Perché la mia Site-to-Site VPN non riesce a stabilire la connettività?

Risoluzione

Se la VPN non riesce a stabilire la connettività, IKE/Fase 1 o IPSec/Fase 2 non funzionano.

Attiva i log di per la Site-to-Site VPN. Utilizza i log per controllare lo stato di ogni fase. Puoi anche controllare gli stati delle fasi sul dispositivo gateway del cliente. Quindi risolvi i problemi relativi alla connessione non riuscita in base alla fase che non si connette.

Nota: lo stato della VPN è UP solo quando entrambi gli stati Fase 1 e Fase 2 sono UP. Per una VPN dinamica, anche lo stato del Border Gateway Protocol (BGP) deve essere UP. Se la VPN ha stabilito la connessione IKE/Fase 1 ma lo stato della connessione IPSec/Phase 2 è DOWN, anche lo stato della VPN è DOWN.

Risolvi i problemi relativi a IKE/Fase 1

Controlla il dispositivo gateway del cliente

Dal dispositivo gateway del cliente, verifica le seguenti configurazioni:

• La configurazione della VPN soddisfa i requisiti del dispositivo gateway del cliente. Per ulteriori informazioni, consulta Risoluzione dei problemi relativi al dispositivo gateway del cliente AWS Site-to-Site VPN.
• AWS e il gateway del cliente utilizzano la stessa versione di IKE.
  Nota: AWS supporta sia IKEv1 che IKEv2.
• I parametri della Fase 1 del dispositivo gateway del cliente corrispondono ai parametri della Fase 1 di AWS. Per ulteriori informazioni, consulta Opzioni di tunnel per la connessione di AWS Site-to-Site VPN.
• L'opzione Phase 1 lifetime (Durata Fase 1) della connessione VPN è sufficientemente lunga per la versione di IKE che utilizzi. Se l'opzione è troppo breve, riconfigura le opzioni del tunnel in modo che la durata della Fase 1 sia sufficientemente lunga.
• Il dispositivo gateway del cliente ha la chiave precondivisa corretta o certificati validi.
• Puoi eseguire il ping degli endpoint VPN:

  ping example_IP

  Nota: sostituisci example_IP con l'indirizzo IP pubblico dell'endpoint VPN AWS.
• La rete on-premises avvia il traffico in entrata verso AWS.
  Nota: per impostazione predefinita i servizi VPN AWS funzionano in modalità risponditore e consentono modifiche alla configurazione delle negoziazioni IKE, delle impostazioni di timeout tra pari e di altre impostazioni di configurazione. Per ulteriori informazioni, consulta Opzioni di avvio del tunnel AWS Site-to-Site VPN.

Controlla l'azione Startup

Se l'azione Startup del tunnel è Start, intraprendi le seguenti azioni:

• Se l'endpoint VPN è l'iniziatore IKE del tunnel VPN, verifica che le opzioni del tunnel nel dispositivo gateway del cliente e in AWS corrispondano.
• Per l'autenticazione con chiave precondivisa, verifica che l'ID locale del dispositivo gateway del cliente e l'indirizzo IP pubblico in AWS corrispondano. Per l'autenticazione del certificato, verifica che l'ID locale del dispositivo gateway del cliente sia l'oggetto del certificato.

Verifica che il traffico passi per le porte richieste

Se il gateway del cliente è protetto da un dispositivo NAT, utilizza mytraceroute (MTR) per verificare che il traffico passi per le porte richieste:

• Verifica che i pacchetti Unified Data Provider (UDP) possano passare tra la rete e gli endpoint VPN sulla porta 500. Se NAT-traversal è attivo, controlla anche la porta 4500.
• Verifica che il provider di servizi Internet (ISP) intermedio consenta il traffico sulla porta 500. Se utilizzi NAT-traversal, verifica che l'ISP consenta il traffico sulla porta 4500.

Per ulteriori informazioni, consulta Come posso risolvere la perdita di pacchetti sulla mia connessione VPN AWS?

Nota: è consigliabile disattivare NAT-traversal se il gateway del cliente non è protetto da un dispositivo PAT (Port Address Translation). Se per una connessione Site-to-Site VPN è attivata l'accelerazione, verifica che nel dispositivo gateway del cliente NAT-traversal sia attivo.

Risolvi i problemi relativi agli errori IPSec/Fase 2 quando IKE/Fase 1 è attivo

Controlla le seguenti configurazioni:

• Confronta le impostazioni del dispositivo gateway del cliente con il file di configurazione della Site-to-Site VPN per verificare che i parametri della Fase 2 siano configurati correttamente. Per un dispositivo gateway del cliente con opzioni non predefinite, utilizza la console AWS VPC per verificare i parametri della Fase 2.
• Verifica di aver configurato correttamente i parametri della Fase 2 supportati per IKEv1 e IKEv2 nel dispositivo gateway del cliente.
• Verifica che Diffie-Hellman Perfect Forward Secrecy (PFS) sia attivo e utilizzi i gruppi Diffie-Hellman per la generazione delle chiavi.
• Verifica che le associazioni di sicurezza e i selettori di traffico in AWS e nel dispositivo gateway del cliente corrispondano.
• Verifica che le opzioni di connessione VPN per gli indirizzi IP remoti e locali corrispondano alle associazioni di sicurezza nel dispositivo gateway del cliente. Per ulteriori informazioni, consulta Come posso risolvere i problemi di connessione tra un endpoint VPN AWS e una VPN basata su policy?

Risolvi altri problemi comuni di connettività VPN

Se il problema persiste, intraprendi le seguenti azioni:

• Controlla i log della Site-to-Site VPN per individuare eventuali errori che corrispondono all'errore di connessione.
• Controlla i log di debug di IPSec per determinare la causa dell'errore e come risolverlo.

Informazioni correlate

Come posso controllare lo stato attuale del mio tunnel VPN?

Modificare le opzioni del tunnel AWS Site-to-Site VPN

File di configurazione del routing statico scaricabili per un dispositivo gateway del cliente AWS Site-to-Site VPN

File di configurazione del routing dinamico scaricabili per il dispositivo gateway del cliente AWS Site-to-Site VPN