¿Por qué el tráfico de Site-to-Site VPN no fluye a través de mi puerta de enlace aunque el túnel tenga el estado UP?

Descripción breve

Un túnel VPN que muestra el estado UP indica que la negociación de IPsec se realizó correctamente. En las VPN con enrutamiento dinámico, también indica que se estableció la sesión del protocolo de puerta de enlace fronteriza (BGP). Sin embargo, debe configurar correctamente el enrutamiento en la tabla de enrutamiento de la puerta de enlace de tránsito, la tabla de enrutamiento de la subred de la VPC y el dispositivo de puerta de enlace de cliente en las instalaciones.

Resolución

Verificación de la configuración de la tabla de enrutamiento de la puerta de enlace de tránsito

Si la tabla de enrutamiento de la puerta de enlace de tránsito no tiene una ruta hacia el destino, el túnel VPN puede mostrar el estado UP aunque la puerta de enlace de tránsito descarte el tráfico. Para resolver el problema, realice las siguientes acciones.

Comprobación de la ruta en la tabla de enrutamiento del adjunto de VPN

Complete los siguientes pasos:

1. Abra la consola de Amazon VPC.
2. En el panel de navegación, elija Tablas de enrutamiento de Transit Gateway.
3. Seleccione la tabla de enrutamiento asociada al adjunto de VPN.
4. Elija la pestaña Rutas.
5. Compruebe que exista una ruta para el bloque de CIDR de la VPC de destino y que apunte al adjunto de VPC correcto.

Comprobación de la ruta en la tabla de enrutamiento del adjunto de VPC

Complete los siguientes pasos:

1. Abra la consola de Amazon VPC.
2. En el panel de navegación, elija Tablas de enrutamiento de Transit Gateway.
3. Seleccione la tabla de enrutamiento asociada al adjunto de VPC.
4. Elija la pestaña Rutas.
5. Compruebe que exista una ruta para el bloque de CIDR en las instalaciones y que apunte al adjunto de VPN correcto.

Si no hay rutas en alguna de las tablas de enrutamiento, active la propagación de rutas o agregue una ruta estática que apunte al adjunto correcto.

Nota: Si no hay ninguna tabla de enrutamiento asociada a un adjunto, se descarta todo el tráfico procedente de ese adjunto. Para asociar una tabla de enrutamiento, elija la pestaña Asociaciones y cree una asociación para el adjunto.

Para confirmar los problemas de enrutamiento, consulte Amazon CloudWatch. Si la métrica PacketDropCountNoRoute de la puerta de enlace de tránsito es mayor que cero, la puerta de enlace de tránsito descarta tráfico porque no existe ninguna ruta.

Activación de la propagación de rutas

Complete los siguientes pasos:

1. Abra la consola de Amazon VPC.
2. En el panel de navegación, elija Tablas de enrutamiento de Transit Gateway.
3. Seleccione la tabla de enrutamiento asociada al adjunto de VPN.
4. Elija la pestaña Propagaciones y compruebe que aparezca el adjunto de VPC. Si no aparece, elija Acciones, elija Crear propagación y seleccione el adjunto de VPC.
5. En Tablas de enrutamiento de Transit Gateway, seleccione la tabla de enrutamiento asociada al adjunto de VPC.
6. Elija la pestaña Propagaciones y compruebe que aparezca el adjunto de VPN. Si no aparece, elija Acciones, elija Crear propagación y seleccione el adjunto de VPN.

Nota: Si Propagación predeterminada de la tabla de enrutamiento está desactivada en la puerta de enlace de tránsito, debe activar explícitamente la propagación para cada adjunto.

Verificación de la configuración de la tabla de enrutamiento de la subred de la VPC

La tabla de enrutamiento de la subred de la VPC debe tener una ruta para el CIDR en las instalaciones que apunte a la puerta de enlace de tránsito. Sin esta ruta, el tráfico destinado a la red en las instalaciones no llega a la puerta de enlace de tránsito.

Complete los siguientes pasos:

1. Abra la consola de Amazon VPC.
2. En el panel de navegación, elija Tablas de enrutamiento.
3. Seleccione la tabla de enrutamiento asociada a la subred que contiene el recurso de origen o destino.
4. Compruebe que exista una ruta para el bloque de CIDR en las instalaciones y que apunte a la puerta de enlace de tránsito.
5. Si no existe una ruta, elija Editar rutas y, a continuación, Agregar ruta. Ingrese el CIDR en las instalaciones como destino y seleccione la puerta de enlace de tránsito como destino de la ruta.

Nota: Una puerta de enlace de tránsito no propaga rutas a las tablas de enrutamiento de las subredes de la VPC. Debe agregar rutas estáticas manualmente. Si migró recientemente desde una puerta de enlace privada virtual, compruebe que la tabla de enrutamiento apunte a la puerta de enlace de tránsito.

Si tiene varias subredes, compruebe que la tabla de enrutamiento de cada subred tenga la ruta correcta hacia la puerta de enlace de tránsito.

Verificación de que el tráfico de retorno desde las instalaciones llegue a AWS

Si configuró correctamente la puerta de enlace de tránsito y las tablas de enrutamiento de la VPC, pero la conectividad sigue fallando, compruebe el enrutamiento en las instalaciones.

Realice las siguientes acciones:

• Compruebe que el dispositivo de puerta de enlace de cliente tenga una ruta para el bloque de CIDR de Amazon VPC que apunte a la interfaz del túnel VPN.
• Si el dispositivo de puerta de enlace de cliente tiene varias rutas de enrutamiento, compruebe que el tráfico destinado al bloque de CIDR de Amazon VPC no se enrute por otra ruta.
• Compruebe que el dispositivo de puerta de enlace de cliente permita el enrutamiento asimétrico (el tráfico usa túneles o rutas diferentes en cada dirección). Si el dispositivo no permite el enrutamiento asimétrico, configure el enrutamiento para que priorice un solo túnel.
• Compruebe los contadores de tráfico de la interfaz del túnel VPN del dispositivo de puerta de enlace de cliente para verificar que el tráfico fluya en ambas direcciones.

Nota: Si todas las configuraciones de enrutamiento son correctas, pero el tráfico sigue sin llegar al recurso de destino, compruebe que los recursos permitan el tráfico. Para comprobarlo, confirme que el grupo de seguridad asociado al recurso permita el tráfico procedente del CIDR en las instalaciones. A continuación, compruebe que la lista de control de acceso de la red (ACL de la red) permita el tráfico hacia y desde el CIDR en las instalaciones.

Información relacionada

¿Por qué no puedo conectarme a Amazon VPC cuando uso una Site-to-Site VPN que termina en una puerta de enlace de tránsito?

¿Cómo soluciono los problemas de enrutamiento del tráfico a través de Site-to-Site VPN?

Tablas de enrutamiento de puerta de enlace de tránsito en AWS Transit Gateway

Cómo funciona AWS Transit Gateway