为什么 Site-to-Site VPN 会出现问题？

解决方法

查看 VPN 隧道的状态。只有当互联网密钥交换（IKE）/第 1 阶段和互联网协议安全（IPsec）/第 2 阶段的状态均为 UP 时，VPN 隧道的状态才为 UP。对于动态 VPN，边界网关协议（BGP）的状态也必须为 UP。如果 VPN 建立了 IKE/第 1 阶段连接，但 IPsec/第 2 阶段连接的状态为 DOWN，则 VPN 隧道状态也为 DOWN。

如果隧道状态已经是 UP，但流量未通过连接，请对路由问题进行故障排除。

如果隧道状态为 DOWN，请完成以下步骤：

1. 确保客户网关设备上的远程对等 IP 地址与 VPN 端点的外部公有 IP 地址相对应。有关更多信息，请参阅修改 Site-to-Site VPN 隧道选项。
2. 如果使用 NAT 设备，请记下 AWS 上的公有 IP 地址。然后，确认公有 IP 地址与客户网关设备或其广域网（WAN）接口的公有 IP 地址相对应。有关更多信息，请参阅 Site-to-Site VPN 连接的客户网关选项。
3. 检查 VPN 端点是否与客户网关设备连接。然后从客户网关设备 ping 端点的外部公有 IP 地址或 WAN 接口。
4. 确认防火墙策略是否允许用户数据协议（UDP）端口 500 上的出站和入站流量进出 AWS VPN 端点。有关更多信息，请参阅 Site-to-Site VPN 客户网关设备的防火墙规则。
   注意： 如果客户网关在 NAT 设备后面，则此策略适用于 UDP 4500 的出站和入站流量。
5. 如果使用网络地址转换（NAT）遍历，请确认中间互联网服务提供商（ISP）是否允许 UDP 端口 500 或端口 4500 上的流量。
6. 检查您在 AWS 端和客户网关设备上配置的 IKE 版本是否匹配。
7. 确保客户网关和 AWS 上的第 1 阶段和第 2 阶段参数相匹配。有关更多信息，请参阅 Site-to-Site VPN 连接的隧道选项。
8. 在 AWS 管理控制台中，选择 VPC。
9. 选择 VPN。然后，选择 Site-to-Site VPN 连接。
10. 选择下载配置，然后记下配置文件中的预共享密钥。然后，使用配置文件确认 AWS 和客户网关设备上的密钥是否匹配。有关更多信息，请参阅 Site-to-Site VPN 客户网关设备的静态和动态配置文件。
11. 查看 Site-to-Site VPN 日志中是否存在阻碍连接的错误。如果使用 BGP，请完成启用 AWS Site-to-Site VPN 日志的在现有 Site-to-Site VPN 连接上启用隧道 BGP 日志记录部分中的步骤。然后，使用 BGP 日志调查发现，对 Site-to-Site VPN 隧道的错误进行故障排除。
12. 如果使用 BGP，请对 BGP 连接错误进行故障排除。
13. 如果 VPN 连接基于证书，请确认客户网关拥有有效且正确的证书。
    注意： 证书必须包括私有证书、根证书颁发机构（CA）证书和从属 CA 证书。
14. 确认已将启动操作设置为启动，并且其使用基于证书的 VPN。然后，确保客户网关在 AWS 的客户网关构造中定义了公有 IP 地址。
    注意： 在此设置中，AWS 不会发起 IKE 协商或重新生成密钥。反之，您的客户网关会执行这些操作。有关更多信息，请参阅规则和限制。
15. 如果使用加速 VPN 且其采用基于证书的身份验证，请确保客户网关支持 IKE 分段。
16. 如果使用动态 VPN，请确认您在客户网关设备上正确配置了内部 IP 地址。然后，在客户网关设备上，检查 IPsec 和 BGP 的状态是否均为 UP。
17. 测试 Site-to-Site VPN 连接。