Warum kann mein Site-to-Site-VPN keine Verbindung herstellen?

Lösung

Wenn das VPN keine Verbindung herstellen kann, ist entweder IKE/Phase 1 oder IPsec/Phase 2 ausgefallen.

Aktiviere Site-to-Site VPN-Protokolle. Verwende die Protokolle, um den Status jeder Phase zu überprüfen. Du kannst auch die Phasenstatus auf dem Kunden-Gateway-Gerät überprüfen. Behebe dann die fehlgeschlagene Verbindung anhand der Phase, in der keine Verbindung hergestellt wird.

Hinweis: Der VPN-Status ist nur dann UP, wenn sowohl Phase 1- als auch Phase 2-Status UP sind. Bei einem dynamischen VPN muss der Border Gateway Protocol (BGP)-Status ebenfalls UP sein. Wenn das VPN die IKE/Phase-1-Verbindung hergestellt hat, der IPsec/Phase 2-Verbindungsstatus jedoch DOWN lautet, lautet der VPN-Status ebenfalls DOWN.

Behebung von IKE/Phase 1-Fehlern

Überprüfe das Kunden-Gateway-Gerät

Überprüfe auf dem Kunden-Gateway-Gerät die folgenden Konfigurationen:

• Die VPN-Konfiguration erfüllt die Anforderungen des Kunden-Gateway-Geräts. Weitere Informationen findest du unter Problembehandlung beim Site-to-Site VPN-Kunden-Gateway-Gerät.
• AWS und das Kunden-Gateway verwenden dieselbe Version von IKE.
  Hinweis: AWS unterstützt sowohl IKEv1 als auch IKEv2.
• Die Phase 1-Parameter auf dem Kunden-Gateway-Gerät stimmen mit den Phase 1-Parametern auf AWS überein. Weitere Informationen findest du unter Tunneloptionen für eine Site-to-Site VPN-Verbindung.
• Die Option Phase 1-Lebensdauer der VPN-Verbindung ist lang genug für die Version von IKE, die du verwendest. Wenn die Option zu kurz ist, konfiguriere die Tunneloptionen neu, sodass die Lebensdauer von Phase 1 lang genug ist.
• Das Kunden-Gateway-Gerät verfügt über den richtigen vorab geteilten Schlüssel oder gültige Zertifikate.
• Du kannst die VPN-Endpunkte anpingen:

  ping example_IP

  Hinweis: Ersetze example_IP durch die öffentliche IP-Adresse des AWS-VPN-Endpunkts.
• Das On-Premises-Netzwerk initiiert eingehenden Datenverkehr zu AWS.
  Hinweis: AWS-VPN-Services arbeiten standardmäßig im Respondermodus und ermöglichen Konfigurationsänderungen an IKE-Verhandlungen, Peer-Timeout-Einstellungen und anderen Konfigurationseinstellungen. Weitere Informationen findest du unter Optionen für die Initiierung von Site-to-Site VPN-Tunneln.

Überprüfe die Startup-Aktion

Wenn die Startup-Aktion des Tunnels Start ist, führe die folgenden Aktionen aus:

• Wenn der VPN-Endpunkt der VPN-Tunnel-IKE-Initiator ist, stelle sicher, dass die Tunneloptionen auf dem Kunden-Gateway-Gerät und AWS übereinstimmen.
• Stelle für die Authentifizierung des vorab geteilten Schlüssels sicher, dass die lokale ID des Kunden-Gateway-Geräts und die öffentliche IP-Adresse auf AWS übereinstimmen. Stelle für die Zertifikatsauthentifizierung sicher, dass die lokale ID des Kunden-Gateway-Geräts Gegenstand des Zertifikats ist.

Bestätige, dass der Datenverkehr über die erforderlichen Ports geleitet wird

Wenn sich das Kunden-Gateway hinter einem NAT-Gerät befindet, überprüfe mit mytraceroute (MTR), ob der Datenverkehr über die erforderlichen Ports geleitet wird:

• Stelle sicher, dass Unified Data Provider (UDP)-Pakete zwischen dem Netzwerk und den VPN-Endpunkten auf Port 500 übertragen werden können. Wenn NAT-traversal aktiv ist, überprüfe auch Port 4500.
• Stelle sicher, dass der Intermediate-Internetdienstanbieter (ISP) den Verkehr auf Port 500 zulässt. Wenn du NAT-traversal verwendest, stelle sicher, dass der ISP den Verkehr auf Port 4500 zulässt.

Weitere Informationen findest du unter Wie kann ich den Paketverlust bei meiner AWS VPN-Verbindung beheben?

Hinweis: Es hat sich bewährt, NAT-traversal zu deaktivieren, wenn sich dein Kunden-Gateway nicht nach einem Gerät mit Port Address Translation (PAT) befindet. Wenn die Beschleunigung für eine Verbindung von Site-to-Site VPN aktiviert ist, musst du sicherstellen, dass NAT-traversal für das Kunden-Gateway-Gerät aktiviert ist.

Behebe IPsec/Phase 2-Fehler, wenn IKE/Phase 1 den Status UP hat

Überprüfe die folgenden Konfigurationen:

• Vergleiche die Kunden-Gateway-Geräteeinstellungen mit der Site-to-Site VPN-Konfigurationsdatei, um sicherzustellen, dass die Phase 2-Parameter korrekt konfiguriert sind. Verwende für ein Kunden-Gateway-Gerät mit nicht standardmäßigen Optionen die AWS-VPC-Konsole, um die Phase 2-Parameter zu überprüfen.
• Vergewissere dich, dass du die unterstützten Phase 2-Parameter für IKEv1 und IKEv2 auf dem Kunden-Gateway-Gerät korrekt konfiguriert hast.
• Stelle sicher, dass Diffie-Hellman Perfect Forward Secrecy (PFS) aktiv ist und Diffie-Hellman-Gruppen für die Schlüsselgenerierung verwendet.
• Vergewissere dich, dass die Sicherheitszuordnungen und Traffic-Selektoren auf AWS und dem Kunden-Gateway-Gerät übereinstimmen.
• Stelle sicher, dass die VPN-Verbindungsoptionen sowohl für Remote- als auch für lokale IP-Adressen mit den Sicherheitszuordnungen auf dem Kunden-Gateway-Gerät übereinstimmen. Weitere Informationen findest du unter Wie behebe ich Verbindungsprobleme zwischen einem AWS-VPN-Endpunkt und einem richtlinienbasierten VPN?

Behebe andere häufige VPN-Verbindungsfehler

Wenn das Problem weiterhin besteht, ergreife die folgenden Maßnahmen:

• Überprüfe die Site-to-Site-VPN-Protokolle auf Fehler, die dem Verbindungsfehler entsprechen.
• Überprüfe die IPsec-Debug-Protokolle, um die Ursache des Fehlers zu ermitteln und zu ermitteln, wie du ihn beheben kannst.

Ähnliche Informationen

Wie überprüfe ich den aktuellen Status meines VPN-Tunnels?

Ändere die Site-to-Site-VPN-Tunneloptionen

Herunterladbare statische Routing-Konfigurationsdateien für ein Site-to-Site VPN-Kunden-Gateway-Gerät

Herunterladbare dynamische Routing-Konfigurationsdateien für ein Site-to-Site VPN-Kunden-Gateway-Gerät