クライアントVPNのトラブルシューティング

MX-Zセキュリティ アプライアンス

MX-ZをクライアントVPN用に設定するには、次のリンクを参照してください。 MX-Zが別のNATデバイスまたはファイアウォールの背後にある場合は、次のUDPポートがMX-Zに転送/許可されるようにしてください。

• UDP 500（IKE） 
• UDP 4500（IPSec NAT-T）

正常な接続の確認

クライアントVPN接続がMXに正常に接続されているかどうかを調べるには、主に3つの方法があります。

• デバイスの接続ステータスを一般的なネットワーク ユーティリティを使用して確認します（これは、使用されているオペレーティング システムによって異なります）。 クライアントがクライアントVPNに接続または切断するたびに、イベントログにエントリが記録されます。これらのログは、Monitor（監視） > Event log（イベントログ）から表示できます。VPN以外のすべてのイベント カテゴリを選択解除してから、Search（検索）ボタンをクリックします。クライアントVPNログは、2つのEvent types（イベント タイプ）、つまり、VPN client connected（VPNクライアント接続）またはVPN client disconnected（VPNクライアント切断）のいずれかです。下記は、クライアントVPNへのクライアントの接続と切断を示す一連のログ メッセージの例です。

Jun 27 12:24:53 05:00:08:ab:cd:ef VPN client disconnected remote_ip: 174.X.X.X, user_id: administrator, local_ip: 192.168.100.239 
Jun 27 12:24:38 05:00:08:ab:cd:ef VPN client connected remote_ip: 174.X.X.X, user_id: administrator, local_ip: 192.168.100.239

• クライアント リストは、クライアントがクライアントVPNに現在接続しているかどうかを調べるためにも使用できます。 ダッシュボードで、Monitor（監視） > Clients（クライアント）に移動します。 +ボタンをクリックし、MAC address（MACアドレス）を選択して、列を追加します。 これで、クライアントをMACアドレスとして「N/A (Client VPN)（N/A（クライアントVPN））」でフィルタリングできます。  

Windowsエラー789

イベントログのエントリの例

Jul 2 13:53:20 VPN msg: invalid DH group 19.
Jul 2 13:53:20 VPN msg: invalid DH group 20.

クライアントのトラフィックがMXのWANインターフェースに正常に到達しない場合、この問題ではイベントログ メッセージが表示されないこともあります。

考えられる原因と解決策：

• 秘密鍵（Windowsでの事前共有鍵）が正しくない
  解決策： クライアント マシンで共有シークレットが正しく設定されていることを確認してください。MXとクライアントで一致しなければなりません。共有シークレットの設定の詳細については、ページ冒頭のリンクを参照してください。
• ファイアウォールがMXへのVPNトラフィックをブロックしている
  解決策：UDPポート500（IKE）および4500（IPsec NAT-T）がMXに転送されていて、ブロックされていないことを確認してください。これらのポートでトラフィックがMXに到達できない場合、接続はタイムアウトになって失敗します。
• IKEおよびAuthIP IPsecキーイング モジュールが無効（Windowsのみ）
  解決策：これは、ほとんどの場合、サードパーティ製VPNソフトウェアがインストールされていて、IKEEXTサービスを無効にしている場合に発生します。これを再び有効にするには、WindowsでControl Panel（コントロール パネル） > Administrative Tools（管理ツール） > Services（サービス）に移動します。「IKE and AuthIP IPsec Keying Modules」という名前のサービスを探して、開きます。Startup type（スタートアップの種類）を「Automatic（自動）」に変更します。これが自動的に「Disabled（無効）」に戻る場合や、起動しない場合は、サードパーティ製VPNソフトウェアの削除が必要な可能性があります。
  

Windowsエラー691

イベントログのエントリの例

Jul 2 14:00:40 VPN msg: not matched 
Jul 2 14:00:40 VPN msg: ISAKMP-SA established 82.35.46.78[4500]-174.45.35.220[4500] spi:b74e92b3b5360c16:ce602504804696a9

