Pour quelle raison le Site-to-Site VPN ne peut-il pas établir de connectivité ?

Résolution

Si le VPN ne parvient pas à établir de connectivité, cela signifie alors qu'IKE/Phase 1 ou IPsec/Phase 2 est interrompu.

Activez les journaux Site-to-Site VPN. Utilisez les journaux pour vérifier le statut de chaque phase. Vous pouvez également vérifier le statut des phases sur le périphérique de passerelle client. Résolvez ensuite l'échec de connexion en fonction de la phase qui ne se connecte pas.

Remarque : Le statut du VPN est ACTIF uniquement lorsque les statuts Phase 1 et Phase 2 sont tous deux ACTIFS. Sur un VPN dynamique, le statut du protocole de passerelle frontière (BGP) doit également être ACTIF. Si le VPN a établi la connexion IKE/Phase 1, mais que le statut de la connexion IPsec/Phase 2 est INACTIF, alors le statut du VPN est également INACTIF.

Résoudre les problèmes liés aux échecs IKE/Phase 1

Vérifier le périphérique de passerelle client

Sur le périphérique de passerelle client, vérifiez les configurations suivantes :

• La configuration du VPN répond aux exigences du périphérique de passerelle client. Pour plus d'informations, consultez Résolution des problèmes liés au périphérique de passerelle client Site-to-Site VPN.
• AWS et la passerelle client utilisent la même version d'IKE.
  Remarque : AWS prend en charge à la fois IKEv1 et IKEv2.
• Les paramètres Phase 1 sur le périphérique de passerelle client correspondent aux paramètres Phase 1 sur AWS. Pour plus d'informations, consultez Options de tunnel pour la connexion Site-to-Site VPN.
• L'option Durée de vie de la Phase 1 de la connexion VPN est suffisamment longue pour la version d'IKE que vous utilisez. Si l’option est trop courte, reconfigurez alors les options du tunnel de sorte que la durée de vie de la Phase 1 soit suffisamment longue.
• Le périphérique de passerelle client possède la clé pré-partagée correcte ou les certificats valides.
• Vous pouvez envoyer une requête ping aux points de terminaison du VPN :

  ping example_IP

  Remarque : Remplacez example_IP par l'adresse IP publique du point de terminaison du VPN AWS.
• Le réseau sur site initie le trafic entrant vers AWS.
  Remarque : Les services du VPN AWS fonctionnent en mode répondeur par défaut et permettent de modifier la configuration des négociations IKE, des paramètres de délai d’attente d'appairage et d'autres paramètres de configuration. Pour plus d'informations, consultez Options d'initiation d'un tunnel Site-to-Site VPN.

Vérifier l'action de démarrage

Si l'action de démarrage du tunnel est Démarrer, effectuez alors les actions suivantes :

• Si le point de terminaison du VPN est l’initiateur IKE du tunnel VPN, vérifiez alors que les options de tunnel sur le périphérique de passerelle client et sur AWS correspondent.
• Pour l’authentification par clé pré-partagée, vérifiez que l'ID local du périphérique de passerelle client et l'adresse IP publique sur AWS correspondent. Pour l'authentification par certificat, vérifiez que l'ID local du périphérique de passerelle client est l'objet du certificat.

Vérifier l’acheminement du trafic via les ports requis

Si la passerelle client se trouve derrière un périphérique NAT, utilisez alors mytraceroute (MTR) pour vérifier que le trafic est acheminé via les ports requis :

• Vérifiez que les paquets Unified Data Provider (UDP) peuvent être acheminés entre le réseau et les points de terminaison du VPN sur le port 500. Si NAT-Traversal est actif, vérifiez alors également le port 4500.
• Vérifiez que le fournisseur de services Internet (FSI) intermédiaire autorise le trafic sur le port 500. Si vous utilisez NAT-traversal, vérifiez alors que le FSI autorise le trafic sur le port 4500.

Pour plus d’informations, consultez Comment résoudre les problèmes de perte de paquets sur la connexion VPN AWS ?

Remarque : Si la passerelle client ne se trouve pas derrière un périphérique de traduction d'adresses de port (PAT), il est alors recommandé de désactiver NAT-traversal. Si l'accélération est activée pour une connexion Site-to-Sire VPN, assurez-vous alors que NAT-traversal est activé sur le périphérique de passerelle client.

Résolution des échecs IPsec/Phase 2 lorsque IKE/Phase 1 est ACTIF

Vérifiez les configurations suivantes :

• Comparez les paramètres du périphérique de passerelle client avec le fichier de configuration de Site-to-Site VPN pour vérifier que les paramètres de Phase 2 sont correctement configurés. Si le périphérique de passerelle client est configuré avec des options autres que celles par défaut, vérifiez les paramètres de Phase 2 dans la Console AWS VPC.
• Vérifiez que vous avez correctement configuré les paramètres de Phase 2 pris en charge pour IKEv1 et IKEv2 sur le périphérique de passerelle client.
• Vérifiez que Diffie-Hellman Perfect Forward Secrecy (PFS) est actif et utilise des groupes Diffie-Hellman pour la génération des clés.
• Vérifiez que les associations de sécurité et les sélecteurs de trafic sur AWS et sur le périphérique de passerelle client correspondent.
• Vérifiez que les options de connexion VPN des adresses IP distantes et locales correspondent aux associations de sécurité du périphérique de passerelle client. Pour plus d'informations, consultez Comment résoudre les problèmes de connexion entre un point de terminaison VPN AWS et un VPN basé sur une politique ?

Résoudre d'autres échecs de connectivité VPN courants

Si le problème persiste, prenez alors les mesures suivantes :

• Passez en revue les journaux de Site-to-Site VPN pour détecter les erreurs correspondant à l'erreur de connexion.
• Consultez les journaux de débogage IPsec pour déterminer la cause de l'échec et comment le résoudre.

Informations connexes

Comment vérifier le statut actuel du tunnel VPN ?

Modifier les options du tunnel Site-to-Site VPN

Fichiers de configuration du routage statique téléchargeables pour un périphérique de passerelle client Site-to-Site VPN

Fichiers de configuration du routage dynamique téléchargeables pour un périphérique de passerelle client Site-to-Site VPN