Phần này cung cấp quy trình troubleshooting chính thức từ AWS dựa trên tài liệu AWS Site-to-Site VPN toàn diện. Tuân theo các phương pháp có hệ thống này để troubleshooting VPN ở mức chuyên nghiệp.
AWS cung cấp hai sơ đồ troubleshooting chính dựa trên cấu hình routing của bạn:
Quy trình Troubleshooting: IKE → IPsec → Tunnel → BGP
Quy trình Troubleshooting: IKE → IPsec → Tunnel → Static Routes
Mục đích: IKE security association cần thiết để trao đổi keys cho việc thiết lập IPsec SA.
Các bước Xác minh:
Lệnh Chẩn đoán:
# Cho strongSwan/Libreswan:
sudo ipsec status
sudo ipsec statusall
# Cho thiết bị Cisco:
show crypto isakmp sa
show crypto ipsec sa
# Cho thiết bị Juniper:
show security ike security-associations
show security ipsec security-associations
Nếu IKE SA không tồn tại: Review cài đặt cấu hình IKE và đảm bảo tất cả parameters khớp với file cấu hình AWS cung cấp.
Mục đích: IPsec SA là tunnel thực tế mang traffic được mã hóa.
Các bước Xác minh:
Lệnh Chẩn đoán:
# Cho strongSwan/Libreswan:
sudo ipsec trafficstatus
sudo ipsec whack --status
# Cho thiết bị Cisco:
show crypto ipsec sa
show crypto ipsec transform-set
# Cho thiết bị Juniper:
show security ipsec security-associations detail
show security ipsec statistics
Quy tắc Firewall Bắt buộc của AWS:
Quy tắc Inbound (từ internet):
| Quy tắc | Source IP | Dest IP | Protocol | Port |
|---|---|---|---|---|
| I1 | Tunnel1 Outside IP | Customer Gateway | UDP | 500 |
| I2 | Tunnel2 Outside IP | Customer Gateway | UDP | 500 |
| I3 | Tunnel1 Outside IP | Customer Gateway | IP 50 (ESP) | - |
| I4 | Tunnel2 Outside IP | Customer Gateway | IP 50 (ESP) | - |
Quy tắc Outbound (ra internet):
| Quy tắc | Source IP | Dest IP | Protocol | Port |
|---|---|---|---|---|
| O1 | Customer Gateway | Tunnel1 Outside IP | UDP | 500 |
| O2 | Customer Gateway | Tunnel2 Outside IP | UDP | 500 |
| O3 | Customer Gateway | Tunnel1 Outside IP | IP 50 (ESP) | - |
| O4 | Customer Gateway | Tunnel2 Outside IP | IP 50 (ESP) | - |
NAT Traversal: Nếu sử dụng NAT-T, cũng cho phép UDP traffic trên port 4500.
Test Kết nối IP:
# Ping virtual private gateway address từ customer gateway
ping <AWS_TUNNEL_INTERFACE_IP>
# Nếu ping thất bại, review cấu hình tunnel interface
# Xác minh địa chỉ IP chính xác được cấu hình
Yêu cầu:
Lệnh Chẩn đoán BGP:
# Cho FRRouting:
sudo vtysh -c "show bgp summary"
sudo vtysh -c "show ip route bgp"
sudo vtysh -c "show bgp neighbors"
# Cho thiết bị Cisco:
show ip bgp summary
show ip bgp neighbors
show ip route bgp
# Cho thiết bị Juniper:
show bgp summary
show route protocol bgp
show bgp neighbor
Phía Customer Gateway:
Phía AWS:
Cả hai Tunnels: Đảm bảo cả hai tunnels đều có static routes được cấu hình đúng.
Namespace: AWS/VPN
Key Metrics:
Thiết lập Monitoring:
CLI Monitoring:
# Liệt kê tất cả VPN metrics
aws cloudwatch list-metrics --namespace "AWS/VPN"
# Lấy tunnel state metrics
aws cloudwatch get-metric-statistics \
--namespace AWS/VPN \
--metric-name TunnelState \
--dimensions Name=VpnId,Value=vpn-xxxxxxxxx \
--start-time 2024-01-01T00:00:00Z \
--end-time 2024-01-01T23:59:59Z \
--period 300 \
--statistics Average
Quy trình Chẩn đoán AWS:
Nguyên nhân Thường gặp & Cách sửa:
Pre-shared Key Mismatch:
IP Address Mismatch:
Các bước Troubleshooting:
DPD (Dead Peer Detection) Issues:
MTU Issues:
Network Instability:
BGP Session Không Establishing:
Route Advertisement Problems:
# Từ customer network đến AWS VPC
ping <AWS_PRIVATE_IP>
traceroute <AWS_PRIVATE_IP>
# Từ AWS VPC đến customer network
ping <CUSTOMER_PRIVATE_IP>
traceroute <CUSTOMER_PRIVATE_IP>
# Tunnel interface connectivity
ping <AWS_TUNNEL_INTERFACE_IP>
ping <CUSTOMER_TUNNEL_INTERFACE_IP>
# Bandwidth testing
iperf3 -c <REMOTE_IP> -t 60
# Latency testing
ping -c 100 <REMOTE_IP>
# MTU discovery
ping -M do -s 1472 <REMOTE_IP>
Capture Points:
Lệnh Phân tích:
# Wireshark filters cho VPN traffic
udp.port == 500 or udp.port == 4500 or ip.proto == 50
# tcpdump cho VPN traffic
sudo tcpdump -i any -n 'udp port 500 or udp port 4500 or proto 50'
# strongSwan/Libreswan debugging
sudo ipsec whack --debug-all
CloudWatch Alarms:
Cấu hình Logging:
Health Checks:
Duy trì Records của:
AWS cung cấp hướng dẫn troubleshooting chính thức cho:
Hướng dẫn troubleshooting chính thức AWS này cung cấp:
✅ Phương pháp troubleshooting có hệ thống theo AWS best practices
✅ Quy trình xác minh từng bước từ IKE đến routing layers
✅ Các scenario lỗi toàn diện với giải pháp chính thức
✅ CloudWatch monitoring integration cho quản lý proactive
✅ Hướng dẫn specific cho thiết bị cho các nhà cung cấp thiết bị mạng chính
✅ Kỹ thuật troubleshooting nâng cao cho các scenario phức tạp
Tuân theo các quy trình được AWS khuyến nghị này để troubleshooting VPN ở mức chuyên nghiệp và đảm bảo kết nối Site-to-Site đáng tin cậy giữa mạng on-premises và AWS VPC của bạn.
💡 Mẹo: Luôn tuân theo phương pháp có hệ thống (IKE → IPsec → Tunnel → Routing) và sử dụng AWS CloudWatch monitoring cho quản lý VPN proactive.