VPN網關產品已接入網絡智能服務NIS（Network Intelligence Service），支持診斷VPN網關實例并能根據診斷出的異常項提供修復建議。您可以使用該功能排查使用VPN網關實例過程中遇到的問題，例如IPsec-VPN連接協商問題、VPN網關路由配置問題、VPN網關實例狀態問題等。診斷VPN網關實例的過程不會影響您的業務。
VPN網關實例診斷項說明
下表為您介紹VPN網關實例支持的診斷項。
診斷項分類 | 診斷項 | 診斷項說明 |
配置診斷 | 實例配置檢查 | 檢查VPN網關實例是否處于配置狀態。 如果VPN網關實例處于配置狀態，請等待VPN網關實例變為正常狀態后再操作。 |
版本檢查 | 檢查VPN網關實例的版本是否為最新版本。 建議您將VPN網關版本自助升級至最新版以體驗更多功能。具體操作，請參見升級VPN網關。 | |
隧道協商狀態檢查 | 檢查VPN網關實例下每個IPsec連接第一階段和第二階段的協商狀態。 如果系統檢測到IPsec連接協商狀態異常，您可以根據控制臺提供的建議排查問題或參見相關文檔排查問題。更多信息，請參見自主排查IPsec-VPN連接問題。 | |
VPN隧道配置完整性檢查 | 檢查VPN網關實例下IPsec-VPN連接是否已經完成IPsec連接的配置。 如果系統檢測到VPN網關實例缺少配置，請您根據網絡互通需求添加相關配置，配置IPsec連接，請參見創建和管理IPsec連接（單隧道模式）或創建和管理IPsec連接（雙隧道模式）。 | |
系統網段沖突檢查 | 檢查VPN網關實例策略路由、目的路由和BGP路由的目標網段是否與100.64.0.0/10網段沖突。 100.64.0.0/10是阿里云系統網段，需確保VPN網關實例下策略路由、目的路由和BGP路由的目標網段不與100.64.0.0/10（包含其子網）網段沖突，否則會造成VPN網關實例無法正常工作。 如果系統檢測到系統網段沖突，請修改網段配置或使用NAT網關產品進行地址轉換。更多信息，請參見VPC NAT網關聯動VPN網關實現云上與云下私網互訪。 | |
BGP一致性檢查 | 檢查IPsec連接是否存在第二階段協商成功但BGP協議協商失敗的情況。 如果系統檢測到IPsec連接存在上述情況，請排查IPsec連接BGP配置及BGP協議報文收發情況。更多信息，請參見IPsec連接狀態為“第二階段協商成功”，但BGP路由協議的協商狀態為“異?！痹趺崔k？。 | |
IPsec共享一階段檢查 | 檢查在多個IPsec連接共享一階段的情況下，多個IPsec連接的相關配置是否相同。 如果一個VPN網關實例下存在多個IPsec連接，多個IPsec連接關聯相同的用戶網關，且多個IPsec連接的IKE版本相同，則這些IPsec連接就會共享一階段。在共享一階段場景下，所有IPsec連接的預共享密鑰以及IKE配置階段的所有參數配置（包含版本、協商模式、加密算法、認證算法、DH分組、SA生存周期（秒））需相同，以確保在IPsec協議協商時可以共享任意一個IPsec連接IKE配置階段的配置。 您可以根據需要修改IPsec連接配置，以確保多個IPsec連接的相關配置相同。具體操作，請參見修改IPsec連接。 | |
容量超限診斷 | VPN網關帶寬使用率檢查 | 檢查VPN網關實例的帶寬利用率是否已達VPN網關實例帶寬規格的80%。 如果VPN網關實例的帶寬利用率已達VPN網關實例帶寬規格的80%，您可以根據實際網絡需求提升VPN網關實例帶寬規格。具體操作，請參見變配VPN網關實例。 |
費用診斷 | 欠費狀態告警 | 檢查VPN網關實例是否處于欠費狀態。 |
欠費到期預警 | 檢查VPN網關實例是否將在7天內到期。 如果系統檢測到VPN網關實例將在7天內到期，請及時為VPN網關實例續費。具體操作，請參見續費VPN網關實例。 | |
