Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Risolvi i problemi di AWS Site-to-Site VPN connettività con un dispositivo gateway per clienti Juniper JunOS
Quando risolvi i problemi di connettività di un dispositivo Customer Gateway di Juniper, prendi in considerazione quattro fattori: IKE, tunnel e BGP. IPsec Puoi risolvere i problemi di queste aree in qualsiasi ordine, ma ti consigliamo di iniziare con IKE (nella parte inferiore dello stack di rete) e di risalire.
## IKE
Utilizza il seguente comando. La risposta mostra un dispositivo gateway del cliente con IKE configurato correttamente.
```
user@router> show security ike security-associations
```
```
Index Remote Address State Initiator cookie Responder cookie Mode
4 72.21.209.225 UP c4cd953602568b74 0d6d194993328b02 Main
3 72.21.209.193 UP b8c8fb7dc68d9173 ca7cb0abaedeb4bb Main
```
Devono essere visualizzate una o più linee contenenti un indirizzo remoto del gateway remoto specificato nei tunnel. `State` deve essere `UP`. L'assenza di una voce, o qualsiasi voce in un altro stato (come `DOWN`), indica che IKE non è configurato in modo appropriato.
Per un'ulteriore risoluzione dei problemi, abilita le opzioni di monitoraggio IKE come consigliato nel file di configurazione di esempio. Esegui quindi il comando seguente per stampare vari messaggi di debug sullo schermo.
```
user@router> monitor start kmd
```
Da un host esterno, puoi recuperare l'intero file di log con il comando seguente.
```
scp username@router.hostname:/var/log/kmd
```
## IPsec
Utilizza il seguente comando. La risposta mostra che un dispositivo gateway per il cliente è configurato correttamente. IPsec
```
user@router> show security ipsec security-associations
```
```
Total active tunnels: 2
ID Gateway Port Algorithm SPI Life:sec/kb Mon vsys
<131073 72.21.209.225 500 ESP:aes-128/sha1 df27aae4 326/ unlim - 0
>131073 72.21.209.225 500 ESP:aes-128/sha1 5de29aa1 326/ unlim - 0
<131074 72.21.209.193 500 ESP:aes-128/sha1 dd16c453 300/ unlim - 0
>131074 72.21.209.193 500 ESP:aes-128/sha1 c1e0eb29 300/ unlim - 0
```
In particolare, devono essere visualizzate almeno due linee per indirizzo di gateway (corrispondente al gateway remoto). Le parentesi angolare all'inizio di ogni linea (< >) indica la direzione del traffico per la particolare voce. L'output ha linee distinte per il traffico in entrata ("<", traffico dal gateway virtuale privato a questo dispositivo gateway del cliente) e il traffico in uscita (">").
Per un'ulteriore risoluzione dei problemi, abilita le opzioni di monitoraggio IKE (per ulteriori informazioni, consulta la sezione precedente su IKE).
## Tunnel
Innanzi tutto, accertati che le regole di firewall necessarie siano applicate. Per un elenco di regole, consulta [Regole firewall per un dispositivo gateway AWS Site-to-Site VPN del cliente](FirewallRules.md).
Se le regole di firewall sono configurate correttamente, continua con la risoluzione dei problemi utilizzando il comando seguente.
```
user@router> show interfaces st0.1
```
```
Logical interface st0.1 (Index 70) (SNMP ifIndex 126)
Flags: Point-To-Point SNMP-Traps Encapsulation: Secure-Tunnel
Input packets : 8719
Output packets: 41841
Security: Zone: Trust
Allowed host-inbound traffic : bgp ping ssh traceroute
Protocol inet, MTU: 9192
Flags: None
Addresses, Flags: Is-Preferred Is-Primary
Destination: 169.254.255.0/30, Local: 169.254.255.2
```
Assicurati che il valore di `Security: Zone` sia corretto e che l'indirizzo `Local` corrisponda all'indirizzo interno del tunnel del dispositivo gateway del cliente.
Successivamente, utilizza il comando seguente, sostituendo `169.254.255.1` con l'indirizzo IP interno del gateway virtuale privato. I risultati devono essere simili alla risposta riportata di seguito.
