Pourquoi IPsec/Phase 2 pour Site-to-Site VPN ne parvient-il pas à établir une connexion ?

Résolution

Si une connexion IPsec/Phase 2 échoue, effectuez alors les actions suivantes :

• Assurez-vous que les paramètres Phase 2 Site-to-Site VPN du périphérique de passerelle client correspondent aux paramètres du tunnel du VPN.
  Remarque : Vous pouvez télécharger un exemple de fichier de configuration pour le VPN, puis comparer ce fichier aux paramètres du tunnel pour la passerelle client. Toutefois, si les tunnels VPN ont des paramètres personnalisés, l'exemple de fichier de configuration risque alors de ne pas correspondre aux paramètres Phase 2 des tunnels VPN.
• Vérifiez que les paramètres Phase 2 pour Internet Key Exchange (IKE) v1 et IKEv2 sont conformes aux bonnes pratiques pour le périphérique de passerelle client.
  Voici un exemple de paramètres qui suivent les bonnes pratiques :
  Chiffrement IKEv1 : AES-128, AES-256, AES128-GCM-16, AES256-GCM-16
  Intégrité des données IKEv1 : SHA-1, SHA2-256, SHA2-384, SHA2-512
  Groupes IKEv1 DH : 2, 5 et 14-24
  Durée de vie : 3 600 secondes
  Diffie-Hellman Perfect Forward Secrecy (PFS) : Actif
  Paramètres AWS Phase 2 : AES128, SHA1, groupe Diffie-Hellman 2
  Paramètres AWS GovCloud (US) Phase 2 : AES128, SHA2, groupe Diffie-Hellman 14
• Assurez-vous que Diffie-Hellman PFS est actif et utilise les groupes Diffie-Hellman pour la génération de clés. Pour plus d'informations, consultez Options de tunnel pour la connexion Site-to-Site VPN.
• Vérifiez que les associations de sécurité et les sélecteurs de trafic correspondent sur la passerelle client et sur AWS. Pour plus d'informations, consultez Comment résoudre les problèmes de connexion entre un point de terminaison AWS VPN et un VPN basé sur une politique ?
• Si la connexion utilise l'identification IKEv2 IDi avec à la fois l'identification de l'initiateur et l'identification IDr, assurez-vous alors de configurer correctement le paramètre du répondeur. Pour plus d'informations, consultez Internet Key Exchange Protocol version 2 (IKEv2) sur le site Web de l'Internet Engineering Task Force (IETF).
• Vérifiez que les options de connexion Site-to-Site VPN configurées à la fois pour les adresses IP distantes et locales correspondent aux associations de sécurité sur la passerelle client. Pour plus d'informations, consultez Comment résoudre les problèmes de connexion entre un point de terminaison AWS VPN et un VPN basé sur une politique ?
• Assurez-vous que la passerelle client initie le trafic entrant. Pour plus d'informations, consultez Options d'initiation d'un tunnel Site-to-Site VPN.
  Remarque : Par défaut, Site-to-Site VPN fonctionne en mode répondeur.
• Activez les journaux Site-to-Site VPN, puis passez en revue les journaux pour détecter les erreurs qui correspondent à l'échec de connexion. Après avoir passé en revue, résolvez les erreurs de connexion.

Informations connexes

Fichiers de configuration du routage dynamique téléchargeables pour un périphérique de passerelle client Site-to-Site VPN

Fichiers de configuration du routage statique téléchargeables pour un périphérique de passerelle client Site-to-Site VPN

Modifier les options du tunnel Site-to-Site VPN