* [一个SSL服务端最多可同时创建多少个SSL客户端证书？](#p9L5uEmH) * [SSL客户端证书有效期是多久？](#70cSz3oV) * [SSL客户端证书过期该如何处理？](#XtYVC0va) * [删除SSL客户端证书，对已下载的证书会有什么影响？](#SSLY7WKo) * [如何查看SSL客户端证书的到期时间？](#3522FVgF) * [一个SSL客户端证书只能给一个客户端设备使用么？](#2xHxSRU6) * [创建SSL服务端时，本端网段有什么限制？](#RDSiNTiO) * [创建SSL服务端时，SSL客户端网段有什么限制？](#FvkV72uc) * [不同客户端能否使用同一个客户端IP进行SSL连接？](#0iKtT1My) * [如何通过查看SSL VPN连接服务端日志定位常见错误？](#Hk1WXWBa) ## 一个SSL服务端最多可同时创建多少个SSL客户端证书？当前一个SSL服务端最多可同时创建200个SSL客户端证书。 ## SSL客户端证书有效期是多久？ SSL客户端证书的默认有效期为3年。 ## SSL客户端证书过期该如何处理？ SSL客户端证书过期，需要先删除当前现有SSL客户端证书及全部相关配置，然后在SSL客户端控制台重新下载SSL客户端证书，具体操作请参见[下载SSL客户端证书](https://www.volcengine.com/docs/6455/1108617?LibVersion=3.26.0)。 ## 删除SSL客户端证书，对已下载的证书会有什么影响？在SSL VPN连接中，删除SSL客户端证书后，已下载的SSL客户端证书立即失效，无法再使用该证书建立SSL VPN连接。 ## 如何查看SSL客户端证书的到期时间？您可在SSL客户端控制台查看SSL客户端证书的到期时间。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_9f7e784cfcbb542aab6285832c762c2e.png =552x) ## 一个SSL客户端证书只能给一个客户端设备使用么？一个SSL客户端证书可以给多个客户端使用。 ## 创建SSL服务端时，本端网段有什么限制？在SSL VPN连接中，本端网段是客户端通过SSL VPN连接访问的地址段，可以是VPC子网网段、通过专线连接与VPC互通的本地IDC网段、云服务网段（对象存储、云数据库）等多种网段。本端网段有如下限制： * 本端网段掩码推荐：`/8`～`/32`。 * 本端网段不可与客户端网段冲突。 :::tip 每个SSL服务端最多可添加 **5** 个本端网段。 ::: ## 创建SSL服务端时，SSL客户端网段有什么限制？在SSL VPN中，客户端网段是SSL服务端分配给客户端设备进行通信的网段，而不是客户端设备的本地网段。当客户端通过SSL VPN连接访问时，VPN网关会从指定的客户端网段中分配一个IP地址给客户端使用。客户端网段有如下限制： * 客户端网段掩码限制：`/16`～`/28`。 * 客户端网段不可与本端网段冲突。 * 客户端网段与VPN网关路由不允许相同。 * 客户端网段不可与VPN网关的默认路由表中的路由条目冲突。 * 客户端网段不可与`100.64.0.0/10`、`169.254.0.0/16`、`127.0.0.0/8`、`224.0.0.0/4`、`240.0.0.0/4`网段重叠。 :::tip 此处重叠指客户端网段既不包含上述网段，也不属于上述网段。 ::: * 客户端网段掩码下的可用IP数量大于创建VPN网关时选择的SSL连接数的4倍。如：SSL连接数为10，则客户端网段可用IP数量需大于40。 ## 不同客户端能否使用同一个客户端IP进行SSL连接？不同SSL客户端证书可在**不同时间段**使用同一个客户端IP发起连接，不可在**同一时间段**使用同一个客户端IP发起连接。 ## 如何通过查看SSL VPN连接服务端日志定位常见错误？当您[开启](https://www.volcengine.com/docs/6455/176019#.5q2l6aqk5LqM77ya5byA5ZCvSVBzZWPov57mjqXml6Xlv5c=)VPN连接日志服务后，您可以在控制台中查看SSL VPN连接的日志信息，请对照下表匹配日志关键字查看对应的排查方法。 |**日志关键字** |**错误原因** |**排查办法** | |---|---|---| |* Connection reset, restarting [\-1]SIGUSR1[soft,connection\-reset] received, client\-instance restarting|客户端主动或自动重新连接 |* 请排查客户端在日志显示的时间节点是否有重启或重新连接。|\ |* TCP/UDP: Closing socket | |* 请排查SSL客户端证书的有效性。如果证书过期，请[删除](https://www.volcengine.com/docs/6455/1108618)现有的SSL客户端证书及所有配置，然后[重新下载、安装SSL客户端证书](https://www.volcengine.com/docs/6455/1108617)。|\ | | |* 请排查客户端使用的时间。客户端与SSL服务端的时间偏差不能超10分钟，建议调整客户端的时间与标准时间一致。 | |* OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed|SSL校验不通过或者客户端的时间与服务器的时间相差太大 |^^|\ |* TLS_ERROR: BIO read tls_read_plaintext error| | |\ |* TLS Error: TLS object \-\> incoming plaintext read error| | |\ |* TLS Error: TLS handshake failed | | | |VERIFY ERROR: certificate has expired |证书过期 |请排查SSL客户端证书的有效性。如果证书过期，请[删除](https://www.volcengine.com/docs/6455/1108618)现有的SSL客户端证书及所有配置，然后[重新下载、安装SSL客户端证书](https://www.volcengine.com/docs/6455/1108617)。 | |No server certificate verification method has been enabled |SSL证书校验不通过 |^^| |* Options error: \-\-ca fails with 'ca.crt': No such file or directory (errno=2)|证书配置错误 |^^|\ |* Options error: \-\-cert fails with 'vsc\-\*\*\*\*.crt': No such file or directory (errno=2)| | |\ |* WARNING: cannot stat file 'vsc\-\*\*\*\*.key': No such file or directory (errno=2)| | |\ |* Options error: \-\-key fails with 'vsc\-\*\*\*\*.key'| | |\ |* Options error: Please correct these errors. | | | |Authenticate/Decrypt packet error: cipher final failed |SSL服务端与客户端加密算法配置不一致 |请确认客户端安装的SSL客户端证书的加密算法是否与SSL服务端的加密算法一致。如果不一致，请删除现有的SSL客户端证书及所有配置，然后[重新下载、安装SSL客户端证书](https://www.volcengine.com/docs/6455/1108617)。|\ | | |:::tip|\ | | ||\ | | |* SSL客户端证书的加密算法为**config.ovpn**文件`cipher`字段对应的值。|\ | | |* 您可以在[SSL服务端控制台](https://console.volcengine.com/vpn/sslServer)，单击目标SSL服务端实例名称，在SSL服务端实例详情页面，查看SSL服务端的加密算法。|\ | | ||\ | | |:::| |* There are no TAP\-Windows adapters on this system. You should be able to create a TAP|客户端缺失TAP虚拟以太网适配器，需重新创建 |1. 请确认您在安装OpenVPN软件时是否已选中**TAP Virtual Ethernet Adapter**选项。如果未选中该选项，您可以手动创建虚拟以太网适配器或者重新安装OpenVPN软件。|\ |* CreateFile failed on TAP device| |2. 如果已在安装OpenVPN软件时选中**TAP Virtual Ethernet Adapter**，请退出OpenVPN软件，尝试以管理员权限再次运行。 |\ |* All TAP\-Win32 adapters on this system are currently in use | | | |* network is unreachable|网络不可达，网络互通有问题 |1. 请在客户端中使用`ping`或`mtr`命令访问VPN网关的公网IP地址以检测网络连接质量情况。|\ |* TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)| | * 如果探测到公网线路质量不佳（延时高或丢包率高等）可联系运营商协助进行故障排查。|\ |* TLS Error: TLS handshake failed | | * 如果探测到可以正常连通，请执行步骤2。|\ | | |2. 请确认在SSL服务端的[日志信息](https://www.volcengine.com/docs/6455/176019)中是否可以查询到客户端的连接信息。|\ | | | * 如果未能查询到客户端的连接信息，请尝试修改SSL服务端使用的**端口**，然后[重新下载SSL客户端证书并安装到客户端](https://www.volcengine.com/docs/6455/1108617)。|\ | | | * 如果能查询到客户端的连接信息，请执行步骤3。|\ | | |3. 请确认SSL服务端的协议是否为**TCP**（可靠性更高）。|\ | | | * 服务端协议不为TCP：请将SSL服务端的协议修改为TCP。您可以在[SSL服务端控制台](https://console.volcengine.com/vpn/sslServer)，单击目标SSL服务端实例名称，在SSL服务端实例详情页面，查看SSL服务端的协议类型。|\ | | | * 服务端协议为TCP：尝试重启客户端或者在客户端上重新安装VPN软件。如果您的客户端上存在多个VPN软件，建议仅使用一个VPN软件建立SSL VPN连接。|\ | | | :::tip|\ | | | 在长距离跨域访问场景中，如果您将SSL服务端的协议修改为**TCP**后仍出现本问题，建议您通过公网加速类产品解决。|\ | | ||\ | | | :::| |* MANAGEMENT: \>STATE:1676379239,TCP_CONNECT,,,,,,|客户端与SSL服务端的协议类型或端口号不一致 |请尝试修改SSL服务端使用的**协议**和**端口**，然后[重新下载、安装SSL客户端证书](https://www.volcengine.com/docs/6455/1108617)。 |\ |* TCP: connect to [AF_INET]\*.\*.\*.\*:1194 failed: Unknown error | | | |MANAGEMENT: \>STATE:1676370715,WAIT,,,,, |SSL客户端连接数已达规格上限 |在VPN网关实例下查看已连接的客户端数量，确认客户端数量是否超限。|\ | | ||\ | | |* 如果客户端数量超限，您可以提升SSL服务端的连接数规格；或者将部分客户端暂时断开连接释放资源。|\ | | | > 客户端断开连接后，请您等待约5分钟，系统将自动释放资源配额。 |\ | | | |\ | | |* 如果客户端数量未超限，请您修改SSL服务端使用的**协议**为**TCP**，然后[重新下载、安装SSL客户端证书](https://www.volcengine.com/docs/6455/1108617)。 | |* Data Channel Offload doesn't support DATA_V1 packets|客户端使用的VPN软件版本与火山引擎SSL服务端不兼容 |请在客户端中安装VPN网关产品推荐使用的VPN软件。更多信息，请参见[配置客户端](https://www.volcengine.com/docs/6455/1107983)。 |\ |* Upgrade your server to suggesting an upgrade to the server version | | | |* TLS error: The server has no TLS ciphersuites in common with the client. Your \-\-tls\-cipher setting might be too restrictive.|SSL服务端没有与客户端相同的TLS密码套件，无相同加密算法可用 |^^|\ |* OpenSSL: error:1408A0C1:SSL routines:ssl3_get_client_hello:no shared cipher | | |