# 客户端无法ping通ECS的私网IP地址
#### 故障现象
客户端正常连接终端入云VPN网关，但不能ping通需要访问的ECS的私网IP地址。
#### 可能原因
- 客户端设备或ECS禁止ping探测。
- ECS安全组禁止ping探测。
- VPN网关本端网段未包含需要访问的ECS的私网IP地址。
- 没有配置用户所属用户组，或者用户组没有配置对应访问策略。
- 当用户修改指定IP，客户端自动重连后，Windows系统的路由表中未生成目的地为本端子网的路由。
 
#### 处理步骤
1. 确认客户端设备和ECS的访问控制策略是否禁止ping探测。 如果禁止，请修改策略放通ping探测。Windows操作系统还需要修改防火墙的入站规则，允许ICMPv4-In。
   
2. 确认ECS安全组的出方向和入方向规则都放通ICMP。
3. 确认本端网段包含需要访问的ECS的私网IP地址。
   1. 在VPN网关的"服务端"页签中修改本端网段。
   
   2. 断开客户端连接，重新接入。
   
   3. 查看客户端设备是否可以接收到VPN网关推送的路由。
      - Windows：使用route print命令。
      
      - Linux：使用ip route show all命令。
       
    
4. 确认用户管理中已经配置用户所属用户组和访问策略。 访问策略的目的网段中需要包含被访问的ECS的私网IP地址。
   
5. 服务端配置的本端网段和客户端地址池需要符合以下规则。
   - 本端网段为192.168.1.XX。
   
   - 客户端地址池为172.16.0.0。
    
6. 在客户端系统上查看本端网段对应的路由是否生成。
   - 如果生成对应的路由，客户端分配到的IP为172.16.0.5。
     回显信息如下：
     ```
     IPv4 路由表
     ===========================================================================
     活动路由:
     网络目标        网络掩码          网关       接口   跃点数
          192.168.1.XX   255.255.255.0           172.16.0.0      172.16.0.5    281
          192.168.2.XX   255.255.255.0           172.16.0.0      172.16.0.5    281
          192.168.3.XX   255.255.255.0           172.16.0.0      172.16.0.5    281
     ===========================================================================
     ```
     
   
   - 如果未生成对应的路由，请断开客户端连接，重新接入。
   
   
   如果上述操作仍然无法解决客户端登录问题，请[提交工单](https://console.huaweicloud.com/ticket/?locale=zh-cn#/ticketindex/serviceTickets)联系华为工程师。