對與 Cisco ASA客戶閘道裝置的 AWS Site-to-Site VPN 連線進行故障診斷 - AWS Site-to-Site VPN
IKEIPsec路由

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

對與 Cisco ASA客戶閘道裝置的 AWS Site-to-Site VPN 連線進行故障診斷

當您對 Cisco 客戶閘道裝置的連線進行疑難排解時，請考慮 IKE、 IPsec和 路由。您可以按任何順序對這些區域進行故障診斷，但我們建議您從 IKE（網路堆疊底部） 開始並向上移動。

重要

有些 Cisco ASAs僅支援作用中/待命模式。當您使用這些 Cisco 時ASAs，一次只能有一個作用中通道。另一個待命通道只有在第一個通道無法使用時，才會變成作用中。待命通道在日誌檔案中可能會出現下列錯誤，可予以忽略：Rejecting IPSec tunnel: no matching crypto map entry for remote proxy 0.0.0.0/0.0.0.0/0/0 local proxy 0.0.0.0/0.0.0.0/0/0 on interface outside

IKE

使用下列 命令。回應顯示已正確IKE設定的客戶閘道裝置。

ciscoasa# show crypto isakmp sa

   Active SA: 2
   Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)
Total IKE SA: 2

1   IKE Peer: AWS_ENDPOINT_1
    Type    : L2L             Role    : initiator
    Rekey   : no              State   : MM_ACTIVE

您應該會看到一或多行包含通道中所指定遠端閘道的 src 數值。state 數值應為 MM_ACTIVE，而 status 應為 ACTIVE。缺少項目，或處於其他狀態的任何項目，表示 IKE 未正確設定。

如需進一步故障診斷，請執行下列命令來啟用提供診斷資訊的日誌訊息。

router# term mon
router# debug crypto isakmp

使用下列命令停用除錯。

router# no debug crypto isakmp

IPsec

使用下列 命令。回應顯示已正確IPsec設定的客戶閘道裝置。

ciscoasa# show crypto ipsec sa
interface: outside
    Crypto map tag: VPN_crypto_map_name, seq num: 2, local addr: 172.25.50.101

      access-list integ-ppe-loopback extended permit ip any vpc_subnet subnet_mask
      local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      remote ident (addr/mask/prot/port): (vpc_subnet/subnet_mask/0/0)
      current_peer: integ-ppe1

      #pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
      #pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0
      #pkts compressed: 0, #pkts decompressed: 0
      #pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
      #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      #send errors: 0, #recv errors: 0

      local crypto endpt.: 172.25.50.101, remote crypto endpt.: AWS_ENDPOINT_1

      path mtu 1500, ipsec overhead 74, media mtu 1500
      current outbound spi: 6D9F8D3B
      current inbound spi : 48B456A6

    inbound esp sas:
      spi: 0x48B456A6 (1219778214)
         transform: esp-aes esp-sha-hmac no compression
         in use settings ={L2L, Tunnel, PFS Group 2, }
         slot: 0, conn_id: 4710400, crypto-map: VPN_cry_map_1
         sa timing: remaining key lifetime (kB/sec): (4374000/3593)
         IV size: 16 bytes
         replay detection support: Y
         Anti replay bitmap:
          0x00000000 0x00000001
    outbound esp sas:
      spi: 0x6D9F8D3B (1839172923)
         transform: esp-aes esp-sha-hmac no compression
         in use settings ={L2L, Tunnel, PFS Group 2, }
         slot: 0, conn_id: 4710400, crypto-map: VPN_cry_map_1
         sa timing: remaining key lifetime (kB/sec): (4374000/3593)
         IV size: 16 bytes
         replay detection support: Y
         Anti replay bitmap:
         0x00000000 0x00000001

對於每個通道界面，您應該都會同時看到 inbound esp sas 和 outbound esp sas。這會假設 SA 已列出 （例如 spi: 0x48B456A6），且IPsec設定正確。

在 Cisco 中ASA，IPsec只有在傳送有趣的流量 （應該加密的流量） 之後才會出現 。若要一律保持IPsec作用中狀態，建議您設定SLA監視器。SLA 監視器會繼續傳送有趣的流量，並保持IPsec作用中狀態。

您也可以使用下列 ping 命令，強制您的 IPsec開始交涉並升級。

ping ec2_instance_ip_address
Pinging ec2_instance_ip_address with 32 bytes of data:

Reply from ec2_instance_ip_address: bytes=32 time<1ms TTL=128
Reply from ec2_instance_ip_address: bytes=32 time<1ms TTL=128
Reply from ec2_instance_ip_address: bytes=32 time<1ms TTL=128

Ping statistics for 10.0.0.4:
Packets: Sent = 3, Received = 3, Lost = 0 (0% loss),

Approximate round trip times in milliseconds:
Minimum = 0ms, Maximum = 0ms, Average = 0ms

如需進一步故障診斷，請使用下列命令啟用除錯。

router# debug crypto ipsec

使用下列命令停用除錯。

router# no debug crypto ipsec

路由

Ping 通道的另一端。如果這有效，則IPsec應該建立您的 。如果此動作無效，請檢查您的存取清單，並參閱上IPsec一節。

如果無法連接您的執行個體，請檢查下列資訊。

  1. 確認存取清單設定允許與加密映射相關聯的流量。

    您可使用下列命令來執行此作業。

    ciscoasa# show run crypto
    crypto ipsec transform-set transform-amzn esp-aes esp-sha-hmac
crypto map VPN_crypto_map_name 1 match address access-list-name
crypto map VPN_crypto_map_name 1 set pfs
crypto map VPN_crypto_map_name 1 set peer AWS_ENDPOINT_1 AWS_ENDPOINT_2
crypto map VPN_crypto_map_name 1 set transform-set transform-amzn
crypto map VPN_crypto_map_name 1 set security-association lifetime seconds 3600

  2. 使用以下命令檢查存取清單。

    ciscoasa# show run access-list access-list-name
    access-list access-list-name extended permit ip any vpc_subnet subnet_mask

  3. 確認此存取清單是否正確。下列存取清單範例允許所有至VPC子網路 10.0.0.0/16 的內部流量。

    access-list access-list-name extended permit ip any 10.0.0.0 255.255.0.0

  4. 從 Cisco ASA 裝置執行追蹤路由，以查看它是否到達 Amazon 路由器 （例如，AWS_ENDPOINT_1/AWS_ENDPOINT_2).

    如果到達 Amazon 路由器，請檢查您在 Amazon VPC主控台中新增的靜態路由，以及特定執行個體的安全群組。

  5. 如需進一步故障診斷，請檢閱組態。