AWS与Cisco ASA站点到站点IPsec VPN隧道故障排查及配置咨询

看起来你在AWS和Cisco ASA之间搭建站点到站点IPsec VPN时，遇到了隧道始终处于「Down」状态、日志提示「IPSEC IS DOWN」的问题，结合你提供的日志和各方信息，我来帮你梳理排查方向和配置建议：

先从日志关键点分析 #

从AWS隧道日志来看，Phase 1（IKE_SA_INIT、IKE_AUTH）已经完成，预共享密钥验证也成功了，但之后一直在重复发送相同请求，说明Phase 2（CHILD_SA）没能成功建立。再结合AWS提到的「身份检查失败」、客户提到的IPsecOverNatT问题，我们可以从以下几个方向入手：

1. 身份检查失败的排查方案 #

AWS提示身份检查失败，大概率是两端的IKE身份标识或预共享密钥不匹配：

• 核对预共享密钥：确保AWS侧客户网关（CGW）配置的预共享密钥，和Cisco ASA上的配置完全一致——注意大小写、特殊字符，哪怕是一个多余的空格或换行符，都可能导致验证失败。
• 确认IKEv2身份标识：IKEv2模式下，两端的身份标识需要匹配。AWS默认用CGW的公网IP作为身份标识，你可以在ASA上执行以下命令检查配置：

  show running-config crypto ikev2 policy
  show running-config crypto map
  

  确认ASA配置的身份是否对应AWS隧道的公网IP；如果用FQDN作为身份，两端的FQDN必须完全一致。

2. IPsecOverNatT的配置处理 #

客户提到要启用ipsecovernatt，我们分两端来看：

• Cisco ASA侧：ASA的IKEv2默认启用NAT-T，但你可以手动确认或强制启用：

  crypto ikev2 nat-t enable
  

  执行后ASA会自动在NAT环境下使用UDP 4500端口进行IPsec通信。
• AWS侧：AWS VPN隧道默认支持NAT-T，不需要额外开启所谓的「IPsecOverNatT」选项，但需要确认两个关键点：
  • 如果ASA的公网IP是通过NAT设备转换得到的，AWS侧的CGW必须配置这个NAT后的公网IP，而非ASA的内部接口IP；
  • 进入AWS控制台的VPN连接详情页，查看隧道的「Advanced Options」，确认「Enable NAT-T」处于开启状态（默认是开启的，但可以手动检查确认）。

3. 让AWS日志中nat_t_detected显示为true的配置 #

要让AWS检测到NAT-T并在日志中显示nat_t_detected: true，需要满足这些条件：

• 两端通信路径中存在NAT设备：比如ASA部署在NAT网关之后，或AWS VPN隧道的公网IP经过了NAT转换；
• 确保ASA侧已启用NAT-T（参考上面的命令），这样ASA在发送IKE响应时会携带NAT-T标识，AWS就能自动检测到NAT环境；
• 两端必须开放UDP 500（初始IKE协商）和UDP 4500（NAT-T通信）的双向流量：AWS侧检查VPN对应的安全组，ASA侧检查访问控制列表（ACL），确保这两个端口的双向流量被允许。

4. ASA侧的额外检查 #

从你提供的show vpn-sessiondb l2l输出看，ASA已经建立了IKEv2会话，但Bytes Tx/Rx都是0，说明Phase 2的数据流没有建立，还要检查这些点：

• 感兴趣流量匹配：确认ASA的crypto map关联的ACL，和AWS侧VPN连接配置的静态路由/传输网关路由完全匹配——比如AWS VPC的CIDR和ASA侧本地局域网的CIDR，必须在两端的规则里互相包含，不能有遗漏或错误。
• IPsec策略匹配：虽然日志显示ASA用的是AES256+SHA256（和AWS默认Phase2策略一致），但还是建议用以下命令检查ASA的Phase2策略，确保加密、哈希、DH组等参数和AWS侧完全一致：

  show running-config crypto ipsec policy
  

排障步骤总结 #

1. 彻底核对两端的预共享密钥，确保没有任何差异；
2. 确认IKEv2身份标识匹配，AWS用CGW公网IP的话，ASA侧也要对应配置；
3. 在ASA上执行crypto ikev2 nat-t enable，并确认UDP 500、4500端口的双向流量已开放；
4. 在AWS控制台检查CGW的公网IP是否正确（如果ASA在NAT后，必须填NAT后的IP），同时确认隧道的NAT-T选项已开启；
5. 核对两端的感兴趣流量规则，确保要传输的网段都被正确包含；
6. 重置隧道：在AWS控制台点击「Reset Tunnel」，或者在ASA上执行clear crypto ikev2 sa和clear crypto ipsec sa清除现有会话，然后重新发起连接。

备注：内容来源于stack exchange，提问作者Ajit Trivedi