拠点間 IPsec VPN がつながらないときの切り分け手順（FortiGate を例に）と、その先の現場の困りごと
拠点間 VPN の障害は、「つながらない」の一言で連絡が来て、原因が設定・回線・相手側のどこにあるかが分からない、という形で始まります。この記事では、IPsec VPN を順番に切り分ける手順を、FortiGate を例にまとめます。
症状
拠点 A と拠点 B の間で、IPsec トンネルが張れない、または張れても通信できません。
切り分けの順番
1. トンネルが張れているかを見る
FortiGate なら、diagnose vpn tunnel list で、トンネルの状態を確認します。Phase 1（IKE）と Phase 2（IPsec SA）のどちらで止まっているかを、最初に見ます。
2. Phase 1 で止まっている場合
多くは、両端のパラメータの不一致です。
- 暗号化・認証・DH グループが、両端で一致しているか
- 事前共有鍵が一致しているか（コピー時の空白や改行の混入に注意）
- 片側が NAT の内側にあるとき、NAT-T（UDP 4500）が通るか
- 回線側のフィルタで、UDP 500 / 4500 と ESP が止められていないか
詳細は、IKE のデバッグログで、どの段階で相手が応答しないかを見ます。
diagnose debug application ike -1
diagnose debug enable
diagnose debug enable を実行しないと、出力が画面に出ません。2つはセットです。調べ終わったら、必ず止めます。
diagnose debug disable
diagnose debug reset
デバッグを出したままにすると、CPU の負荷が上がります。通信量の多い機器では、短時間で止めてください。
3. Phase 2 で止まっている場合
- 両端の「対象のサブネット（セレクタ）」が、鏡写しになっているか
- 両拠点のアドレス帯が重複していないか（192.168.1.0/24 同士が典型）
4. 張れているのに、通信が遅い・一部だけ通らない
- MTU / MSS の問題が多い。大きなパケットだけ落ちるときは、TCP MSS の調整（MSS clamp）を入れる
- ルーティングとファイアウォールポリシーが、トンネルのインターフェースを許可しているか
切り分けを楽にする運用
- 設定は、変更前に必ず退避する
- トンネルの状態を監視して、切断を先に検知する
- 両端のパラメータを、1枚の表に残す
それでも、現場の電話は減らない
VPN や仮想デスクトップを整えても、現場からの問い合わせは別の形で続きます。
- 「明日の会議室は空いていますか」
- 「社用車の鍵は、誰が持っていますか」
- 「有給は、あと何日残っていますか」
これは、ネットワークの障害ではなく、予約や残日数の確認が、口頭・紙・チャットの流れに乗っていることが原因です。
補足：予約と有給の確認は、1つの画面に寄せる
こうした確認業務は、インフラとは別の道具に任せると、情シスへの電話が減ります。
KASANERU は、会議室・社用車の予約を1日の表で管理して、重複した予約を防ぎます。有給の残り日数や、年5日の取得状況も、画面で確認できます。
30日間、無料で試せます。
コメント