Wie behebe ich die Inaktivität des Site-to-Site-VPN-Tunnels, das Flattern eines Tunnels oder den Ausfall eines Tunnels auf meinem Kunden-Gateway-Gerät?

Lösung

Bei Site-to-Site VPN kann es aus einem der folgenden Gründe zu Tunnelinaktivität, Instabilität, Flattern oder Tunnelausfällen kommen:

• Es liegen „Key Exchange (IKE)/phase 1“- oder „Internet Protocol security (IPsec)/Phase 2“-Fehler vor.
• Du hast Probleme mit der IPSec-Überwachung von Dead Peer Detection (DPD).
• Geringer Datenverkehr in einem Site-to-Site-VPN-Tunnel oder herstellerspezifische Probleme mit der Kunden-Gateway-Konfiguration führen zu Timeouts im Leerlauf.
• In Phase 1 oder Phase 2 deines Site-to-Site-VPN-Tunnels gibt es Probleme mit der erneuten Eingabe von Schlüsseln.
• Eine richtlinienbasierte Site-to-Site-VPN-Verbindung auf dem Kunden-Gateway-Gerät führt zu einer unterbrochenen Konnektivität.
• Statisches Routing führt zu einer unterbrochenen Konnektivität.
• Du hast dein Kunden-Gateway-Gerät falsch konfiguriert.

Verwende Tunnelaktivitätsprotokolle, um Site-to-Site-VPN-Tunnel zu überwachen und erhebe Informationen über Tunnelausfälle und andere Tunnelprobleme.

Behebung von IKE/Phase 1- oder IPSec/Phase 2-Fehlern, die zu einem Tunnelausfall führen

Stelle sicher, dass die Tunnel der Site-to-Site-VPN-Verbindung aktiv sind. Wenn die Verbindung unterbrochen ist, behebe die Fehler IKE/Phase 1 und IPSec/Phase 2.

Probleme mit der DPD-Überwachung beheben

Wenn ein DPD-Timeout auftritt, wird in den Protokollen die folgende Meldung angezeigt: „Peer is not responsive - Declaring peer dead.“ Standardmäßig sendet Site-to-Site VPN alle 10 Sekunden eine „DPD R_U_THERE“-Nachricht an das Kunden-Gateway. Nach drei aufeinanderfolgenden Nachrichten ohne Antwort betrachtet Site-to-Site VPN den Peer als tot. Dann schließt Site-to-Site VPN die Verbindung.

Wenn DPD auf dem Kunden-Gateway-Gerät aktiv ist, überprüfe die folgenden Konfigurationen:

• Bestätige, dass du dein Kunden-Gateway-Gerät für den Empfang und die Beantwortung von DPD-Nachrichten konfiguriert hast.
• Prüfe, ob dein Kunden-Gateway-Gerät für die Beantwortung von DPD-Nachrichten von AWS-Kollegen verfügbar ist.
• Wenn die Funktionen des Intrusion Prevention-Systems in der Firewall aktiv sind, stelle sicher, dass das Kunden-Gateway-Gerät DPD-Nachrichten ohne Ratenbegrenzung zulässt.
• Vergewissere dich, dass dein Kunden-Gateway-Gerät über eine stabile und zuverlässige Internetverbindung verfügt.

Falls das Site-to-Site-VPN keine Maßnahmen ergreifen darf, wenn ein DPD-Timeout auftritt, ändere die DPD-Timeout-Aktion auf Keine.

Problembehandlung bei Leerlauf-Timeouts

Stelle sicher, dass zwischen deinem lokalen Netzwerk und deiner Virtual Private Cloud (VPC) ein konstanter bidirektionaler Verkehr besteht. Um den Datenverkehr zu bestätigen, erstelle einen Host, der alle 5 Sekunden Internet Control Message Protocol-Anforderungen an eine Instance in der VPC sendet.

Verwende Informationen des Anbieters deines Geräts, um die Timeout-Einstellungen deines VPN-Geräts im Leerlauf zu überprüfen. Wenn der Datenverkehr für die Dauer der anbieterspezifischen VPN-Leerlaufzeit keinen Site-to-Site-VPN-Tunnel passiert, wird die IPSec-Sitzung beendet.

