VPN网关：IPsec-VPN连接常见问题

原因

解决方案

IPsec连接对端网关设备工作异常。

请排查对端网关设备。具体操作，请咨询设备所属厂商。

IPsec连接对端网关设备尚未添加IPsec-VPN配置。

请为对端网关设备添加IPsec-VPN配置，需确保对端网关设备的配置与IPsec连接的配置一致。具体操作，请参见本地网关设备配置示例。

IPsec连接对端网关设备所应用的访问控制策略未放行UDP协议500及4500端口。

请排查对端网关设备应用的访问控制策略，确保其满足以下条件：

• 出方向和入方向均放开UDP协议500及4500端口。

• 出方向和入方向均放行VPN网关实例的IP地址或IPsec连接网关IP地址。

IPsec连接对端厂商限制，需要有数据流量时才能触发IPsec协议协商。

请确认IPsec连接对端VPN网关是否存在此使用限制。

如果存在此限制，请向对端厂商咨询如何触发IPsec协议协商。

原因分类

原因

解决方案

网关设备异常

阿里云VPN网关实例欠费。

请您及时向相关账号内充值或为账号添加新的支付方式。具体操作，请参见阿里云支付方式介绍。

IPsec连接对端网关设备异常。

排查对端网关设备。具体操作，请咨询设备所属厂商。

对端网关设备应用的访问控制策略有变更。

请排查对端网关设备应用的访问控制策略，确保已允许本地数据中心与VPC之间流量互通。

IPsec-VPN配置变更

对端网关设备的IPsec-VPN配置被删除。

重新为对端网关设备添加IPsec-VPN配置，需确保对端网关设备的配置与IPsec连接的配置一致。具体操作，请参见本地网关设备配置示例。

对端网关设备的IPsec-VPN配置被修改，与IPsec连接的参数配置不一致。

请修改对端网关设备的配置使其与IPsec连接的配置一致。

对端网关设备的IPsec-VPN配置中，某个参数被指定了多个值。

例如配置对端网关设备时，指定IKE配置阶段加密算法的值为aes和aes192。

在阿里云侧配置IPsec连接时，每个参数仅支持指定一个值。请排查对端网关设备的IPsec-VPN配置，确保每个参数也仅指定了一个值，且与IPsec连接的值相同。

IPsec连接的配置被修改，与对端网关设备不一致。

请排查IPsec连接的配置使其与对端网关设备的配置一致。具体操作，请参见修改IPsec连接。

IPsec连接关联的VPC实例新配置了IPv4网关和网络ACL。

请排查VPC实例应用的IPv4网关、网络ACL的配置，使其允许本地数据中心与VPC实例之间流量互通。具体操作，请参见IPv4网关概述和网络ACL概述。

对端网关设备IP地址变更

对端网关设备用于建立IPsec-VPN连接的IP地址发生了变更，导致阿里云侧用户网关实例的IP地址与对端网关设备使用的IP地址不一致。

请确保对端网关设备用于建立IPsec-VPN连接的IP地址与阿里云侧用户网关实例配置的IP地址相同。

对端网关设备拥有多个IP地址，阿里云侧用户网关实例的IP地址与对端网关设备用于建立IPsec-VPN连接的IP地址不一致。

请确保对端网关设备用于建立IPsec-VPN连接的IP地址与阿里云侧用户网关实例配置的IP地址相同。

对端网关设备使用动态IP地址，阿里云侧用户网关实例的IP地址与对端网关设备用于建立IPsec-VPN连接的IP地址不一致。

请对端网关设备需使用静态IP地址建立IPsec-VPN连接，并确保对端网关设备使用的静态IP地址与阿里云侧用户网关实例配置的IP地址相同。

原因分类

原因

解决方案

IPsec-VPN配置变更

IPsec连接及其对端网关设备在IPsec配置阶段DH分组参数（部分本地网关设备称为PFS）的配置不一致。

请排查IPsec连接或者对端网关设备在IPsec配置阶段的DH分组参数（PFS）的配置，使两端的DH分组参数（PFS）的值配置相同。关于如何修改IPsec连接的配置，请参见修改IPsec连接。

对端网关设备的IPsec-VPN配置中，某个参数被指定了多个值。

例如配置对端网关设备时，指定IKE配置阶段加密算法的值为aes、aes192。

在阿里云侧配置IPsec连接时，每个参数仅支持指定一个值。请排查对端网关设备的IPsec-VPN配置，确保每个参数也仅指定了一个值，且与IPsec连接的值相同。

对端网关设备配置了基于流量的SA生存周期。

阿里云侧的IPsec连接不支持配置基于流量的SA生存周期，仅支持配置基于时间的SA生存周期。建议对端网关设备不配置基于流量的SA生存周期或者将基于流量的SA生存周期配置为0字节。

网络质量不佳

由于IPsec连接和对端网关设备之间的网络质量不佳，造成DPD协议报文、健康检查探测报文或IPsec协议报文丢失后超时，导致IPsec-VPN连接中断。

请排查IPsec-VPN连接中断时间点的网络连通性。

IPsec连接对端限制

IPsec连接对端厂商限制，需要有数据流量时才能触发IPsec协议协商。

请确认IPsec连接对端VPN网关是否存在此使用限制。

如果存在此限制，请向对端厂商咨询如何触发IPsec协议协商。

在建立双隧道模式的IPsec-VPN连接时，阿里云侧IPsec连接使用了感兴趣流模式，两条隧道的感兴趣流默认相同，而IPsec连接对端网关设备可能存在相关限制（例如思科ASA防火墙设备），两条隧道感兴趣流相同的情况下仅一条隧道能协商成功，且两条隧道轮流协商成功。

