Site-to-Site VPN が接続を確立できない理由を教えてください。

解決策

VPN が接続を確立できない場合、IKE/フェーズ 1 または IPsec/フェーズ 2 がダウンしています。

Site-to-Site VPN ログを有効にします。ログを使用して、各フェーズのステータスを確認します。また、カスタマーゲートウェイデバイスでもフェーズステータスを確認できます。接続が確立されないフェーズに基づいて、接続失敗のトラブルシューティングを行います。

注: VPN のステータスが UP となるのは、フェーズ 1 とフェーズ 2 の両方が UP の場合のみです。動的 VPN の場合、ボーダーゲートウェイプロトコル (BGP) のステータスも UP である必要があります。VPN が IKE/フェーズ 1 接続を確立したが、IPsec/フェーズ 2 接続ステータスが DOWN の場合、VPN ステータスも DOWN になります。

IKE/フェーズ 1 障害のトラブルシューティング

カスタマーゲートウェイデバイスを確認する

カスタマーゲートウェイデバイスで、以下の設定を確認してください。

• VPN の設定がカスタマーゲートウェイデバイスの要件を満たしていること。詳細については、「Troubleshooting Site-to-Site VPN customer gateway device」(Site-to-Site VPN カスタマーゲートウェイデバイスに関するトラブルシューティング) を参照してください。
• AWS とカスタマーゲートウェイが同じバージョンの IKE を使用していること。
  注: AWS は IKEv1 と IKEv2 の両方をサポートしています。
• カスタマーゲートウェイデバイスのフェーズ 1 パラメータが、AWS のフェーズ 1 パラメータと一致していること。詳細については、「Tunnel options for your Site-to-Site VPN connection」(Site-to-Site VPN 接続のトンネルオプション) を参照してください。
• VPN 接続のフェーズ 1 のライフタイムオプションが、使用している IKE のバージョンに対して十分な長さであること。オプションが短すぎる場合は、トンネルオプションを再設定して、フェーズ 1 のライフタイムを十分長くしてください。
• カスタマーゲートウェイデバイスが正しい事前共有キーまたは有効な証明書を使用していること。
• VPN エンドポイントに ping を送信できること。

  ping example_IP

  注: example_IP を AWS VPN エンドポイントのパブリック IP アドレスに置き換えてください。
• オンプレミスネットワークが AWS へのインバウンドトラフィックを開始すること。
  注: AWS VPN サービスはデフォルトでレスポンダーモードで動作し、IKE ネゴシエーションやピアのタイムアウト設定、その他の設定の変更が可能です。詳細については、「Site-to-Site VPN tunnel initiation options」(Site-to-Site VPN トンネル開始オプション) を参照してください。

スタートアップアクションを確認する

トンネルのスタートアップアクションが Start の場合、以下のアクションを実行してください。

• VPN エンドポイントが VPN トンネルの IKE イニシエータである場合、カスタマーゲートウェイデバイスと AWS のトンネルオプションが一致していることを確認します。
• 事前共有キー認証の場合、カスタマーゲートウェイデバイスのローカル ID と AWS 上のパブリック IP アドレスが一致していることを確認します。証明書認証の場合、カスタマーゲートウェイデバイスのローカル ID が証明書のサブジェクトであることを確認します。

トラフィックが必須ポートを通過することを確認する

カスタマーゲートウェイが NAT デバイスの背後にある場合、mytraceroute (MTR) を使用して、必要なポートを通じてトラフィックが通過することを確認します。

• ポート 500で、ネットワークと VPN エンドポイント間で統合データプロバイダー (UDP) パケットが通過できることを確認します。NAT トラバーサルが有効な場合、ポート 4500 も確認します。
• 中間のインターネットサービスプロバイダー (ISP) が、ポート 500 でのトラフィックを許可していることを確認します。NAT トラバーサルを使用する場合、ISP がポート 4500 でのトラフィックを許可していることを確認します。

詳細については、「AWS VPN 接続でのパケット損失のトラブルシューティング方法を教えてください」を参照してください。

注: カスタマーゲートウェイがポートアドレス変換 (PAT) デバイスの背後にない場合は、NAT トラバーサル をオフにするのがベストプラクティスです。Site-to-Site VPN 接続でアクセラレーションが有効になっている場合、カスタマーゲートウェイデバイスで NAT トラバーサルが有効になっていることを確認してください。

IKE/フェーズ 1 が UP のときに IPsec/フェーズ 2 が失敗する問題をトラブルシューティングする

次の設定を確認します。

• カスタマーゲートウェイデバイスの設定を Site-to-Site VPN の設定ファイルと比較し、フェーズ 2 のパラメータが正しく設定されていることを確認します。デフォルト以外のオプションを使用しているカスタマーゲートウェイデバイスの場合、AWS VPC コンソールを使用してフェーズ 2 のパラメータを確認します。
• カスタマーゲートウェイデバイスで、IKEv1 および IKEv2 にサポートされているフェーズ 2 のパラメータが正しく設定されていることを確認します。
• Diffie-Hellman 完全前方秘匿性 (PFS) が有効であり、キー生成に Diffie-Hellman グループを使用していることを確認します。
• AWS とカスタマーゲートウェイデバイスのセキュリティアソシエーションとトラフィックセレクターが一致していることを確認します。
• リモート IP アドレスとローカル IP アドレスに関する VPN 接続オプションが、カスタマーゲートウェイデバイスのセキュリティアソシエーションと一致していることを確認します。詳細については、「AWS VPN エンドポイントとポリシーベースの VPN の間の接続の問題をトラブルシューティングするにはどうすればよいですか?」を参照してください。

その他の一般的な VPN 接続障害のトラブルシューティング

問題が解決しない場合は、次のアクションを実行してください。

• 接続エラーに対応するエラーについては、Site-to-Site VPN ログを確認してください。
• IPsec デバッグログを確認して、障害の原因とそのトラブルシューティング方法を特定します。

関連情報

VPN トンネルの現在のステータスを確認する方法を教えてください。

Modify Site-to-Site VPN tunnel options (Site-to-Site VPN トンネルオプションの変更)

Downloadable static routing configuration files for an Site-to-Site VPN customer gateway device (Site-to-Site VPN カスタマーゲートウェイデバイスのダウンロード可能な静的ルーティング設定ファイル)

Downloadable dynamic routing configuration files for Site-to-Site VPN customer gateway device (Site-to-Site VPN カスタマーゲートウェイデバイスのダウンロード可能な動的ルーティング設定ファイル)