前言

TheGreenBow IPSec VPN Client 廣泛用於企業遠端存取，但在複雜網路環境下常遇到連線失敗、驗證錯誤、防火牆穿透等問題。本文彙整常見故障現象、可能原因與排查步驟，協助管理員快速定位解決。

一、連線建立失敗

現象

• 狀態卡在「Negotiating Phase 1」或「Phase 2」
• 錯誤訊息：No response from gateway、Authentication failed

排查步驟

1. 確認網路通達性：Ping VPN 閘道公網 IP，若失敗檢查 ISP/路由器封鎖。
2. 檢查 UDP 500/4500 埠：IKE 使用 UDP 500，NAT-T 使用 UDP 4500。確認客戶端與閘道防火牆皆開放。
3. 驗證 Phase 1 參數一致：加密演算法（AES/3DES）、雜湊（SHA1/MD5）、DH 群組、生命週期、預共享金鑰或憑證。
4. 檢查 NAT-T 設定：若客戶端在 NAT 後，雙端皆需啟用 NAT-Traversal。
5. 查看日誌：客戶端 View → Log，閘道端啟用 IKE/IPsec 偵錯日誌。

二、驗證失敗

常見原因

• 預共享金鑰不符（大小寫、特殊字元）
• 憑證信任鏈斷裂（根憑證未匯入、憑證過期、CN 不符）
• XAuth / Extended Authentication 帳號密碼錯誤
• 閘道端設定 Aggressive Mode 但客戶端為 Main Mode（或反之）

解決方式

1. 逐字比對雙端 PSK，建議複製貼上避免輸入錯誤。
2. 匯入完整 CA 憑證鏈至客戶端「Certificates」分頁。
3. 確認 XAuth 帳號在 RADIUS/AD 中啟用且密碼正確。
4. 統一 Phase 1 交換模式（建議 Main Mode + NAT-T）。

三、隧道建立但無法存取資源

現象

VPN 連線顯示「Connected」，但無法 Ping 內網伺服器、無法存取檔案共享、RDP 失敗。

排查重點

1. Phase 2 選擇器 (Traffic Selectors) 不符：客戶端與閘道的本地/遠端網段定義必須完全一致（含子網遮罩）。
2. 防火牆規則阻擋：閘道內部防火牆需允許 VPN 區域 → LAN 區域的對應流量（ICMP、SMB、RDP 等）。
3. 路由問題：客戶端取得虛擬介面 IP 後，確認路由表包含目標網段指向該介面（route print）。
4. MTU 過大導致分片：嘗試降低虛擬介面 MTU（如 1300），或在閘道啟用 MSS Clamping。
5. DNS 解析失敗：確認客戶端獲得正確內部 DNS，或在 VPN 設定指定 DNS 伺服器。

四、防火牆/殺毒軟體干擾

• Windows 防火牆/第三方防火牆可能阻擋 IKE/ESP 流量。建立允許規則：
  UDP 500, UDP 4500, Protocol 50 (ESP), Protocol 51 (AH)
• 部分殺毒軟體「網路防護」模組會攔截 IPsec 封包，嘗試暫停該模組測試。

五、常用診斷指令

# 客戶端
ipconfig /all                # 確認虛擬介面 IP
route print                  # 確認路由
netsh advfirewall show allprofiles  # 檢查防火牆狀態

# 閘道端 (Cisco ASA 範例)
show vpn-sessiondb detail anyconnect
debug crypto ikev1 127
debug crypto ipsec 127

六、最佳實務建議

1. 統一 Phase 1/2 參數文件化，部署前雙端核對。
2. 啟用 Dead Peer Detection (DPD) 避免斷線無法偵測。
3. 使用憑證認證取代 PSK，提升安全性與可管理性。
4. 定期匯出客戶端設定檔（.tgb）備份，便於重新部署。
5. 記錄每次變更與測試結果，建立知識庫。

結語

系統化的排除流程（通達性 → 參數一致性 → 認證 → 流量選擇器 → 內部防火牆/路由）能解決 90% 以上的 TheGreenBow VPN 問題。善用雙端日誌與封包擷取（Wireshark 擷取 UDP 500/4500、ESP）是攻克疑難雜症的關鍵。