费状态，请及时续费充值。具体操作，请参见如何充值和续费VPN网关实例。
费用诊断	欠费到期预警	检查VPN网关实例是否将在7天内到期。如果系统检测到VPN网关实例将在7天内到期，请及时为VPN网关实例续费。具体操作，请参见续费VPN网关实例。

发起诊断

登录VPN网关管理控制台。
在顶部菜单栏，选择VPN网关实例所属的地域。
在VPN网关页面，找到目标VPN网关实例，在诊断列单击发起诊断 > 实例诊断。

在实例健康诊断面板，查看诊断详情。

说明

如果您之前未开通过网络智能服务，请选中网络智能服务标准版服务协议，然后单击免费开通，发起诊断。
RAM用户（子账号）开通网络智能服务时如果系统提示没有权限，请使用阿里云账号（主账号）为RAM用户授予AliyunNISFullAccess权限。具体操作，请参见为RAM用户授权。
首次诊断时，系统会自动为您创建一个服务关联角色（AliyunServiceRoleForNis）以完成相应的功能。关于AliyunServiceRoleForNis的更多信息，请参见服务关联角色。

发起诊断

序号	说明
①	异常诊断项将会直接在该面板中显示出来，您可以直接查看异常诊断项说明、关联的资源以及处理建议。
②	在诊断项详情区域，选中显示全部诊断项，您可以查看当前VPN网关实例被检测的全部诊断项信息。
③	在实例健康诊断面板上方，单击前往NIS查看历史诊断，即可跳转至网络智能服务控制台的概览页面，查看当前VPN网关实例的历史诊断报告。更多信息，请参见概览。

VPN网关实例诊断示例

实例诊断-SSL-VPN

对于客户端通过SSL-VPN连接访问阿里云VPC资源的场景，在遇到客户端连接失败等问题的情况下，您可以通过诊断VPN网关实例检测SSL-VPN连接的配置来帮助您排查问题。

对VPN网关实例发起诊断。具体操作，请参见发起诊断。
在实例健康诊断面板查看诊断结果，并根据诊断结果排查问题。
如上图所示，系统诊断出SSL服务端使用UDP协议建立SSL-VPN连接，可能会存在不可靠连接占用连接数的情况导致客户端连接失败，您可以根据诊断建议修改SSL服务端的协议为TCP以避免该问题。
修改配置后，对VPN网关实例再次发起诊断，确保VPN网关实例下已不存在问题。
如果您的VPN网关实例下不存在问题，但是在使用SSL-VPN连接过程仍遇到问题（例如客户端和VPC之间流量不通），您可以通过SSL-VPN连接日志以及SSL-VPN连接常见问题文档自助排查问题。更多信息，请参见自主排查SSL-VPN连接问题和SSL-VPN连接常见问题。