Probleme mit Standortverbindungen beheben
Häufige Probleme mit Site-to-Site VPN beheben: abgelehnte Erstellungen und Änderungen, verwendete Objekte, nicht aktive Tunnel und fehlender Datenverkehr.
Dieser Artikel listet häufige Probleme mit Site-to-Site VPN, ihre Ursachen und ihre Lösungen auf. Wenn die Plattform eine Anfrage ablehnt, zeigt die Konsole Die Anfrage wurde abgelehnt mit der Meldung der Plattform an, gefolgt von einem Code wie (VALIDATION_FAILED). Die folgenden Meldungen sind ohne den Code zitiert.
VPN wird in der Region nicht angeboten
| Symptom | Ursache | Lösung |
|---|---|---|
| VPN fehlt im Menü, oder eine VPN-Seite zeigt einen Hinweis, dass VPN in der Region nicht angeboten wird oder nicht verfügbar ist | Die Region des Projekts bietet Site-to-Site VPN nicht an. | Die Region dieses Projekts kann nicht geändert werden. Um diesen Dienst zu nutzen, öffnen Sie ein Projekt in einer Region, die ihn anbietet. Ihre Ressourcen in anderen Projekten sind davon nicht betroffen. |
| „network/vpn is not available in region“, gefolgt von der Region | Dasselbe, von der API abgelehnt. | Verwenden Sie ein Projekt in einer Region, die Site-to-Site VPN anbietet. |
Das Erstellen eines Objekts wird abgelehnt
Wenn die Plattform eine Anfrage ablehnt, wird nichts erstellt. Meldungen mit dem Vermerk „unter dem Feld“ erscheinen im Formular, bevor etwas gesendet wird.
| Meldung | Ursache | Lösung |
|---|---|---|
| Kein Router mit externem Gateway in der Routerliste | Kein Router im Projekt hat ein externes Gateway. | Legen Sie für einen Router ein externes Gateway fest. Siehe Externes Gateway festlegen oder entfernen. |
| „the selected router has no external gateway; a VPN service can only terminate tunnels on a router that has one“ | Der Router hat sein externes Gateway verloren, oder die Anfrage nannte einen Router ohne externes Gateway. | Wählen Sie einen Router mit externem Gateway aus. |
| „a VPN site connection with this name already exists“ oder dieselbe Meldung für einen anderen Objekttyp | Der Name ist im Projekt bereits durch ein Objekt desselben Typs belegt, auch durch eines mit dem Status Fehler. | Geben Sie einen anderen Namen ein, oder löschen Sie das alte Objekt. |
| 172.16.0.0/16 ist doppelt angegeben — jedes Subnetz und jedes CIDR darf in einer Gruppe nur einmal vorkommen., unter dem Feld | Ein Subnetz oder CIDR kommt in der Gruppe doppelt vor. | Entfernen Sie den doppelten Eintrag. |
| „not a valid CIDR:“, gefolgt vom Eintrag | Ein Eintrag in Entfernte CIDRs ist kein gültiges IP-Netzwerk. | Geben Sie jedes entfernte Netzwerk als Adresse mit Präfixlänge an, z. B. 172.16.0.0/16. |
| Mindestens 8 Zeichen., unter dem Feld | Der Pre-Shared Key hat weniger als 8 Zeichen. | Geben Sie einen längeren Schlüssel ein. |
| „the selected local endpoint group is not provisioned yet; wait for it to become ready and try again“ oder dieselbe Meldung für ein anderes Objekt | Ein Objekt, auf das die Verbindung verweist, ist noch nicht fertig erstellt, oder seine Erstellung ist fehlgeschlagen. | Warten Sie, bis das Objekt den Status Bereit hat, und versuchen Sie es erneut. Hat es den Status Fehler, löschen Sie es, und erstellen Sie es neu. |
| Eine Meldung, dass jedes Subnetz in der lokalen Endpunktgruppe an den Router des VPN-Dienstes angehängt sein muss, die mit „Not attached:“ und den Subnetz-IDs endet | Ein Subnetz in der lokalen Endpunktgruppe ist nicht an den Router angehängt, auf dem der VPN-Dienst läuft. | Hängen Sie das Subnetz an diesen Router an, oder verwenden Sie eine lokale Endpunktgruppe, die nur die Subnetze des Routers enthält. |
| „dpdTimeout must be greater than dpdInterval“ | Das Timeout der Dead Peer Detection ist kleiner als das Intervall oder gleich groß. | Geben Sie ein Timeout ein, das größer als das Intervall ist. |
| Eine Meldung, dass die MTU die MTU für Mandantennetzwerke der Cloud nicht überschreiten darf, mit der Zahl in Klammern | Die MTU ist größer, als die Cloud erlaubt. | Geben Sie diese Zahl oder eine kleinere ein. |
Eine Meldung, dass localId oder peerId über diese API nicht festgelegt werden können | Eine API-Anfrage hat eine IKE-Identität festgelegt. | Lassen Sie beide weg: Die Identitäten sind immer die Gateway-Adressen. |
Wenn die geführte Einrichtung vorzeitig abgebrochen ist, siehe Wenn der Durchlauf vorzeitig abbricht.