考えられる原因と解決策：

• 無効なユーザ認証情報
  解決策： ユーザ認証情報が正しいことを確認してください。Meraki認証を使用するときには、ユーザ名はメール アドレス形式でなければなりません（例：user@example.com）。ADまたはRADIUS認証を使用するときには、必要な場合はドメインも含めて（例：DOMAIN\user）、サーバーに認識される形式でユーザ名を入力してください。
• ユーザが承認されない
  解決策： Meraki認証を使用している場合は、ユーザがVPNへの接続を承認されていることを確認してください。
• ADサーバーに証明書がない
  解決策： クライアントVPNでのActive Directory認証を使用している場合は、ADサーバーにTLS用の有効な証明書があることを確認してください。
• MXのアップストリームDNSサーバーからのDNS名前解決が正しくない

        解決策： MXがISP DNSサーバーで設定されている場合、これをGoogle 8.8.8.8など、ISP以外のパブリックDNSサーバーに変更してください。

• また、このメッセージは、RADIUSサーバーとMX間で事前共有シークレットが一致しないことが原因でパスワードが正しく暗号化されないときに発生する場合があります。これをテストするには、ダッシュボードで事前共有シークレットを変更し、サーバー上のRADIUSクライアントについては、「Meraki」など、単純なものに変更します。エラーが消えた場合は、使用したシークレットが両方のデバイスで正しいことを確認し、必要な場合はパスワードを単純化してください。

Windowsエラー809

このエラーが表示された場合、トラフィックがMXのWANインターフェースに到達していないため、イベントログに関連ログはありません。

考えられる原因と解決策：

• クライアントがNATデバイスの背後にある
  解決策：最新のWindowsデバイスでは、WindowsコンピュータまたはVPNサーバーがNATの背後にあるときには、L2TP/IPsec接続がサポートされません。Windows VPNクライアントが、NATの背後にあるMXに対してVPN接続の確立を試行したときにエラー809で失敗した場合は、WindowsレジストリにDWORD値「AssumeUDPEncapsulationContextOnSendRule」を追加してください。このDWORD値により、Windowsは、VPNサーバーとWindowsベースのVPNクライアント コンピュータの両方がNATデバイスの背後にあるときに、セキュリティ アソシエーションを確立できます。
   

  Windows XPの場合：

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPSec

  RegValue：AssumeUDPEncapsulationContextOnSendRule

  種類：DWORD

  値データ：2
  ベース：10進数

• Windows Vista、7、8、10、および2008 Serverの場合：

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent 

  RegValue：AssumeUDPEncapsulationContextOnSendRule

  種類：DWORD

  値データ：2
  ベース：10進数
   

  このキーの作成後に、マシンを再起動する必要があります。詳細については、Microsoftサポートのナレッジ ベースを参照してください。

IPv6とモバイル デバイス

イベントログに「msg: unsupported ID type 5」というメッセージが記録されることがあります。 識別ペイロードの識別フィールドの値が5の場合、これは、ペイロードがIDタイプ「ID_IPV6_ADDR」を伝送していることを意味します。 Merakiは現在、IDタイプ5をサポートしていないため、これらのISAKMPメッセージについてはエラーが表示されます。このメッセージは、IPv4アドレスが直接割り当てられていないため、インターネットに到達するためにNAT64などのIPv6変換メカニズムに依存しているデバイスについて表示されます。そのようなデバイスは、現時点では、MerakiのクライアントVPNソリューションには接続できません。

デュアルNICを搭載しているクライアントへの接続

クライアントVPN接続を利用しているユーザのエンドポイントで、デュアルNICを搭載したLANエンドポイントへの接続問題が発生することがあります。多くの場合、LANエンドポイントはWANとLANの両方のNICを搭載しています。このようなデバイスに、クライアントVPN経由で接続されているエンドポイントからpingできない場合、LANエンドポイントのルートを確認してください。Windowsでは、コマンド プロンプトを開き、コマンド「route print」を入力します。macOSでは、ターミナルを開き、コマンド「netstat -nr」を入力します。WANだけではなく、LANルート用に設定されたゲートウェイがあることを確認してください。

その他の問題

Cisco Merakiデバイス上のクライアントVPNはL2TP over IPsec規格を使用します。この規格はほとんどのクライアント デバイスによって標準サポートされています。クライアントがVPN接続を確立できず、この記事で説明されていないエラー コードが表示された場合は、まず、そのエラーに関するOS固有のドキュメンテーションを確認することをお勧めします。それから、クライアントが正しく設定されていることと、UDPポート500または4500をフィルタリングしていないMXにネットワーク接続していることを確認してください。また、パケット キャプチャで、クライアントのトラフィックがMXに到達しているかを確認することも役立つ可能性があります。