為什麼我的 Site-to-Site VPN 無法建立連線？

解決方法

如果 VPN 無法建立連線，代表 IKE/第一階段或 IPsec/第二階段處於關閉狀態。

開啟 Site-to-Site VPN 日誌。使用日誌來檢查每個階段的狀態，也可以在客戶閘道裝置上檢查各階段的狀態。接下來，根據未連線的階段對失敗的連線進行疑難排解。

**注意：**只有在第一階段與第二階段的狀態皆為 UP (開啟) 時，VPN 的狀態才會是 UP。在動態 VPN 上，邊界閘道協定 (BGP) 的狀態也必須為 UP。如果 VPN 已建立 IKE/第一階段連線，但 IPsec/第二階段連線狀態為 DOWN (關閉)，則 VPN 狀態亦為 DOWN。

對 IKE/第一階段失敗進行疑難排解

檢查客戶閘道裝置

在客戶閘道裝置上，檢查下列組態：

• VPN 組態符合客戶閘道裝置的需求。如需更多資訊，請參閱 Troubleshooting Site-to-Site VPN customer gateway device (對 Site-to-Site VPN 客戶閘道裝置進行疑難排解)。
• AWS 與客戶閘道使用相同版本的 IKE。
  **注意：**AWS 同時支援 IKEv1 和 IKEv2。
• 客戶閘道裝置上的第一階段參數與 AWS 上的第一階段參數相符。如需更多資訊，請參閱 Tunnel options for your Site-to-Site VPN connection (Site-to-Site VPN 連線的通道選項)。
• VPN 連線的第一階段生命週期選項，對於您使用的 IKE 版本而言必須夠長。如果選項過短，請重新設定通道選項，使第一階段生命週期夠長。
• 客戶閘道裝置具有正確的預先共用金鑰或有效憑證。
• 您可以 Ping 檢測 VPN 端點：

  ping example_IP

  **注意：**請將 example_IP 替換為 AWS VPN 端點的公有 IP 位址。
• 內部部署網路向 AWS 發起傳入流量。
  **注意：**AWS VPN 服務預設以回應者模式運作，並允許對 IKE 交涉、對等體逾時設定以及其他組態設定進行變更。如需更多資訊，請參閱 Site-to-Site VPN tunnel initiation options (Site-to-Site VPN 通道發起選項)。

檢查啟動動作

如果通道的啟動動作為 Start (開始)，請採取下列動作：

• 如果 VPN 端點是 VPN 通道 IKE 的發起者，請確認客戶閘道裝置與 AWS 上的通道選項相符。
• 對於預先共用金鑰身分驗證，請確認客戶閘道裝置的本機 ID 與 AWS 上的公有 IP 位址相符。對於憑證身分驗證，請確認客戶閘道裝置的本機 ID 為憑證主體。

確認流量通過必要連接埠

如果客戶閘道位於 NAT 裝置後方，請使用 mytraceroute (MTR) 確認流量通過必要連接埠：

• 確認用戶資料報協定 (UDP) 封包可以在網路與 VPN 端點之間的連接埠 500 上通過。如果 NAT 穿透已啟用，則亦需檢查連接埠 4500。
• 確認中間網際網路服務供應商 (ISP) 允許連接埠 500 上的流量。如果您使用 NAT 穿透，請確認 ISP 允許連接埠 4500 上的流量。

如需更多資訊，請參閱如何對 AWS VPN 連線上的封包遺失問題進行疑難排解？

**注意：**如果您的客戶閘道不在連接埠位址轉換 (PAT) 裝置後方，則最佳實務是關閉 NAT 穿透。如果 Site-to-Site VPN 連線 已開啟加速，請確認客戶閘道裝置上的 NAT 穿透處於啟用狀態。

當 IKE/第一階段為 UP 時，對 IPsec/第二階段失敗進行疑難排解

檢查以下組態：

• 比較客戶閘道裝置設定與 Site-to-Site VPN 組態檔案，來確認第二階段參數是否經過正確設定。對於使用非預設選項的客戶閘道裝置，請使用 AWS VPC 主控台來確認第二階段參數。
• 確認您已在客戶閘道裝置上正確設定所支援的 IKEv1 與 IKEv2 第二階段參數。
• 確認 Diffie-Hellman 完全正向保密 (PFS) 已啟用，並使用 Diffie-Hellman 群組產生金鑰。
• 確認 AWS 與客戶閘道裝置上的安全關聯和流量選取器相符。
• 確認遠端和本機 IP 位址的 VPN 連線選項與客戶閘道裝置上的安全關聯相符。如需更多資訊，請參閱如何對 AWS VPN 端點與政策型 VPN 之間的連線問題進行疑難排解？

對其他常見 VPN 連線失敗進行疑難排解

如果問題仍存在，請採取下列動作：

• 檢閱 Site-to-Site VPN 日誌，找出對應連線錯誤的錯誤。
• 檢查 IPsec 偵錯日誌，判斷失敗原因及如何進行疑難排解。

相關資訊

如何檢查 VPN 通道的目前狀態？

Modify Site-to-Site VPN tunnel options (修改 Site-to-Site VPN 通道選項)

Downloadable static routing configuration files for an Site-to-Site VPN customer gateway device (適用於 Site-to-Site VPN 客戶閘道裝置的可下載靜態路由組態檔案)

Downloadable dynamic routing configuration files for Site-to-Site VPN customer gateway device (適用於 Site-to-Site VPN 客戶閘道裝置的可下載動態路由組態檔案)