请和相关厂商确认IPsec连接对端网关设备是否存在此限制。

如果存在此限制，请参见本地网关设备配置示例修改IPsec连接对端网关设备的IPsec-VPN配置。

原因分类

原因

解决方案

BGP配置不正确

对端网关设备未配置正确的BGP IP地址。

请排查IPsec连接及其对端网关设备的BGP配置，确保IPsec连接的BGP IP地址和对端网关设备的BGP IP地址在相同的网段内，且互不冲突。

BGP IP地址所属网段需是一个位于169.254.0.0/16网段内，子网掩码长度为30的网段。

IPsec-VPN连接相关问题

由于IPsec-VPN连接的连通性异常，导致IPsec连接侧无法收到对端网关设备的BGP协议报文。

请排查IPsec-VPN连接的连通性，并确认IPsec连接侧是否有收到对端网关设备的BGP协议报文。

您可以在IPsec连接下查看流量监控数据，如果当前系统并未监控到任何传入流量记录，则说明IPsec连接侧未收到对端网关设备的BGP协议报文。

IPsec连接协商状态有中断。

请根据IPsec连接的日志排查IPsec连接是否一直处于“第二阶段协商成功”的状态。

如果IPsec连接协商状态不稳定，请根据日志信息排查IPsec连接的问题。具体操作，请参见自主排查IPsec-VPN连接问题。

原因分类

原因

解决方案

健康检查目标IP地址问题

健康检查目标IP地址无法访问。

请在目标IP地址关联的主机上使用目标IP地址通过ping命令或mtr命令访问健康检查源IP地址，测试目标IP地址的连通性。

如果目标IP地址无法正常访问源IP地址，请确认目标IP地址是否配置正确。

健康检查目标IP地址关联的主机工作异常，无法及时响应IPsec连接发出的探测报文（ICMP报文）。

请排查目标IP地址关联的主机是否正常。具体操作，请咨询网关设备所属厂商。

健康检查目标IP地址关联的路由配置和安全策略有变更。

比如安全策略未放行健康检查的源IP地址、目标IP地址或ICMP协议类型的报文。

请在对端网关设备侧排查目标IP地址关联的路由配置以及安全策略，确保：

• 目标IP地址可以访问健康检查源IP地址。

• 安全策略已放行健康检查的源IP地址、目标IP地址以及ICMP协议类型的报文。

健康检查目标IP地址并未从原路径（指目标IP地址接收探测报文的路径）对健康检查的探测报文做出响应。

请通过mtr命令查看目标IP地址访问健康检查源IP地址时，请求报文和响应报文的传输路径是否相同，如果不同，请排查对端网关设备侧的路由配置，确保请求报文和响应报文的传输路径相同。

IPsec-VPN连接相关问题

IPsec连接协商状态有中断。

请根据IPsec连接的日志排查IPsec连接是否一直处于“第二阶段协商成功”的状态。

如果IPsec连接协商状态不稳定，请根据日志信息排查IPsec连接的问题。具体操作，请参见自主排查IPsec-VPN连接问题。

原因分类

原因

解决方案

VPN网关规格问题

在流量互通过程中出现流量突发的情况超过了VPN网关实例的带宽规格。

您可以在VPN网关管理控制台查看VPN网关实例的流量监控信息确认是否有流量突发的情况。

您可以对VPN实例进行升配。具体操作，请参见变配VPN网关实例。

IPsec-VPN连接相关问题

IPsec连接协商状态有中断。

请根据IPsec连接的日志信息排查IPsec连接是否一直处于“第二阶段协商成功”的状态。

如果IPsec连接协商状态不稳定，隧道频繁重新协商导致网络间歇性中断，请根据日志信息排查IPsec连接的问题。具体操作，请参见自主排查IPsec-VPN连接问题。

MTU相关问题

本地数据中心用户MTU配置超过1300字节（不包含1300字节）。

对于2021年04月01日之前创建的VPN网关，如果配置本地数据中心的用户MTU大于1300字节（不包含1300字节），则可能存在IPsec-VPN连接不通的问题，建议您将VPN网关升级至最新版本以规避该问题。关于如何升级VPN网关，请参见升级VPN网关。

在流量传输过程中，流量报文过大超过了传输路径中的MTU值，导致报文被分片传输。

VPN网关只支持传输已经分片的数据包，不支持对数据包分片及数据包分片重组。推荐用户MTU设置为1399字节。更多信息，请参见MTU配置说明。

原因分类

原因

解决方案

VPN网关规格问题

在流量互通过程中出现流量突发的情况超过了VPN网关实例的带宽规格。

您可以在VPN网关管理控制台查看VPN网关实例的流量监控信息确认是否有流量突发的情况。

您可以对VPN实例进行升配。具体操作，请参见变配VPN网关实例。

网络质量不佳

由于IPsec连接和对端网关设备之间的网络质量不佳，造成流量互通过程中网络延迟大以及丢包。

请使用ping和mtr命令对VPN网关公网或私网网络进行探测排查。

若探测到网络延迟高，可分段式探测快速缩小探查范围。若探测到公网链路质量不佳，建议使用云企业网等其他云产品。

路由条目名称

源网段

目标网段

下一跳

权重

策略优先级

路由条目1

10.66.90.0/24

10.55.193.0/24

IPsec连接1

100

10

路由条目2

10.66.89.0/24

10.55.0.0/16

IPsec连接2

100

10

路由条目3

10.66.90.0/24

10.55.178.0/24

IPsec连接3

100

10

路由条目4

10.66.88.0/24

10.55.0.0/16

IPsec连接4

100

10