¿Por qué mi Site-to-Site VPN no puede establecer la conectividad?

Resolución

Si la VPN no puede establecer la conectividad, significa que IKE/fase 1 o IPSec/fase 2 están inactivos.

Activa los registros de Site-to-Site VPN. Utiliza los registros para comprobar el estado de cada fase. También puedes comprobar los estados de las fases en el dispositivo de puerta de enlace de cliente. A continuación, soluciona el error de la conexión en función de la fase que no se conecte.

Nota: El estado de la VPN es ACTIVO solo cuando el estado de la fase 1 y la fase 2 es ACTIVO. En una VPN dinámica, el estado del protocolo de puerta de enlace fronteriza (BGP) también debe ser ACTIVO. Si la VPN ha establecido la conexión IKE/fase 1 pero el estado de la conexión IPsec/fase 2 es INACTIVO, entonces el estado de la VPN también es INACTIVO.

Solución de problemas de IKE/fase 1

Comprobación del dispositivo de puerta de enlace de cliente

En el dispositivo de puerta de enlace de cliente, verifica las siguientes configuraciones:

• La configuración de VPN cumple con los requisitos del dispositivo de puerta de enlace de cliente. Para obtener más información, consulta Solución de problemas del dispositivo de puerta de enlace de cliente de Site-to-Site VPN.
• AWS y la puerta de enlace de cliente utilizan la misma versión de IKE.
  Nota: AWS es compatible con IKEv1 e IKEv2.
• Los parámetros de la fase 1 del dispositivo de puerta de enlace de cliente coinciden con los parámetros de la fase 1 de AWS. Para obtener más información, consulta Tunnel options for your Site-to-Site VPN connection (Opciones de túnel para tu conexión de Site-to-Site VPN).
• La opción Vida útil de fase 1 de la conexión de VPN es lo suficientemente larga para la versión de IKE que utilizas. Si la opción es demasiado corta, vuelve a configurar las opciones del túnel para que la vida útil de la fase 1 sea lo suficientemente larga.
• El dispositivo de puerta de enlace de cliente tiene la clave previamente compartida correcta o los certificados válidos.
• Puedes hacer ping a los puntos de enlace de la VPN:

  ping example_IP

  Nota: Sustituye example_IP por la dirección IP pública del punto de enlace de AWS VPN.
• La red local inicia el tráfico entrante hacia AWS.
  Nota: Los servicios de AWS VPN funcionan en modo de respuesta de forma predeterminada y permiten realizar cambios de configuración en las negociaciones de IKE, los ajustes de tiempo de espera entre pares y otros ajustes de configuración. Para obtener más información, consulta Site-to-Site VPN tunnel initiation options (Opciones de inicio del túnel de Site-to-Site VPN).

Comprobación de la acción de inicio

Si la acción de inicio del túnel es Iniciar, sigue estos pasos:

• Si el punto de enlace de la VPN es el iniciador IKE del túnel de VPN, comprueba que las opciones de túnel del dispositivo de puerta de enlace de cliente y de AWS coincidan.
• Para la autenticación de claves previamente compartidas, comprueba que el ID local del dispositivo de puerta de enlace de cliente y la dirección IP pública de AWS coincidan. Para la autenticación del certificado, verifica que el ID local del dispositivo de puerta de enlace de cliente sea el asunto del certificado.

Confirmación de que el tráfico pasa por los puertos requeridos

Si la puerta de enlace de cliente está detrás de un dispositivo de NAT, utiliza mytraceroute (MTR) para confirmar que el tráfico pasa por los puertos necesarios:

• Asimismo, verifica que los paquetes del proveedor de datos unificado (UDP) puedan pasar entre la red y los puntos de enlace de la VPN en el puerto 500. Si NAT-traversal está activo, comprueba también el puerto 4500.
• Verifica que el proveedor de servicios de Internet (ISP) intermedio permita el tráfico en el puerto 500. Si usas NAT-traversal, verifica que el ISP permita el tráfico en el puerto 4500.

Para obtener más información, consulta ¿Cómo soluciono los problemas de pérdida de paquetes en mi conexión de AWS VPN?

Nota: Si la puerta de enlace de cliente no se encuentra detrás de un dispositivo de traducción de direcciones de puertos (PAT) se recomienda desactivar NAT-traversal. Si la aceleración está activada para una conexión de Site-to-Site VPN, verifica que NAT-traversal esté activo en el dispositivo de puerta de enlace de cliente.

Solución de los errores de IPsec/fase 2 cuando IKE/fase 1 está activo

Comprueba las siguientes configuraciones:

• Compara la configuración del dispositivo de puerta de enlace de cliente con el archivo de configuración de Site-to-Site VPN para verificar que los parámetros de la fase 2 estén configurados correctamente. En el caso de un dispositivo de puerta de enlace de cliente con opciones no predeterminadas, utiliza la consola de AWS VPC para verificar los parámetros de la fase 2.
• Confirma que hayas configurado correctamente los parámetros de fase 2 compatibles con IKEv1 e IKEv2 en el dispositivo de puerta de enlace de cliente.
• Comprueba que Diffie-Hellman Perfect Forward Secrecy (PFS) esté activo y utilice los grupos de Diffie-Hellman para la generación de claves.
• Confirma que las asociaciones de seguridad y los selectores de tráfico de AWS y del dispositivo de puerta de enlace de cliente coincidan.
• Verifica que las opciones de conexión de VPN configuradas para las direcciones IP remotas y locales coincidan con las asociaciones de seguridad del dispositivo de puerta de enlace de cliente. Para obtener más información, consulte ¿Cómo soluciono los problemas de conexión entre un punto de conexión VPN de AWS y una VPN basada en políticas?

Solución de otros errores comunes de conectividad de VPN

Si el problema persiste, toma las siguientes medidas:

• Revisa los registros de Site-to-Site VPN para ver si hay errores que se correspondan con el error de conexión.
• Consulta los registros de depuración de IPsec para determinar la causa del error y cómo solucionarlo.

Información relacionada

¿Cómo compruebo el estado actual de mi túnel VPN?

Modify Site-to-Site VPN tunnel options (Modificación de las opciones de túnel de Site-to-Site VPN)

Downloadable static routing configuration files for an Site-to-Site VPN customer gateway device (Archivos de configuración de enrutamiento estático descargables para un dispositivo de puerta de enlace de cliente de Site-to-Site VPN)

Downloadable dynamic routing configuration files for Site-to-Site VPN customer gateway device (Archivos de configuración de enrutamiento dinámico descargables para el dispositivo de puerta de enlace de cliente de Site-to-Site VPN)