Perché il mio traffico della VPN Site-to-Site non passa attraverso il mio gateway di transito anche se il tunnel è in stato UP?

Breve descrizione

Se un tunnel VPN viene visualizzato in stato UP significa che la negoziazione IPSec è riuscita. Per le VPN con routing dinamico, significa anche che è stata stabilita la sessione BGP (Border Gateway Protocol). Tuttavia, è necessario configurare il routing corretto nella tabella di routing del gateway di transito, nella tabella di routing della sottorete VPC e nel dispositivo gateway del cliente on-premises.

Risoluzione

Verifica la configurazione della tabella di routing del gateway di transito

Se non hai instradato la tabella di routing del gateway di transito verso la destinazione, è possibile che un tunnel VPN sia in stato UP quando il gateway di transito riduce il traffico. Per risolvere questo problema, esegui le azioni seguenti.

Controlla il percorso nella tabella di routing del collegamento VPN

Completa i passaggi seguenti:

1. Apri la console Amazon VPC.
2. Nel pannello di navigazione, scegli Tabelle di routing del gateway di transito.
3. Seleziona la tabella di routing associata al tuo collegamento VPN.
4. Scegli la scheda Percorsi.
5. Verifica che esista un percorso per l’intervallo CIDR del VPC di destinazione e punti al collegamento VPC corretto.

Controlla il percorso nella tabella di routing del collegamento VPC

Completa i passaggi seguenti:

1. Apri la console Amazon VPC.
2. Nel pannello di navigazione, scegli Tabelle di routing del gateway di transito.
3. Seleziona la tabella di routing associata al collegamento VPC.
4. Scegli la scheda Percorsi.
5. Verifica che esista un percorso per l’intervallo CIDR on-premises e punti al collegamento VPN corretto.

Qualora entrambe le tabelle di routing non contengano percorsi, attiva la propagazione dei percorsi oppure aggiungi un percorso statico che punti al collegamento corretto.

Nota: se non sono presenti associazioni tra le tabelle di routing e i collegamenti, tutto il traffico proveniente da tale collegamento sarà eliminato. Per associare una tabella di routing, scegli la scheda Associazioni, quindi crea un’associazione per il collegamento.

Per confermare i problemi di routing, controlla Amazon CloudWatch. Se la metrica PacketDropCountNoRoute sul gateway di transito è maggiore di zero, il gateway di transito riduce il traffico perché non esiste alcun percorso.

Attiva la propagazione del percorso

Completa i passaggi seguenti:

1. Apri la console Amazon VPC.
2. Nel pannello di navigazione, scegli Tabelle di routing del gateway di transito.
3. Seleziona la tabella di routing associata al tuo collegamento VPN.
4. Scegli la scheda Propagazioni, quindi verifica che venga visualizzato il collegamento VPC. Se assente, scegli Azioni > Crea propagazione e quindi seleziona il collegamento VPC.
5. Nelle Tabelle di routing del gateway di transito, seleziona la tabella di routing associata al collegamento VPC.
6. Scegli la scheda Propagazioni, quindi verifica che venga visualizzato il collegamento VPN. Se assente, scegli Azioni > Crea propagazione e quindi seleziona il collegamento VPN.

Nota: se la propagazione predefinita della tabella di routing è disattivata sul gateway di transito, è necessario attivare esplicitamente la propagazione per ogni collegamento.

Verifica la configurazione della tabella di routing della sottorete VPC

La tabella di routing della sottorete VPC deve avere un percorso per il CIDR on-premises che punta al gateway di transito. Senza questo percorso, il traffico destinato alla rete on-premises non raggiunge il gateway di transito.

Completa i passaggi seguenti:

1. Apri la console Amazon VPC.
2. Nel pannello di navigazione, scegli Tabelle di routing.
3. Seleziona la tabella di routing associata alla sottorete che contiene la risorsa di origine o destinazione.
4. Verifica che esista un percorso per l’intervallo CIDR on-premises e punti al gateway di transito.
5. Se non esistono percorsi, scegli Modifica percorsi e poi Aggiungi percorso. Inserisci come destinazione il CIDR on-premises, poi seleziona il gateway di transito come destinazione del percorso.

Nota: un gateway di transito non propaga i percorsi nelle tabelle di routing della sottorete VPC. È necessario aggiungere i percorsi statici manualmente. Se di recente hai eseguito la migrazione da un gateway virtuale privato, verifica che la tabella di routing punti al gateway di transito.

Se hai più sottoreti, verifica che la tabella di routing di ogni sottorete presenti il percorso corretto verso il gateway di transito.

Verifica che il traffico di ritorno dall’ambiente on-premises raggiunga AWS

Se hai configurato correttamente il gateway di transito e le tabelle di routing VPC ma continui a riscontrare problemi di connettività, verifica il routing on-premises.

Esegui le azioni seguenti:

• Verifica che il dispositivo gateway del cliente abbia un percorso per l’intervallo CIDR di Amazon VPC che punti all’interfaccia del tunnel VPN.
• Se il dispositivo gateway del cliente ha più percorsi di routing, verifica che il traffico destinato all’intervallo CIDR di Amazon VPC non utilizzi un percorso diverso.
• Verifica che il dispositivo gateway del cliente consenta il routing asimmetrico (il traffico utilizza tunnel o percorsi diversi in ogni direzione). Se il dispositivo non consente il routing asimmetrico, configura il routing in modo da preferire un tunnel singolo.
• Controlla i contatori del traffico sull’interfaccia del tunnel VPN del dispositivo gateway del cliente per verificare che il traffico fluisca in entrambe le direzioni.

Nota: se tutte le configurazioni di routing sono corrette ma il traffico continua a non raggiungere la risorsa di destinazione, verifica che le risorse consentano il traffico. Per eseguire la verifica, conferma che il gruppo di sicurezza associato alla risorsa consenta il traffico dal CIDR on-premises. Quindi, assicurati che la lista di controllo degli accessi (ACL) consenta il traffico da e verso il CIDR on-premises.

Informazioni correlate

Perché non riesco a connettermi ad Amazon VPC quando utilizzo una VPN sito-sito che termina su un gateway di transito?

Come posso risolvere i problemi di routing del traffico sulla VPN Site-to-Site?

Tabelle di routing del gateway di transito in AWS Transit Gateway

Come funziona AWS Transit Gateway