Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Fehlerbehebung AWS Site-to-Site VPN Konnektivität mit einem Cisco ASA-Kunden-Gateway-Gerät

Wenn Sie die Konnektivität eines Cisco-Kunden-Gateway-Geräts beheben, berücksichtigen Sie IKE, IPsec und Routing. Sie können zwar in beliebiger Reihenfolge nach Fehlern in diesen drei Bereichen suchen, wir empfehlen jedoch, mit IKE (am Ende des Netzwerk-Stacks) zu beginnen und sich hochzuarbeiten.

IKE

Verwenden Sie den folgenden -Befehl. Die Antwort zeigt ein Kunden-Gateway-Gerät mit korrekt konfiguriertem IKE.

ciscoasa# show crypto isakmp sa

   Active SA: 2
   Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)
Total IKE SA: 2

1   IKE Peer: AWS_ENDPOINT_1
    Type    : L2L             Role    : initiator
    Rekey   : no              State   : MM_ACTIVE

Es sollte mindestens eine Zeile mit einem src-Wert für das in den Tunneln angegebene Remote-Gateway angezeigt werden. Der state-Wert sollte MM_ACTIVE und status sollte ACTIVE lauten. Wenn kein Eintrag vorhanden ist oder ein anderer Zustand angezeigt wird, ist IKE nicht korrekt konfiguriert.

Wenn Sie weitere Informationen zur Fehlersuche benötigen, führen Sie die folgenden Befehle aus, um Protokollmeldungen mit Diagnoseinformationen zu aktivieren.

router# term mon
router# debug crypto isakmp

Wenn Sie Debugging deaktivieren möchten, führen Sie den folgenden Befehl aus.

router# no debug crypto isakmp

IPsec

Verwenden Sie den folgenden -Befehl. Das Ergebnis ist ein Kunden-Gateway mit korrekt konfigurierter IPsec.

ciscoasa# show crypto ipsec sa

interface: outside
    Crypto map tag: VPN_crypto_map_name, seq num: 2, local addr: 172.25.50.101

      access-list integ-ppe-loopback extended permit ip any vpc_subnet subnet_mask
      local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      remote ident (addr/mask/prot/port): (vpc_subnet/subnet_mask/0/0)
      current_peer: integ-ppe1

      #pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
      #pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0
      #pkts compressed: 0, #pkts decompressed: 0
      #pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
      #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      #send errors: 0, #recv errors: 0

      local crypto endpt.: 172.25.50.101, remote crypto endpt.: AWS_ENDPOINT_1

      path mtu 1500, ipsec overhead 74, media mtu 1500
      current outbound spi: 6D9F8D3B
      current inbound spi : 48B456A6

    inbound esp sas:
      spi: 0x48B456A6 (1219778214)
         transform: esp-aes esp-sha-hmac no compression
         in use settings ={L2L, Tunnel, PFS Group 2, }
         slot: 0, conn_id: 4710400, crypto-map: VPN_cry_map_1
         sa timing: remaining key lifetime (kB/sec): (4374000/3593)
         IV size: 16 bytes
         replay detection support: Y
         Anti replay bitmap:
          0x00000000 0x00000001
    outbound esp sas:
      spi: 0x6D9F8D3B (1839172923)
         transform: esp-aes esp-sha-hmac no compression
         in use settings ={L2L, Tunnel, PFS Group 2, }
         slot: 0, conn_id: 4710400, crypto-map: VPN_cry_map_1
         sa timing: remaining key lifetime (kB/sec): (4374000/3593)
         IV size: 16 bytes
         replay detection support: Y
         Anti replay bitmap:
         0x00000000 0x00000001

Sie sollten für jede Tunnelschnittstelle sowohl inbound esp sas als auch outbound esp sas sehen. Dabei wird vorausgesetzt, dass eine SA aufgelistet (z. B. spi: 0x48B456A6) und IPsec korrekt konfiguriert ist.

Bei Cisco ASA startet IPsec erst, wenn entsprechender Datenverkehr (Datenverkehr, der verschlüsselt werden soll) gesendet wird. Um die IPsec dauerhaft zu aktivieren, sollten Sie SLA-Überwachung konfigurieren. Die SLA-Überwachung sendet dauerhaft interessanten Datenverkehr, damit die IPsec aktiv bleibt.

Sie können IPsec auch mit dem folgenden Ping-Befehl aktivieren und zu Verhandlungen zwingen.

ping ec2_instance_ip_address

Pinging ec2_instance_ip_address with 32 bytes of data:

Reply from ec2_instance_ip_address: bytes=32 time<1ms TTL=128
Reply from ec2_instance_ip_address: bytes=32 time<1ms TTL=128
Reply from ec2_instance_ip_address: bytes=32 time<1ms TTL=128

Ping statistics for 10.0.0.4:
Packets: Sent = 3, Received = 3, Lost = 0 (0% loss),

Approximate round trip times in milliseconds:
Minimum = 0ms, Maximum = 0ms, Average = 0ms

Aktivieren Sie zur weiteren Problembehebung mit dem folgenden Befehl Debugging.

router# debug crypto ipsec

Wenn Sie Debugging deaktivieren möchten, führen Sie den folgenden Befehl aus.

router# no debug crypto ipsec

Routing

Senden Sie einen Ping ans andere Ende des Tunnels. Wenn dies funktioniert, sollte Ihr IPsec eingerichtet sein. Überprüfen Sie andernfalls Ihre Zugriffslisten und lesen Sie im vorherigen Abschnitt "IPsec" weiter.

Wenn Sie nicht in der Lage sind, Ihre Instances zu erreichen, überprüfen Sie die folgenden Informationen.

Lassen Sie die Tunnelschnittstelle abprallen

Wenn der Tunnel in Betrieb zu sein scheint, der Verkehr aber nicht richtig fließt, können Verbindungsprobleme häufig durch Bouncing (Deaktivierung und erneutes Aktivieren) der Tunnelschnittstelle behoben werden. So schalten Sie die Tunnelschnittstelle auf einer Cisco ASA ab: