Dépanner un VPN opérationnel mais qui ne transmet pas le trafic

Problème

• Descriptif
• Environnement

La solution

1. Vérifiez si l’association de sécurité VPN (SA) est active : show security ipsec security-associations

   Si la passerelle VPN est répertoriée, le tunnel est établi et est opérationnel. La sortie affiche deux lignes pour chaque tunnel VPN et les informations SPI pour chaque direction du trafic.

   Le MON champ est utilisé par la surveillance VPN pour afficher l’état du tunnel et possède l’une des valeurs suivantes :

   • - (trait d’union) : le tunnel VPN est actif et la fonctionnalité facultative du moniteur VPN n’est pas configurée.

   • U (haut) : le tunnel VPN est actif et le lien (détecté par le moniteur VPN) est actif.

   • D (actif) : le tunnel VPN est actif et le lien (détecté par le moniteur VPN) est inactif.

   • Yes: L’état de la SA IPsec est actif ou actif. Passez à l’étape 2.

   • No: L’état de la SA IPsec est désactivé. Voir Comment dépanner un tunnel VPN en panne ou inactif.

2. Vérifiez si le VPN utilise l’interface de bouclage lo0 comme interface externe : show configuration security ike

   • Yes: Le VPN utilise l’interface lo0 de bouclage comme interface externe. Passez à l’étape 3.

   • No: Le VPN n’utilise pas l’interface lo0 de bouclage comme interface externe. Passez à l’étape 4.

3. Vérifiez si l’interface de sortie (interface physique) et lo0 utilisé comme interface externe VPN se trouvent dans la même zone de sécurité.

   • Yes: Passez à l’étape 4.

   • No: Mettez à jour les affectations des zones de sécurité afin que l’interface externe VPN et l’interface de sortie physique se trouvent dans la même zone de sécurité. Voir Perte de trafic lorsque le VPN IPSec est terminé sur l’interface de bouclage.

4. Si votre VPN est un VPN basé sur le routage, passez à l’étape 5. Consultez Quelle est la différence entre un VPN basé sur des stratégies et un VPN basé sur le routage ?

5. Vérifiez si une route est affectée au réseau distant via l’interface st0 : show route remote network

   • Yes: Passez à l’étape 6.

   • No: Attribuez une route au réseau distant via l’interface st0. Voir Le VPN basé sur le routage est actif, mais ne transfère pas le trafic. Y a-t-il un itinéraire manquant ?.

     Remarque :

     Si vous utilisez un protocole de routage dynamique, tel que BGP ou OSPF, vérifiez le protocole de routage.

6. En fonction de la route attribuée au réseau distant à l’étape 5, vérifiez si le VPN pointe vers la bonne interface st0 : show security ike et show security ipsec

   1. Tout d’abord, vérifiez la passerelle IKE à l’aide de la show security ike commande.

   2. Vérifiez le VPN IPsec pour cette passerelle IKE à l’aide de la commande et dans la sortie, vérifiez si bind-interface pointe vers l’interface.show security ipsec st0

      Dans cet exemple, le VPN ike-vpn-siteB pointe vers l’interface st0.0 .

   • Yes: Passez à l’étape 7.

   • No: Le VPN ne pointe pas vers la bonne interface st0. Supprimez la route actuelle et ajoutez-la à l’interface st0 correcte. Voir Le VPN basé sur le routage est actif, mais ne transfère pas le trafic. Y a-t-il un itinéraire manquant ?.

7. Vérifiez s’il existe une stratégie de sécurité autorisant le trafic de la zone interne vers la zone de sécurité st0 : show security policies

   • Yes: Vérifiez si la stratégie configurée est correcte.

   • No: Créez la stratégie de sécurité appropriée et testez à nouveau le VPN. Consultez Comment configurer une stratégie pour un VPN basé sur le routage.

8. Vérifiez si le trafic correspond aux politiques identifiées à l’étape 7 : show security flow session source prefix source address destination prefix destination address

   • Yes: Passez à l’étape 9.

   • No: Vérifiez l’ordre des stratégies de sécurité : show security match policies. Voir Comprendre l’ordre des stratégies de sécurité.

     Si l’ordre est correct, consultez Comment dépanner une stratégie de sécurité qui ne transmet pas de données.

     Remarque :

     Si seul le pkts compteur situé dans le sens de sortie de la session augmente, vérifiez auprès de l’homologue VPN que le trafic est reçu.

     Il s’agit de vérifier les compteurs de paquets sur l’homologue VPN avec lequel ce tunnel est formé pour voir si l’autre extrémité reçoit les paquets.

9. Collectez les journaux et les options de suivi de flux et ouvrez un dossier auprès de l’équipe d’assistance de Juniper Networks :

   • Consultez les sections VPN IPsec basé sur le routage dans Liste de contrôle de collecte de données - Logs/données à collecter pour le dépannage.

   • Pour plus d’informations sur les options de suivi de flux, consultez Comment utiliser les 'flow traceoptions' et le 'security datapath-debug'.

   • Pour ouvrir un dossier JTAC auprès de l’équipe d’assistance de Juniper Networks, consultez Collecte de données pour le support client pour connaître les données que vous devez collecter pour faciliter le dépannage avant d’ouvrir un dossier JTAC.