Beheben von Problemen mit der erneuten Eingabe für Phase 1 oder Phase 2

Prüfe die Lebensdauerfelder von Phase 1 oder Phase 2 auf dem Kunden-Gateway. Stelle sicher, dass die Felder den AWS-Parametern entsprechen. Es hat sich bewährt, nur die erforderlichen Site-to-Site-VPN-Tunneloptionen auszuwählen.

Stelle sicher, dass du Perfect Forward Secrecy (PFS) auf dem Kunden-Gateway-Gerät aktivierst. AWS aktiviert PFS standardmäßig auf der AWS-Seite.

Hinweis: Das IKEv2-Lebensdauerfeld ist unabhängig von Peers. Wenn du einen niedrigeren Lebensdauerwert festlegst, initiiert der Peer die erneute Eingabe. Es hat sich bewährt, einen Peer so zu konfigurieren, dass er eine erneute Eingabe initiiert.

Beheben von Konnektivitätsproblemen mit richtlinienbasierten VPNs

Stelle sicher, dass das Kunden-Gateway-Gerät die IPv4- und IPv6-CIDR-Bereiche der Site-to-Site-VPN-Verbindung abdeckt. Der Standardbereich ist 0.0.0.0/0.

Wenn das Site-to-Site-VPN auf der Kunden-Gateway-Seite richtlinienbasiert ist, gib eine Verschlüsselungs-Domain an, die den vorgesehenen Datenverkehr abdeckt.

Hinweis: Site-to-Site VPN unterstützt nur eine Verschlüsselungs-Domain. Wenn das VPN mehrere Netzwerke umfasst, fasse die Verschlüsselungs-Domain auf dem Kunden-Gateway-Gerät zusammen, um nur ein Paar von Sicherheitszuordnungen beizubehalten.

Behebung von Verbindungsproblemen mit statischem Routing

Hinweis: Es hat sich bewährt, dynamisches Routing anstelle von statischem Routing zu verwenden. Weitere Informationen findest du unter Statisches und dynamisches Routing in Site-to-Site VPN.

Bei Site-to-Site-VPN-Tunneln, die statisches Routing verwenden und die du mit einer Aktiv/aktiv-Konfiguration konfigurierst, können Verbindungsprobleme auftreten. Stelle sicher, dass das Kunden-Gateway-Gerät dynamisches Routing unterstützt. Wenn das Kunden-Gateway-Gerät kein dynamisches Routing unterstützt, konfiguriere dein statisches VPN, um asymmetrisches Routing zu vermeiden.

Verbindungsprobleme aufgrund von Kunden-Gateway-Konfigurationen

Führe die folgenden Schritte aus:

1. Vergewissere dich, dass sich das Kunden-Gateway hinter einem NAT-Gerät befindet. Oder stelle sicher, dass die Beschleunigung für eine Site-to-Site-VPN-Verbindung aktiviert ist.
2. Stelle sicher, dass NAT-T auf dem Kunden-Gateway-Gerät aktiv ist. Stelle ebenfalls sicher, dass UDP-Pakete zwischen dem Netzwerk und den VPN-Endpunkten auf Port 4500 übertragen werden können.
3. Wenn sich das Kunden-Gateway nicht hinter einem NAT-Gerät befindet, stelle sicher, dass Port 50 die Übertragung von UDP-Paketen zwischen dem Netzwerk und den VPN-Endpunkten ermöglicht.
4. Stelle sicher, dass die Firewall-Regeln für das Kunden-Gateway-Gerät den Datenverkehr zwischen dem lokalen Netzwerk und AWS zulassen.
5. Behebe Verbindungsprobleme im Zusammenhang mit deinem spezifischen Kunden-Gateway-Gerät.

Ähnliche Informationen

Der VPN-Tunnel zwischen meinem Kunden-Gateway und meinem virtuelle privaten Gateway ist aktiv, aber ich kann keinen Datenverkehr durch ihn leiten. Was kann ich tun?

Wie konfiguriere ich meine Site-to-Site-VPN-Verbindung so, dass Tunnel A gegenüber Tunnel B bevorzugt wird?