Por que o IPsec/Fase 2 da Site-to-Site VPN não consegue estabelecer uma conexão?

Resolução

Se uma conexão IPsec/Fase 2 falhar, execute as seguintes ações:

• Certifique-se de que os parâmetros da Fase 2 da Site-to-Site VPN em seu dispositivo de gateway do cliente correspondam às configurações de túnel da VPN.
  Observação: você pode baixar um arquivo de configuração de exemplo para sua VPN e, em seguida, comparar esse arquivo com as configurações de túnel do gateway do cliente. No entanto, se seus túneis de VPN tiverem configurações personalizadas, o arquivo de configuração de exemplo talvez não corresponda aos parâmetros da Fase 2 dos túneis de VPN.
• Verifique se os parâmetros da Fase 2 para o Internet Key Exchange (IKE) v1 e IKEv2 seguem as práticas recomendadas para o seu dispositivo de gateway do cliente.
  Veja a seguir um exemplo de parâmetros que seguem as práticas recomendadas:
  ICriptografia KEv1: AES-128, AES-256, AES128-GCM-16, AES256-GCM-16
  IIntegridade de dados do KEv1: SHA-1, SHA2-256, SHA2-384, SHA2-512
  Grupos DH do IKEv1: 2, 5 e 14-24
  Permanência: 3600 segundos
  Diffie-Hellman Perfect Forward Secrecy (PFS): Ativo
  Parâmetros da Fase 2 da AWS: AES128, SHA1, grupo 2 de Diffie-Hellman
  Parâmetros da Fase 2 do AWS GovCloud (EUA): AES128, SHA2, grupo 14 de Diffie-Hellman
• Certifique-se de que o Diffie-Hellman PFS esteja ativo e use grupos Diffie-Hellman para geração de chaves. Para obter mais informações, consulte Opções de túnel para sua conexão Site-to-Site VPN.
• Verifique se as associações de segurança e os seletores de tráfego são correspondentes no gateway do cliente e na AWS. Para mais informações, consulte Como soluciono problemas de conexão entre um endpoint de VPN da AWS e uma VPN baseada em políticas?
• Se a conexão usar a Identificação IKEv2 IDi com a Identificação do Iniciador e IDr, certifique-se de configurar corretamente o parâmetro do respondente. Para obter mais informações, consulte Internet Key Exchange Protocol Version 2 (IKEv2) no site da Internet Engineering Task Force (IETF).
• Verifique se as opções de conexão Site-to-Site VPN configuradas para endereços IP remotos e locais correspondem às associações de segurança no gateway do cliente. Para mais informações, consulte Como soluciono problemas de conexão entre um endpoint de VPN da AWS e uma VPN baseada em políticas?
• Certifique-se de que o gateway do cliente inicie o tráfego de entrada. Para obter mais informações, consulte Opções de iniciação do túnel da Site-to-Site VPN.
  Observação: por padrão, a Site-to-Site VPN funciona no modo respondente.
• Ative os logs da Site-to-Site VPN e, em seguida, revise os logs em busca de erros que correspondam à sua falha de conexão. Depois de revisar, solucione seus erros de conexão.

Informações relacionadas

Arquivos de configuração de roteamento dinâmico que podem ser baixados para o dispositivo de gateway do cliente da Site-to-Site VPN

Arquivos de configuração de roteamento estático que podem ser baixados para o dispositivo de gateway do cliente da Site-to-Site VPN

Modificar as opções de túnel da Site-to-Site VPN