```
user@router> ping 169.254.255.1 size 1382 do-not-fragment
```
```
PING 169.254.255.1 (169.254.255.1): 1410 data bytes
64 bytes from 169.254.255.1: icmp_seq=0 ttl=64 time=71.080 ms
64 bytes from 169.254.255.1: icmp_seq=1 ttl=64 time=70.585 ms
```
Per un'ulteriore risoluzione dei problemi, esaminare la configurazione.
## BGP
Eseguire il seguente comando seguente.
```
user@router> show bgp summary
```
```
Groups: 1 Peers: 2 Down peers: 0
Table Tot Paths Act Paths Suppressed History Damp State Pending
inet.0 2 1 0 0 0 0
Peer AS InPkt OutPkt OutQ Flaps Last Up/Dwn State|#Active/Received/Accepted/Damped...
169.254.255.1 7224 9 10 0 0 1:00 1/1/1/0 0/0/0/0
169.254.255.5 7224 8 9 0 0 56 0/1/1/0 0/0/0/0
```
Per un'ulteriore risoluzione dei problemi, puoi anche utilizzare il comando seguente, sostituendo `169.254.255.1` con l'indirizzo IP interno del gateway virtuale privato.
```
user@router> show bgp neighbor 169.254.255.1
```
```
Peer: 169.254.255.1+179 AS 7224 Local: 169.254.255.2+57175 AS 65000
Type: External State: Established Flags:
Last State: OpenConfirm Last Event: RecvKeepAlive
Last Error: None
Export: [ EXPORT-DEFAULT ]
Options:
Holdtime: 30 Preference: 170 Local AS: 65000 Local System AS: 0
Number of flaps: 0
Peer ID: 169.254.255.1 Local ID: 10.50.0.10 Active Holdtime: 30
Keepalive Interval: 10 Peer index: 0
BFD: disabled, down
Local Interface: st0.1
NLRI for restart configured on peer: inet-unicast
NLRI advertised by peer: inet-unicast
NLRI for this session: inet-unicast
Peer supports Refresh capability (2)
Restart time configured on the peer: 120
Stale routes from peer are kept for: 300
Restart time requested by this peer: 120
NLRI that peer supports restart for: inet-unicast
NLRI that restart is negotiated for: inet-unicast
NLRI of received end-of-rib markers: inet-unicast
NLRI of all end-of-rib markers sent: inet-unicast
Peer supports 4 byte AS extension (peer-as 7224)
Table inet.0 Bit: 10000
RIB State: BGP restart is complete
Send state: in sync
Active prefixes: 1
Received prefixes: 1
Accepted prefixes: 1
Suppressed due to damping: 0
Advertised prefixes: 1
Last traffic (seconds): Received 4 Sent 8 Checked 4
Input messages: Total 24 Updates 2 Refreshes 0 Octets 505
Output messages: Total 26 Updates 1 Refreshes 0 Octets 582
Output Queue[0]: 0
```
Il valore di `Received prefixes` e `Advertised prefixes` deve essere 1 nella sezione `Table inet.0`.
Se il valore di `State` non è `Established`, verifica il valore di `Last State` e `Last Error` per informazioni dettagliate su come procedere per risolvere il problema.
Se il peering BGP è attivo, verifica che il router del dispositivo gateway del cliente pubblicizzi la route predefinita (0.0.0.0/0) al VPC.
```
user@router> show route advertising-protocol bgp 169.254.255.1
```
```
inet.0: 10 destinations, 11 routes (10 active, 0 holddown, 0 hidden)
Prefix Nexthop MED Lclpref AS path
* 0.0.0.0/0 Self I
```
Assicurati, inoltre, di ricevere il prefisso che corrisponde al VPC dal gateway virtuale privato.
```
user@router> show route receive-protocol bgp 169.254.255.1
```
```
inet.0: 10 destinations, 11 routes (10 active, 0 holddown, 0 hidden)
Prefix Nexthop MED Lclpref AS path
* 10.110.0.0/16 169.254.255.1 100 7224 I
```