AWS Site-to-Site VPN（虚拟IDC VPC与AWS VPC）连通故障问询

已知验证结论：

1. IDC私有子网内IDC-EC2到IDC公有子网内IDC-CGW EC2连通正常
2. IDC公有子网内IDC-CGW EC2到AWS公有子网内AWS-EC2连通正常
3. IDC私有子网内IDC-EC2到AWS公有子网内AWS-EC2连通失败

IDC侧排查项 #

• 检查IDC私有子网路由规则：确认路由表中指向AWS公有子网CIDR的下一跳为IDC-CGW EC2的内网IP，未配置该路由的情况下，私有子网流量无法找到通往AWS的转发路径，会直接丢包。
• 检查IDC-CGW EC2转发配置：
  • 确认系统IP转发功能已开启，Linux环境执行sysctl net.ipv4.ip_forward查询，返回值为1表示已开启；若返回0，执行sysctl -w net.ipv4.ip_forward=1临时生效，永久生效需修改/etc/sysctl.conf中对应参数。
  • 确认IDC-CGW EC2的本地防火墙（iptables/ufw等）、安全组规则未禁止IDC私有子网CIDR到AWS公有子网CIDR的转发流量。
• 检查IDC侧VPN感兴趣流配置：确认VPN隧道的对端网段包含IDC私有子网CIDR，未纳入感兴趣流的网段流量会被VPN隧道直接丢弃。

AWS侧排查项 #

• 检查AWS VPC路由规则：确认AWS公有子网关联的路由表中，指向IDC私有子网CIDR的下一跳为Site-to-Site VPN对应的虚拟专用网关（VGW）/传输网关（TGW），回程流量无路由的情况下会导致Ping请求有去无回。
• 检查AWS侧VPN感兴趣流配置：确认VPN隧道的本地网段包含AWS公有子网CIDR、对端网段包含IDC私有子网CIDR，规则不匹配的流量无法通过VPN隧道传输。
• 检查AWS-EC2访问控制规则：确认AWS-EC2关联的安全组入站规则放通了IDC私有子网CIDR的ICMP流量，若仅放通了IDC公有子网的访问权限，私有子网的Ping请求会被安全组拦截。
• 检查VPC网络ACL规则：确认AWS公有子网关联的网络ACL入站、出站规则均放通了IDC私有子网CIDR的ICMP请求及响应流量。

快速定位辅助操作 #

• 在IDC-EC2上执行traceroute [AWS-EC2内网IP]（Linux）或tracert [AWS-EC2内网IP]（Windows），根据丢包节点判断故障出现在IDC路由、CGW转发还是AWS侧链路。
• 在IDC-CGW EC2上执行tcpdump icmp and host [AWS-EC2内网IP]抓包，判断是否收到IDC-EC2发出的请求包、是否收到AWS返回的响应包，进一步缩小故障范围。

内容的提问来源于stack exchange，提问作者Democracii