客户端无法ping通ECS的私网IP地址

故障现象

客户端正常连接终端入云VPN网关，但不能ping通需要访问的ECS的私网IP地址。

可能原因

• 客户端设备或ECS禁止ping探测。
• ECS安全组禁止ping探测。
• VPN网关本端网段未包含需要访问的ECS的私网IP地址。
• 没有配置用户所属用户组，或者用户组没有配置对应访问策略。
• 当用户修改指定IP，客户端自动重连后，Windows系统的路由表中未生成目的地为本端子网的路由。

处理步骤

1. 确认客户端设备和ECS的访问控制策略是否禁止ping探测。

   如果禁止，请修改策略放通ping探测。Windows操作系统还需要修改防火墙的入站规则，允许ICMPv4-In。

2. 确认ECS安全组的出方向和入方向规则都放通ICMP。
3. 确认本端网段包含需要访问的ECS的私网IP地址。
   1. 在VPN网关的“服务端”页签中修改本端网段。
   2. 断开客户端连接，重新接入。
   3. 查看客户端设备是否可以接收到VPN网关推送的路由。
      • Windows：使用route print命令。
      • Linux：使用ip route show all命令。
4. 确认用户管理中已经配置用户所属用户组和访问策略。

   访问策略的目的网段中需要包含被访问的ECS的私网IP地址。

5. 服务端配置的本端网段和客户端地址池需要符合以下规则。
   • 本端网段为192.168.1.XX。
   • 客户端地址池为172.16.0.0。
6. 在客户端系统上查看本端网段对应的路由是否生成。
   • 如果生成对应的路由，客户端分配到的IP为172.16.0.5。
     回显信息如下：

     IPv4 路由表
     ===========================================================================
     活动路由:
     网络目标        网络掩码          网关       接口   跃点数
          192.168.1.XX   255.255.255.0           172.16.0.0      172.16.0.5    281
          192.168.2.XX   255.255.255.0           172.16.0.0      172.16.0.5    281
          192.168.3.XX   255.255.255.0           172.16.0.0      172.16.0.5    281
     ===========================================================================

   • 如果未生成对应的路由，请断开客户端连接，重新接入。

   如果上述操作仍然无法解决客户端登录问题，请提交工单联系华为工程师。