路由診斷 | 未發布路由檢查 | 檢查VPN網關實例下是否存在未發布的策略路由或目的路由。 如果系統檢測到VPN網關實例存在未發布的策略路由或目的路由，請根據網絡互通需求發布路由或刪除路由。具體操作，請參見發布策略路由、刪除策略路由、發布目的路由或刪除目的路由。 |
BGP欠佳配置檢查 | 在IPsec-VPN連接使用BGP動態路由協議的情況下，檢查VPN網關實例的BGP配置是否為最佳。
| |
VPN路由配置完整性檢查 |
| |
目的路由間沖突檢查 | 檢查VPN網關實例下目的路由的目標網段之間是否有重疊。 如果系統檢測到目的路由的目標網段之間有重疊，請刪除目的路由重新創建，確保目的路由的目標網段之間沒有重疊。具體操作，請參見配置目的路由。 您也可以使用BGP動態路由協議實現組網。更多信息，請參見建立VPC到本地數據中心的連接（雙隧道模式和BGP路由）。 | |
策略路由間沖突檢查 | 檢查VPN網關實例下策略路由的目標網段之間是否有重疊。 如果系統檢測到策略路由的目標網段之間有重疊，請刪除策略路由重新創建，確保策略路由的目標網段之間沒有重疊。具體操作，請參見配置策略路由。 您也可以使用BGP動態路由協議實現組網。更多信息，請參見建立VPC到本地數據中心的連接（雙隧道模式和BGP路由）。 | |
BGP路由沖突檢查 |
如果BGP路由的目標網段與其他路由的目標網段重疊，請根據控制臺建議進行操作。 | |
vpc路由與vpn路由匹配檢查 | 檢查VPC路由表中指向VPN網關實例的路由的目標網段是否與VPN網關實例下策略路由的目標網段有重疊。 需確保策略路由的目標網段包含VPC路由表中指向VPN網關實例的路由的目標網段。 如果系統檢測到當前配置不滿足需求，您需要修改策略路由的目標網段，請先刪除策略路由然后重新創建。具體操作，請參見配置策略路由。 |
發起診斷
登錄VPN網關管理控制臺。
在頂部菜單欄，選擇VPN網關實例所屬的地域。
在VPN網關頁面，找到目標VPN網關實例，在診斷列選擇。
在實例健康診斷面板，查看診斷詳情。
序號
說明
①
異常診斷項將會直接在該面板中顯示出來，您可以直接查看異常診斷項說明、關聯的資源以及處理建議。
②
在診斷項詳情區域，選中顯示全部診斷項，您可以查看當前VPN網關實例被檢測的全部診斷項信息。
③
在實例健康診斷面板上方，單擊前往NIS查看歷史診斷，即可跳轉至網絡智能服務控制臺的概覽頁面，查看當前VPN網關實例的歷史診斷報告。更多信息，請參見概覽。
VPN網關實例診斷示例
對于本地數據中心通過IPsec-VPN連接訪問阿里云VPC資源的場景，在您部署好IPsec-VPN連接正式傳輸業務流量前，您可以通過診斷VPN網關實例檢測IPsec-VPN連接的配置情況，確保后續IPsec-VPN連接可以正常傳輸業務流量。
對VPN網關實例發起診斷。具體操作，請參見發起診斷。
在實例健康診斷面板查看診斷結果，并根據診斷結果排查問題。
如上圖所示，系統診斷出IPsec-VPN連接第一階段協商未成功。您可以在診斷結果列單擊第一階段協商未成功查看更詳細的診斷說明，然后根據診斷說明排查問題。
您也可以在IPsec連接頁面通過IPsec連接的錯誤碼排查問題。對于IPsec-VPN連接第一階段協商失敗以及第二階段協商失敗的問題，系統均會在IPsec連接頁面提供相應的錯誤碼幫助您排查問題。更多信息，請參見自主排查IPsec-VPN連接問題。
如上圖所示，導致IPsec-VPN連接兩端提議不匹配的原因是兩端的預共享密鑰不一致，需要修改IPsec-VPN連接兩端配置的預共享密鑰確保兩端一致。
解決問題后，對VPN網關實例再次發起診斷，確保VPN網關實例已不存在問題。
如果您的VPN網關實例下不存在問題，但是在使用IPsec-VPN連接過程仍遇到問題（例如本地數據中心和VPC之間測試流量不通），您可以查閱常見問題文檔排查問題。更多信息，請參見IPsec-VPN連接常見問題。