このトピックでは、SSL VPN 接続とデータパスの問題を特定し、解決する方法について説明します。

問題

SSL VPN 接続とデータ パスに関連する一般的な問題は次のとおりです。
  • SSL VPN-Plus Client が SSL VPN サーバに接続できない。
  • SSL VPN-Plus Client がインストールされているが、SSL VPN-Plus サービスが実行されない。
  • ログイン ユーザー数が上限に達した。SSL VPN Web ポータルまたは SSL VPN-Plus Client に次のメッセージが表示される。

    最大ユーザー数に達しました/SSL VPN ライセンスのログイン ユーザーの最大数に達しました。しばらくしてからお試しください。またはSSL の読み取りに失敗しました。

  • SSL VPN サービスが実行されているが、データ パスが機能していない。
  • SSL VPN 接続が確立されているが、プライベート ネットワーク内のアプリケーションにアクセスできない。

解決方法

  1. SSL VPN-Plus Client が SSL VPN サーバに接続できない場合は、次の操作を行います。
    • SSL VPN ユーザーが正しいユーザー名とパスワードでログインしていることを確認します。
    • SSL VPN ユーザーが有効かどうかを確認します。
    • Web ポータルから SSL VPN サーバに SSL VPN ユーザーが 接続できるかどうかを確認します。
  2. NSX Edge で次の操作を行い、SSL VPN プロセスが実行されているかどうかを確認します。
    1. CLI から NSX Edge にログインします。Edge CLI にログインする方法については、NSX コマンド ライン インターフェイス リファレンス を参照してください。
    2. show process monitor コマンドを実行して、sslvpn プロセスを探します。
    3. show service network-connections コマンドを実行し、ポート 443 に sslvpn プロセスが表示されているかどうかを確認します。
      注： デフォルトでは、SSL トラフィックにポート 443 が使用されます。ただし、SSL トラフィックに別の TCP ポートを設定している場合は、その TCP ポート番号に sslvpn プロセスが設定されていることを確認します。
  3. SSL VPN-Plus Client で、SSL VPN-Plus サービスが実行されているかどうかを確認します。
    オペレーティング システム 説明
    Windows [タスク マネージャ]を開き、SSL VPN-Plus Client サービスが開始しているかどうかを確認します。
    Mac
    • デーモンの naclientd プロセスが開始していることを確認します。
    • GUI で naclient プロセスが開始していることを確認します。

    プロセスが実行中かどうか確認するには、ps -ef | grep "naclient" コマンドを実行します。

    Linux
    • naclientd プロセスと naclient_poll プロセスが開始していることを確認します。
    • プロセスが実行中かどうか確認するには、ps -ef | grep "naclient" コマンドを実行します。
    サービスが実行されていない場合は、次のコマンドを実行してサービスを開始します。
    オペレーティング システム コマンド
    Mac sudo launchctl load -w /Library/LaunchDaemons/com.vmware.naclientd.plist コマンドを実行します。
    Linux sudo service naclient start コマンドを実行します。
  4. SSL VPN のログイン ユーザーが最大数に達した場合は、NSX Edge フォーム ファクタを増やして、同時実行ユーザー数 (CCU) の数を増やします。
    詳細については、『 NSX 管理ガイド』を参照してください。この操作を実行すると、接続中のユーザーが VPN から切断されます。
  5. SSL VPN サービスが実行されているが、データ パスが機能していない場合は、次の操作を行います。
    1. 正常に接続した後、仮想 IP アドレスが割り当てられているかどうかを確認します。
    2. ルートが追加されているかどうかを確認します。
  6. プライベート（バックエンド）ネットワーク内のアプリケーションにアクセスできない場合は、次の操作を行って問題を解決します。
    1. プライベート ネットワークと IP アドレス プールが同じサブネットに属していないことを確認します。
    2. 管理者が IP アドレス プールを定義していない場合や、IP アドレス プールが不足している場合は、次の操作を行います。
      1. vSphere Web Client にログインします。
      2. [ネットワークとセキュリティ (Networking & Security)] をクリックし、[NSX Edge (NSX Edges)] をクリックします。
      3. NSX Edge をダブルクリックし、[SSL VPN-Plus] タブをクリックします。
      4. 『NSX 管理ガイド』の「IP アドレス プールの追加」トピックの説明に従って、固定 IP アドレス プールを追加します。[ゲートウェイ (Gateway)] テキスト ボックスに IP アドレスを追加します。na0 インターフェイスにゲートウェイの IP アドレスが割り当てられます。TCP 以外のすべてのトラフィックが na0 インターフェイスという名前の仮想アダプタを通過します。同じ na0 インターフェイスに割り当てられ、異なるゲートウェイ IP アドレスを持つ複数の IP アドレス プールを作成できます。
      5. 入力された IP アドレスを確認し、すべての IP アドレス プールが同じ na0 インターフェイスに割り当てられているかどうか確認するには、show interface na0 コマンドを使用します。
      6. クライアント マシンにログインして [SSL VPN-Plus Client - 統計 (SSL VPN-Plus Client - Statistics)] 画面に移動し、割り当てられた仮想 IP アドレスを確認します。
    3. NSX Edge コマンド ライン インターフェイス (CLI) にログインし、debug packet capture interface na0 コマンドを実行して na0 インターフェイスでパケット キャプチャを実行します。[パケット キャプチャ (Packet Capture)] ツールを使用してパケットをキャプチャすることもできます。詳細については、『NSX 管理ガイド』を参照してください。
      注： no debug packet capture interface na0 コマンドを実行してキャプチャを停止するまで、パケット キャプチャがバックグラウンドで実行されます。
    4. TCP の最適化が有効でない場合には、ファイアウォール ルールを確認します。
    5. TCP 以外のトラフィックの場合、バックエンド ネットワークのデフォルト ゲートウェイとして Edge の内部インターフェイスが設定されていることを確認します。
    6. Mac クライアントと Linux クライアントの場合、SSL VPN クライアントがインストールされているシステムにログインし、tcpdump -i tap0 -s 1500 -w filepath コマンドを実行して tap0 インターフェイスまたは仮想アダプタでパケット キャプチャを実行します。Windows クライアントで、Wireshark などのパケット解析ツールを使用し、SSL VPN-Plus Client アダプタでパケットをキャプチャします。
  7. 上記のすべて手順を試しても問題が解決しない場合は、次の NSX Edge CLI コマンドを使用して、さらにトラブルシューティングを行います。
    目的 コマンド
    SSL VPN のステータスを確認します。 show service sslvpn-plus
    SSL VPN 統計情報を確認します。 show service sslvpn-plus stats
    接続されている VPN クライアントを確認します。 show service sslvpn-plus tunnels
    SSL VPN-Plus セッションを確認します。 show service sslvpn-plus sessions