连接故障或无法PING通-华为云

虚拟专用网络 VPN-使用中IPsec VPN连接中断后如何快速恢复？

使用中IPsec VPN连接中断后如何快速恢复？通过私网数据流重新触发IPsec协商。比如两端私网间进行互Ping，如果流量触发可正常建立请考虑部署长Ping保活脚本。详细请参见如何防止VPN连接出现中断情况？。如果无法正常触发协商，请检查IPsec两侧公网IP的连通性，比如两个公网IP互Ping验证。VPN网关IP默认回应ICMP报文。如果公网链路正常，需排查是否存在多出口的链路切换，即当前访问云网关IP流量未从协商端口流出。如果无多出口或出口路径正常，可尝试隧道两端同时修改一次PSK，重新触发协商。如果重新触发协商失败，请确认两端配置的协商策略是否一致、感兴趣流是否互为镜像（条目数、掩码均相同）。如果协商策略和感兴趣流配置无误，请关停云下设备的VPN连接，等待云端连接显示为“未连接”后，重启云下设备VPN连接，并进行数据流触发。如果依然无法触发协商时，请执行以下操作：记录VPN连接的协商策略、PSK、本端子网、远端网关、远端子网。使用现有网关新建一条连接，协商策略、PSK、本端子网均与原连接相同，远端网关和远端子网先任意填写。待新创建连接成功后，删除原连接，之后再修改新建连接的远端网关和远端子网与记录数据一致。修改完成后重新触发协商。父主题：连接故障或无法PING通

虚拟专用网络 VPN 连接故障或无法PING通

虚拟专用网络 VPN-如何解决VPN连接无法建立连接问题？

如何解决VPN连接无法建立连接问题？检查云上VPN连接中的IKE策略和IPsec策略中的协商模式和加密算法是否与远端配置一致。如果第一阶段IKE策略已经建立，第二阶段的IPsec策略未开启，常见情况为IPsec策略与数据中心远端的配置不一致。如果客户本地侧使用的是CISCO的物理设备，建议客户使用MD5算法。同时将云上VPN连接端IPsec策略中的认证算法设置为MD5。检查ACL是否配置正确。假设您的数据中心的子网为192.168.3.0/24和192.168.4.0/24，VPC下的子网为192.168.1.0/24和192.168.2.0/24，则你在数据中心或局域网中的ACL应对你的每一个数据中心子网配置允许VPC下的子网通信的规则，如下例： rule 1 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 rule 2 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 rule 3 permit ip source 192.168.4.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 rule 4 permit ip source 192.168.4.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 配置完成后检查VPN是否连接，ping测试两端内网是否正常。父主题：连接故障或无法PING通

虚拟专用网络 VPN 连接故障或无法PING通

虚拟专用网络 VPN-正在使用VPN出现了连接中断，提示数据流不匹配，如何排查？

正在使用VPN出现了连接中断，提示数据流不匹配，如何排查？这通常是由于云上与用户侧数据中心设备配置的ACL不匹配造成的。首先确认两端VPN连接的子网信息是否配置一致，确保云端生成的ACL与用户侧数据中心ACL配置互为镜像。用户侧数据中心感兴趣流配置推荐使用“子网/掩码”的格式，避免使用网络地址对象模式，即address object模式，address object为非标模式，容易引起不兼容问题。父主题：连接故障或无法PING通

虚拟专用网络 VPN 连接故障或无法PING通

虚拟专用网络 VPN-VPN是否启动了DPD检测机制？

VPN是否启动了DPD检测机制？是的。 VPN服务默认开启了DPD探测机制，用于探测用户侧数据中心IKE进程的存活状态。 3次探测失败后即认为用户侧数据中心IKE异常，此时云会删除本端隧道，以保持双方的隧道同步。 DPD协议本身并不要求对端也同步进行配置（但是要求对端可以应答DPD探测），为了保证协商双方隧道状态一致，避免出现单边隧道（一端存在隧道，而另一端已不存在），建议用户同时启动用户侧网关的DPD探测机制，用于探测云侧VPN服务的IKE状态。 DPD探测失败后会删除隧道，不会导致业务不稳定。 DPD可以及时发现对方IKE进程异常，并通过重置隧道的方法来保持双方隧道同步。在删除隧道后，当有用户流量时，可以重新触发协商并建立隧道。父主题：连接故障或无法PING通

虚拟专用网络 VPN 连接故障或无法PING通

虚拟专用网络 VPN-什么是对等体存活检测？:DPD核心配置

DPD核心配置 DPD的核心配置包含检测模式、检测时间、报文格式等。以华为设备为例，配置DPD的方法有全局配置和IKE对等体两种方式。IPsec通信时，优先使用IKE对等体的DPD配置参数，如果对等体未配置DPD，则采用全局DPD配置参数。检测模式：分为按需和周期性检测。华为设备缺省配置中无全局检测配置，是否开启对等体检测要看对等体的DPD配置是否使能。按需型：当本端需要向对端发送IPsec报文时，如果当前距离最后一次收到对端的IPsec报文的时长已超过DPD空闲时间，则触发DPD检测，本端主动向对端发送DPD请求报文。周期型：如果当前距离最后一次收到对端的IPsec报文的时长已超过DPD空闲时间，则本端主动向对端发送DPD请求报文。 DPD配置参数：包含DPD空闲时间、DPD报文重传间隔和重传次数，华为设备缺省情况下全局DPD空闲时间、DPD报文重传间隔和重传次数分别为30秒、15秒和3次。报文格式：有seq-hash-notify和seq-notify-hash两种。华为设备缺省情况下，DPD报文中的载荷顺序为seq-hash-notify。当IPsec两端未配置DPD报文时，如果隧道内无流量，会等待SA的生命周期到期。到期前会发起硬协商，如果协商未成功则拆除本端SA，同时通知对端。SA的恢复需要再次进行数据流触发协商才能建立。如果因为网络原因一端拆除SA，另一端没有拆除SA，会导致业务流量不通，需要等待SA生命周期老化或手工清除SA。

虚拟专用网络 VPN 连接故障或无法PING通

云服务器内容精选

连接故障或无法PING通

7*24

备案

专业服务

退订

建议反馈

售前咨询热线