Azure配置带Traffic Selector Policy的IKEv2站点到站点VPN故障咨询

• 网关资源的基础属性必须满足前置要求
  • 自定义流量选择器策略仅支持基于路由的VPN网关，Basic SKU网关不支持该能力，需使用VpnGw1及以上的路由型SKU才能加载自定义策略。
  • 对应站点到站点连接的IKE模式必须配置为主动模式，响应模式下Azure侧不会主动推送自定义流量选择器提案，会直接导致协商失败。
• 两端流量选择器的条目必须严格对称匹配
  • 自定义策略模式下不存在自动协商适配的弹性空间，Azure侧配置的本地对端网段 <-> Azure侧目标网段配对，必须和本地VPN设备上的条目完全镜像，不能出现一端遗漏网段、掩码长度不一致、配对顺序颠倒的情况。
  • 配置自定义策略后，Local Network Gateway中额外添加的未在流量选择器内声明的网段会被Azure直接忽略，需逐字核对互通目标网段在两端的条目完全对齐。
• IPsec/IKE参数必须硬编码对齐
  自定义流量选择器模式下Azure不支持参数自动协商，两端的加密、校验、DH/PFS组、SA生命周期必须完全一致，常用的兼容配置参考：

  IKEv2 第一阶段：AES256加密、SHA256完整性校验、DH Group14、SA超时28800秒
  IKEv2 第二阶段：AES256加密、SHA256完整性校验、PFS Group14、SA超时3600秒
  

  常见的隐性故障是两端哈希算法不匹配，这类故障不会触发隧道断开告警，但会导致第二阶段SA无法建立，表现为隧道显示已连接但无流量通行。

• 开启VPN网关的IPsec隧道诊断日志，重点筛选两类日志条目：
  • 若出现QM negotiation failed: No matching traffic selector found报错，直接核对两端流量选择器的网段配对，90%以上的不通问题来源于此。
  • 若日志显示隧道状态为已连接但无QM类协商记录，检查本地设备是否存在未配置流量选择器的被动响应配置。
• 不要依赖隧道自动触发SA建立：配置完成后从Azure目标子网的测试虚拟机、本地目标网段的测试设备分别发起跨网ping，触发流量匹配对应的SA条目完成建立。
• 检查连接资源的IPsec SA面板，确认是否生成了对应互通网段的双向SA条目，仅显示单向条目代表协商未完成，需回溯参数对齐情况。
• 若连接启用了BGP，需确认BGP传播的路由范围没有超出自定义流量选择器声明的网段范围，超出范围的流量会被Azure侧策略直接丢弃。

注：配置过程中避免使用0.0.0.0/0作为流量选择器的占位网段，该类配置会和自定义策略的校验规则冲突，直接被Azure拒绝生效。

内容的提问来源于stack exchange，提问作者Hippo1010