Eine Änderung oder Löschung wird abgelehnt
| Meldung oder Symptom | Ursache | Lösung |
|---|---|---|
| Diese Richtlinie wird von 1 Standortverbindung referenziert, deshalb verweigert die Plattform jede Änderung. Löschen Sie die betreffenden Verbindungen oder legen Sie eine neue Richtlinie an. | Standortverbindungen verwenden die Richtlinie. Eine verwendete Richtlinie kann nicht geändert werden, nicht einmal umbenannt. | Erstellen Sie eine neue Richtlinie, erstellen Sie darauf eine neue Standortverbindung, und löschen Sie die alte Verbindung. |
| Löschen ist nicht verfügbar, mit dem Hinweis Von 1 Standortverbindung referenziert — solange das gilt, verweigert die Plattform das Löschen und bei Richtlinien auch jede Änderung. | Standortverbindungen verweisen auf das Objekt. Die Anzahl schließt Verbindungen mit dem Status Fehler ein. | Löschen Sie zuerst diese Standortverbindungen. |
| „this VPN service cannot be deleted while 1 site connection(s) use it“ oder dieselbe Meldung für ein anderes Objekt, mit Blockiert durch 1 Standortverbindung: und den Verbindungen | Standortverbindungen verwenden das Objekt. | Löschen Sie zuerst diese Standortverbindungen — sobald nichts mehr darauf verweist, gibt die Plattform das Objekt frei. |
| „this VPN site connection is busy and cannot be updated yet“ oder dieselbe Meldung für ein anderes Objekt oder eine andere Aktion | Der vorherige Vorgang des Objekts läuft noch. | Warten Sie, bis sein Status nicht mehr ausstehend ist, und versuchen Sie es erneut. |
Eine Meldung, dass ein Feld wie ikePolicyId oder localEndpointGroupId nach dem Erstellen der Verbindung nicht geändert werden kann | Eine API-Anfrage hat versucht, ein Feld zu ändern, das beim Erstellen festgelegt wird. | Erstellen Sie eine neue Standortverbindung mit den gewünschten Objekten, und löschen Sie die alte. |
| „Your role is read-only — ask an owner to grant write access.“ | Ihre Rolle, z. B. Leser, erlaubt keine Änderungen. | Beantragen Sie die Rolle Besitzer oder Mitwirkender oder eine benutzerdefinierte Rolle mit der Zugriffsebene Verwalten für Networking. |
Die Schritte zum Ändern und Löschen von Objekten finden Sie unter VPN-Objekte bearbeiten, deaktivieren und löschen.
Eine Tunnelaktion ist nicht verfügbar
| Hinweis an der Aktion | Ursache | Lösung |
|---|---|---|
| Bereits aktiviert — es gibt nichts zu aktivieren. | Die Verbindung ist aktiviert. | Keine Aktion erforderlich. |
| Bereits deaktiviert — es gibt nichts zu deaktivieren. | Die Verbindung ist deaktiviert. | Um den Tunnel wiederherzustellen, wählen Sie Aktivieren aus. |
| Die Verbindung ist deaktiviert, es gibt keinen Tunnel zum Neustarten. | Die Verbindung ist deaktiviert. | Wählen Sie Aktivieren aus; beim Aktivieren wird der Tunnel neu ausgehandelt. |
| Kein Hinweis, und die Aktion ist nicht verfügbar | Der letzte Vorgang der Verbindung läuft noch. | Warten Sie, bis ihr Bereitstellungsstatus nicht mehr ausstehend ist. |
Was jede Aktion bewirkt, erfahren Sie unter Tunnel deaktivieren, aktivieren oder neu starten.
