Site-to-site IPsec VPN tüneli UP görünüyor ama iki taraf arasında trafik geçmiyor. Nasıl sorun giderirsiniz?

Tünelin "up" görünmesi genelde sadece IKE (Phase 1) SA'nın kurulduğunu gösterir. Önce Phase 2 (IPsec SA) durumunu ve sayaçları kontrol ederim; sayaçlar sorunun hangi tarafta olduğunu söyler.

show crypto isakmp sa          ! IKEv1: QM_IDLE olmalı
show crypto ikev2 sa
show crypto ipsec sa           ! encaps / decaps sayaçları

Sayaçlara göre teşhis

Kontrol listesi

1. Interesting traffic / crypto ACL: İki taraftaki tanımlar birbirinin ayna görüntüsü olmalı (A: 10.1.0.0/16 → 10.2.0.0/16, B: tam tersi). Farklı vendor'lar arası (ör. Cisco ile Fortinet) proxy ID uyuşmazlığı en sık sorundur.
2. NAT exemption: VPN trafiği PAT kuralına takılırsa kaynak adres değişir ve crypto ACL ile eşleşmez. VPN trafiği NAT'tan muaf tutulmalıdır.
3. Routing: Uzak ağın rotası doğru arayüzü gösteriyor mu? Route-based VPN'de tunnel arayüzüne rota var mı?
4. Firewall/ACL: Tünelden çıkan trafiğe iç politikalar izin veriyor mu?
5. Dönüş yolu: Uzak taraftaki sunucunun default gateway'i VPN cihazı mı? Değilse yanıt başka yere gider.
6. MTU: Ping çalışıp büyük transferler takılıyorsa IPsec overhead'i nedeniyle fragmentation sorunu vardır; ip tcp adjust-mss 1360 uygulanır.
7. PFS ve lifetime uyuşmazlıkları, rekey sırasında periyodik kopmalara yol açar.

Test

Trafiği doğru kaynak IP ile üretmek gerekir: router'dan ping 10.2.1.10 source 10.1.1.1. Kaynak belirtilmezse paket WAN IP'sinden çıkar ve crypto ACL'e uymaz.