¿Cómo soluciono los problemas de conectividad del túnel VPN con una Amazon VPC?

Descripción corta

El modelo de red de Amazon VPC admite conexiones VPN de seguridad de protocolo de Internet (IPsec) cifradas y de estándares abiertos a la infraestructura de AWS. Para establecer una conexión de túnel VPN con una Amazon VPC, comprueba la configuración de los siguientes recursos:

• Intercambio de claves de Internet (IKE) del túnel VPN
• IPSec del túnel VPN
• Listas de control de acceso de la red (ACL de la red)
• Reglas del grupo de seguridad de Amazon VPC
• Tabla de enrutamiento de red de instancias de Amazon Elastic Compute Cloud (Amazon EC2)
• Firewall de instancias de Amazon EC2
• Puertas de enlace VPN para puertas de enlace privadas virtuales y puertas de enlace de tránsito

Resolución

Comprobar que AWS VPN pueda establecer un túnel de Site-to-Site VPN

Asegúrate de que IKE pueda establecer una conexión. Además, asegúrate de que IPSec pueda establecer una conexión.

Solución de problemas de enrutamiento comunes

Sigue estos pasos:

1. Abre la consola de Amazon VPC.
2. Revisa las ACL de la red para asegurarte de que permiten el tráfico requerido.
   Nota: Las ACL de la red personalizadas pueden afectar a la conectividad de red de la VPN adjunta.
3. Configura las reglas de entrada para incluir los CIDR de origen y destino que permitan puertos de destino específicos y puertos de origen efímeros (1024-65535).
4. Comprueba que las tablas de enrutamiento de tus instancias de Amazon EC2 son correctas.
5. Si utilizas una configuración activa/activa, asegúrate de activar el enrutamiento asimétrico en las interfaces de los túneles virtuales. Para obtener más información, consulta ¿Cómo puedo configurar mi conexión de Site-to-Site VPN para que prefiera el túnel A al túnel B?
6. Asegúrate de que ningún firewall bloquee el tráfico a la instancia de Amazon EC2 dentro de la VPC. Ejecuta los siguientes comandos en función de tu sistema operativo (SO).
   Windows:
   Abre una línea de comandos y, a continuación, ejecuta el comando WF.msc. Para obtener más información, consulta Open Windows Firewall with Advanced Security (Abrir el firewall de Windows con seguridad avanzada) en el sitio web de Microsoft.
   Linux:
   Abre el terminal y, a continuación, ejecuta el comando iptables. Para obtener más información, consulta Sysadmin tools: How to use iptables (Herramientas de administración de sistemas: cómo usar iptables) en el sitio web de Red Hat.
7. Si usas una VPN basada en políticas, configura la dirección de origen de tu red interna como 0.0.0.0/0. A continuación, define la dirección de destino como la subred de la VPC. Para ver más pasos de configuración, consulta ¿Cómo soluciono los problemas de conexión entre un punto de enlace VPN de AWS y una VPN basada en políticas?

Asegurarse de que el tráfico de la red llegue a la instancia de EC2

Sigue estos pasos:

1. Abre el terminal.
2. Ejecuta el siguiente comando para verificar que el protocolo de control de mensajes de Internet (ICMP) tenga conectividad:

   ping example_IP

   Nota: Sustituye example_IP por la dirección IP de tu servidor.
   Agrega la regla de ICMP en los grupos de seguridad y las ACL de la red.
3. Según tu sistema operativo, ejecuta una de las siguientes utilidades desde tu red interna en una instancia de la VPC que se conecte a la VPN.
   Linux:

   traceroute example-destination-IP-address

   Windows:

   tracert example-destination-IP-address

   Si el resultado de traceroute o tracert se detiene en una dirección IP asociada a la red interna, comprueba que la ruta de enrutamiento sea correcta. Para obtener más información, consulta ¿Cómo puedo leer y corregir mis traceroutes para resolver los problemas de AWS Direct Connect?

Solución de problemas con el dispositivo de puerta de enlace de cliente

Si el tráfico de tu red interna llega al dispositivo de puerta de enlace de cliente pero no llega a la instancia, toma las siguientes medidas:

• Comprueba que has configurado correctamente la configuración de la VPN, las políticas y los ajustes de traducción de direcciones de red en el dispositivo de puerta de enlace de cliente de tu VPN.
• Asegúrate de que los dispositivos ascendentes permitan el tráfico.

Nota: Para verificar las configuraciones y otros ajustes del dispositivo de puerta de enlace de cliente, consulta la documentación del proveedor de tu dispositivo de puerta de enlace de cliente.

Solución de problemas con el BGP

Para solucionar problemas de conexión con el protocolo de puerta de enlace fronteriza (BGP), consulta ¿Cómo puedo solucionar los problemas de conexión de BGP a través de una VPN?

Información relacionada

AWS Site-to-Site VPN single and multiple VPN connection examples (Ejemplos de conexiones VPN únicas y múltiples de AWS Site-to-Site VPN)

Cómo funciona AWS Site-to-Site VPN