Der Tunnelstatus ist nicht „Aktiv“
Wenn der Bereitstellungsstatus Fehler ist, siehe Die Verbindung zeigt „Fehler“ an. Andernfalls bedeutet der Tunnelstatus Noch nicht gemeldet oder ein ausstehender Status, dass der Anbieter noch keinen stabilen Status gemeldet hat. Die Plattform liest den Status in regelmäßigen Abständen beim Anbieter aus; Aktualisieren lädt nur den Datensatz der Plattform neu. Warten Sie, und prüfen Sie erneut.
Vergleichen Sie jede Einstellung des entfernten Geräts mit der Standortverbindung, ihren Richtlinien und ihren Endpunktgruppen: die Gateway-Adressen, den Pre-Shared Key, die IKE-Version und den Modus von Phase 1, die Algorithmen, die PFS-Gruppen, die Lebensdauern und die Netzwerke auf beiden Seiten. Siehe Gerät der Gegenstelle konfigurieren.
Wenn Initiator response-only ist, muss das entfernte Gerät die Aushandlung beginnen.
Nachdem Sie eine Einstellung am entfernten Gerät korrigiert haben, wählen Sie auf der Seite der Verbindung Neu starten aus. Der Tunnel wird abgebaut und neu ausgehandelt. Der Datenverkehr zum Peer-Netz stoppt, bis die neue Security Association steht.
Wie Sie eine Einstellung auf der Seite der Plattform korrigieren, erfahren Sie unter Standortverbindung ändern. Die Richtlinien können nicht geändert werden, solange die Verbindung sie verwendet; erstellen Sie stattdessen eine neue Richtlinie und eine neue Verbindung. Siehe Wiederverwendung und Änderungen.
Die Verbindung zeigt „Fehler“ an
| Anzeige auf der Seite | Ursache | Lösung |
|---|---|---|
| Meldung des Anbieters mit der eigenen Meldung des Anbieters | Das letzte Erstellen, Ändern oder Löschen ist beim Anbieter fehlgeschlagen. | Beheben Sie die Ursache, die die Meldung nennt. Wenn die Erstellung fehlgeschlagen ist, löschen Sie die Verbindung, und erstellen Sie eine neue. |
| Meldung des Anbieters mit „neutron reported the connection ERROR at import“ | Der Anbieter meldet die Verbindung als fehlerhaft. | Prüfen Sie die Einstellungen auf beiden Seiten, und wählen Sie Neu starten aus. Wenn der Fehler bestehen bleibt, löschen Sie die Verbindung, und erstellen Sie sie neu. |
| Vorgang abgebrochen — möglicherweise sind Restressourcen verblieben | Die Erstellung wurde abgebrochen, nachdem sie begonnen hatte. | Wählen Sie Bereinigen aus. |
Der Tunnel ist „Aktiv“, aber kein Datenverkehr fließt
| Symptom | Ursache | Lösung |
|---|---|---|
| Eine zweite Standortverbindung zum selben Gateway der Gegenstelle zeigt einen Status an, überträgt aber nichts. | Zwei Verbindungen zwischen denselben beiden Gateways teilen sich eine IKE-Sitzung, und der Tunnel der zweiten wird abgelehnt. | Löschen Sie die Verbindungen zu dieser Gegenstelle, und erstellen Sie eine Verbindung, deren lokale Endpunktgruppe jedes Subnetz enthält, das die Gegenstelle erreichen soll. |
| Datenverkehr aus einem Ihrer Subnetze erreicht das entfernte Netzwerk nicht. | Das Subnetz ist nicht in der lokalen Endpunktgruppe der Verbindung. Endpunktgruppen können nicht geändert werden. | Löschen Sie die Verbindung, und erstellen Sie eine neue mit einer lokalen Endpunktgruppe, die alle Subnetze enthält. |
| Kleine Pakete kommen durch, große schlagen fehl. | ESP fügt jedem Paket einen Header, einen Trailer und Authentifizierungsdaten hinzu, daher sind die Pakete, die in den Tunnel passen, kleiner als seine MTU. Ein zu großes Paket schlägt mit einem Fehler fehl. | Senken Sie die MTU der Arbeitslasten, oder begrenzen Sie ihre TCP-MSS. |
| Datenverkehr aus dem entfernten Netzwerk erreicht Ihre Server nicht. | Sicherheitsgruppen filtern den Datenverkehr zu Ihren Servern. | Stellen Sie sicher, dass die Sicherheitsgruppen der Server Datenverkehr aus den entfernten CIDRs erlauben. Siehe Security Groups. |