Cet article explique comment résoudre les problèmes de VPN site à site tels que les déconnexions VPN, l'absence de trafic dans le tunnel lorsque le VPN est établi, le fait que le VPN ne soit pas réétabli après une déconnexion. Il explique comment définir la durée de vie des SA sur la phase 1 et la phase 2, comment définir le contrôle de connectivité pour assurer une connectivité constante dans le tunnel, comment autoriser le trafic ESP s'il n'y a pas de trafic dans le tunnel mais que le tunnel est établi et comment vérifier s'il y a des chevauchements de sous-réseaux ou des itinéraires de politique qui interfèrent avec le trafic VPN.

Table des matières

1) Déconnexions VPN

2) Échec du rétablissement de la connexion VPN après une déconnexion

3) Tunnel établi, mais pas de trafic dans le tunnel

3.1 Autoriser l'ESP du WAN vers Zywall

3.2 Routes stratégiques / routes statiques

3.3 Chevauchement de sous-réseaux

1) Déconnexions VPN

Si votre tunnel VPN se déconnecte fréquemment, cela peut indiquer un problème de reclé. Pour résoudre ce problème, assurez-vous que la valeur "SA Life Time" est cohérente dans les configurations Phase 1 et Phase 2 des deux côtés du tunnel VPN. En faisant correspondre ces valeurs, vous pouvez éviter les divergences de reconnexion qui peuvent entraîner des déconnexions fréquentes.

Si le problème persiste, vous pouvez essayer d'activer une vérification de la connectivité dans le menu "Connexion VPN". Configurez l'option "Vérifier ces adresses" sur 8.8.8.8 (serveur DNS de Google) et activez le contrôle de connectivité. Cette étape permet de surveiller la santé de la connexion VPN et d'identifier les problèmes de connectivité potentiels.

2) La connexion VPN ne se rétablit pas après une déconnexion

Dans certains cas, les connexions VPN ne se rétablissent pas automatiquement après une déconnexion. Ce problème peut être résolu en activant la fonction "Nailed-Up" dans les paramètres "Connexion VPN" du menu VPN. L'activation de cette option garantit que la connexion VPN tentera automatiquement de se rétablir après une interruption, minimisant ainsi l'intervention manuelle.

Remarque ! N'activez l'option "Nailed-up" que d'un seul côté, car cela pourrait entraîner des problèmes de connexion si les deux pare-feux tentent d'initier la connexion.

3) Tunnel établi, mais pas de trafic dans le tunnel

3.1 Autoriser l'ESP du WAN vers le Zywall

Si votre tunnel VPN est établi, mais qu'aucun trafic ne passe, il y a quelques causes potentielles à prendre en compte. Tout d'abord, vérifiez que les règles du pare-feu autorisent le trafic ESP (Encapsulating Security Payload) du WAN vers le dispositif Zywall. Sans une configuration adéquate, le pare-feu peut bloquer le trafic ESP, ce qui entraîne l'impossibilité pour le pare-feu de décrypter les paquets encapsulés.

3.2 Routes stratégiques / Routes statiques

Si le trafic ESP est autorisé depuis le WAN vers le dispositif Zywall, examinez les routes de politique associées à la fois au sous-réseau local du VPN et au sous-réseau distant de l'autre côté du tunnel VPN. Cette vérification permettra d'identifier toute mauvaise configuration ou règle de routage conflictuelle qui pourrait être à l'origine de l'absence de trafic dans le tunnel.

En outre, vérifiez s'il existe des routes de stratégie ou des routes statiques qui pourraient interférer avec l'acheminement du trafic dans le tunnel VPN. Ces routes peuvent détourner le trafic ailleurs, l'empêchant ainsi d'entrer dans le tunnel VPN.

3.3 Chevauchement de sous-réseaux

Une autre possibilité est le chevauchement de sous-réseaux, où le trafic VPN est involontairement acheminé en interne au lieu de passer par le tunnel VPN. Veillez à ce que le trafic VPN soit correctement dirigé vers le tunnel afin d'éviter ce type de problème.

Vérifiez vos interfaces Ethernet, VLAN et autres sous-réseaux VPN utilisés pour vous assurer qu'il n'y a pas de chevauchement de sous-réseaux dans votre pare-feu.

La façon la plus simple de le faire est de naviguer vers :

Maintenance -> Packet Flow Explore -> Routing Status

Ensuite, regardez toutes les routes de gauche à droite pour voir si vous avez des sous-réseaux qui se chevauchent et causent des interférences avec votre configuration VPN actuelle.