Como solucionar problemas de conectividade do túnel VPN para uma Amazon VPC?

Breve descrição

O modelo de rede Amazon VPC oferece suporte a conexões VPN de segurança de protocolo de Internet (IPsec) criptografadas e de padrão aberto com a infraestrutura da AWS. Para estabelecer uma conexão de túnel VPN com uma Amazon VPC, verifique a configuração dos seguintes recursos:

• Internet Key Exchange (IKE) do túnel VPN
• IPsec do túnel VPN
• Listas de controle de acesso à rede (ACL da rede)
• Regras de grupo de segurança da Amazon VPC
• Tabela de roteamento de rede da instância do Amazon Elastic Compute Cloud (Amazon EC2)
• Firewall de instância do Amazon EC2
• Gateways VPN para gateways privados virtuais e gateways de trânsito

Resolução

Verifique se a AWS VPN pode estabelecer um túnel Site-to-Site VPN

Certifique-se de que o IKE possa estabelecer uma conexão. Além disso, certifique-se de que o IPsec possa estabelecer uma conexão.

Solucione problemas comuns de encaminhamento

Conclua as etapas a seguir:

1. Abra o console da Amazon VPC.
2. Consulte as ACL da rede para garantir que elas permitem o tráfego necessário.
   Observação: As ACL da rede personalizadas podem afetar a conectividade de rede da VPN anexada.
3. Configure regras de entrada para incluir CIDRs de origem e destino que permitem portas de destino específicas e portas de origem efêmeras (1024-65535).
4. Verifique se as tabelas de rotas nas suas instâncias do Amazon EC2 estão corretas.
5. Se você usar uma configuração Ativa/Ativa, certifique-se de ativar o Encaminhamento assimétrico em suas interfaces de túnel virtual. Para obter mais informações, consulte Como configuro minha conexão do Site-to-Site VPN para preferir o túnel A em vez do túnel B?
6. Certifique-se de que nenhum firewall bloqueie o tráfego para a instância do Amazon EC2 dentro da VPC. Execute os seguintes comandos no seu sistema operacional (SO):
   Windows:
   Abra um prompt de comando e execute o comando WF.msc. Para obter mais informações, consulte Open Windows Firewall with Advanced Security [Abrir o firewall do Windows com segurança avançada] no site da Microsoft.
   Linux:
   Abra o terminal e, em seguida, execute o comando iptables. Para obter mais informações, consulte Sysadmin tools: How to use iptables [Ferramentas Sysadmin: Como usar o iptables] no site da Red Hat.
7. Se você usa uma VPN baseada em políticas, configure o endereço de origem da sua rede interna como 0.0.0.0/0. Em seguida, defina o endereço de destino como a sub-rede da VPC. Para saber mais etapas de configuração, consulte Como soluciono problemas de conexão entre um endpoint VPN da AWS e uma VPN baseada em políticas?

Certifique-se de que o tráfego da sua rede chegue à sua instância do EC2

Conclua as etapas a seguir:

1. Abra o terminal.
2. Execute o comando a seguir para verificar se o protocolo de mensagens de controle da internet (ICMP) tem conectividade:

   ping example_IP

   Observação: Substitua example_IP pelo endereço IP do seu servidor.
   Adicione a regra ICMP em grupos de segurança e ACL de rede.
3. Com base no seu sistema operacional, execute um dos seguintes utilitários da sua rede interna em uma instância na VPC que se conecta à VPN.
   Linux:

   traceroute example-destination-IP-address

   Windows:

   tracert example-destination-IP-address

   Se a saída para traceroute ou tracert parar em um endereço IP associado à sua rede interna, verifique se o caminho de encaminhamento está correto. Para mais informações, consulte Como leio e soluciono problemas do meu traceroute para resolver problemas do AWS Direct Connect?

Solucione problemas com o dispositivo de gateway do cliente

Se o tráfego da sua rede interna chegar ao dispositivo de gateway do cliente, mas não chegar à instância, execute as seguintes ações:

• Verifique se você definiu corretamente a configuração de VPN, as políticas e as configurações de tradução de endereços de rede no dispositivo de gateway do cliente para sua VPN.
• Certifique-se de que os dispositivos upstream permitem tráfego.

Observação: Para verificar as configurações e outras configurações no dispositivo de gateway do cliente, verifique a documentação do fornecedor do seu dispositivo de gateway do cliente.

Solucione problemas com o BGP

Para solucionar problemas de conexão do Protocolo de gateway da borda (BGP), consulte Como soluciono problemas de conexão pela VPN?

Informações relacionadas

Exemplos de conexão VPN única e múltipla da AWS Site-to-site VPN

Como AWS Site-to-Site VPN funciona