『已解決』Ubiquiti EdgeRouter X SFP 設定 IPsec Site-to-Site VPN 卡關

【help】ubiquiti edgerouter x sfp 設定 ipsec site-to-site vpn 卡關

1833 2023-01-13 23:46:01 ‧ 1605 瀏覽

分享至

使用 Ubiquiti EdgeRouter X 做 Site to Site VPN 想將兩網域聯通.......持續卡關中；兩端網路服務皆是今網寬頻已請今網技術部門開啟VPN Port。
依照"EdgeRouter - 修改 IPsec Site-to-Site VPN 的默認配置"說明開啟；
IPsec 相關的端口和協議是：
UDP 500 (IKE)
Protocol 50 (ESP)
UDP 4500 (NAT-T)

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

1 個回答

zyman2008

iT邦大師 6 級 ‧ 2023-01-15 11:22:48

最佳解答

下列幾個檢查步驟, (附圖是我的測試環境供參考, 相關IP或介面請依你的環境值設定)

設定請把 Automatically open firewall and exclude from NAT 開啟.
Peer 是設定今網寬頻幫你開的另一端的 public IP 或是 DNS name.
從一端的 LAN ping 另一端的 LAN IP. (例如從 192.168.1.x ping 192.168.2.x)
先用CLI確認VPN是否有建立起來, $ show vpn ipsec state
如果沒有建立, 到 Toolbox 用 Packet Capture 工具看是否有IKE(UDP port 500)的封包收送. (先設好packet capture,你的case interface是設eth5,抓個100個包,按 Start. 再做步驟3的ping測試)
如果你是在 A 這台,要確認packet capture下面test result是否有看到 192.168.254.24:500->對端的public IP:500, 和對端的public IP:500->192.168.254.24:500 的封包)

如果沒有對端的public IP:500->192.168.254.24:500 的封包, 要在對端也開 packet capture看是否有收到封包. 沒有的話要請今網那邊檢查NAT是否開對.
如果有封包, 就要用CLI看 vpn log找問題, $ show vpn log (有需要可以把log私我,再幫你看)