Solução de problemas da VPN

Comece pelo detalhe da conexão no portal: cada túnel mostra o estado, o último handshake e o motivo da última falha. Os logs do IKE do gateway (aba de logs, stream vpn) mostram a negociação sem chaves, nonces nem segredos. Do seu lado, use o log de IPsec do firewall.

O túnel não sobe

Motivo no portal ou no log	Causa provável	O que fazer
NO_PROPOSAL_CHOSEN	As propostas do firewall não batem com as da conexão. A plataforma não negocia nada fora da lista.	Confira IKEv2, AES-256-GCM, PRF SHA-256/384 e o grupo DH (14, 19 ou 20) na fase 1 e na fase 2, inclusive o grupo PFS. Use a configuração baixada como referência.
AUTHENTICATION_FAILED	PSK diferente dos dois lados, ou identidade (ID local/remoto) inesperada.	Cole a PSK de novo (sem espaços). Se perdeu a chave, rotacione e atualize o firewall. Use o IP público como identidade, salvo se a configuração baixada disser outra coisa.
TS_UNACCEPTABLE	Os seletores de tráfego (redes) não batem.	No firewall, rede local = redes cadastradas no site; rede remota = faixa de trânsito do gateway. Uma rede a mais ou a menos já causa a recusa.
Peer não responde (retransmissões, timeout)	UDP 500/4500 bloqueado, IP do peer errado ou o firewall não inicia o túnel.	Libere UDP 500 e 4500 nos dois sentidos para o IP público do gateway. Confira o IP cadastrado no site. Um NAT na frente do firewall exige NAT-T, que a plataforma usa sempre.
Suíte legada recusada	IKEv1, CBC ou SHA-1 sem a opção de criptografia legada, ou DES/3DES/MD5/DH abaixo de 14, que nunca são aceitos.	Prefira a política padrão. Se o equipamento só suporta legado, crie a conexão com criptografia legada (fica um aviso na aba Segurança).

O túnel cai e volta

• DPD: com DPD de 30 s, perdas curtas de rede derrubam a SA e o túnel renegocia. Verifique a estabilidade do link e se o firewall responde aos DPD (alguns equipamentos exigem DPD habilitado dos dois lados).
• Rekey: tempos de vida muito diferentes entre os lados causam renegociações em momentos inesperados. Use os da configuração baixada.
• Dois túneis (vpn-m, vpn-l): os dois apontam para o mesmo IP público e só um carrega tráfego por vez. Uma troca de réplica do lado da plataforma (manutenção) aparece como uma queda curta seguida de retomada pelo outro túnel.
• Cada queda e retomada gera os eventos vpn.tunnel_down e vpn.tunnel_up.

Testar conectividade

O botão Testar conectividade roda o teste a partir do gateway, através do túnel. O alvo precisa estar dentro das redes remotas do site (ou ser um nome resolvido pelos DNS do site).

Tipo	Resultado	Significado
TCP (host:porta)	reachable	A porta respondeu; o túnel e as rotas estão certos.
	refused	O host respondeu, mas a porta está fechada. O túnel está certo; confira o serviço.
	timeout	Sem resposta: túnel fora do ar, rede não incluída nos seletores, rota de volta ausente no firewall ou regra de firewall bloqueando a faixa de trânsito.
DNS (nome)	resolved	O DNS do site respondeu (os IPs aparecem no detalhe).
	nxdomain	O nome não existe no DNS do site.
	timeout	O DNS do site não respondeu pelo túnel: confira os servidores cadastrados e se a faixa de trânsito pode consultar o DNS.

O teste é limitado a 10 execuções por minuto por gateway e fica na auditoria.

Destino remoto não resolvido

• resolved_outside_site: o FQDN resolveu para um IP fora das redes remotas do site. Por segurança, o destino não é publicado. Cadastre a rede no site ou corrija o DNS.
• O nome é resolvido de novo quando o TTL expira; se o IP mudar para outro dentro das redes do site, o destino acompanha sozinho.
• Conflito de nome: um destino não pode ter o nome de um recurso do ambiente nem de um destino de outro gateway no mesmo ambiente.

DNS privado

• Perguntas fora da zona (<organização>.privatelink.<domínio> ou a do projeto) recebem REFUSED: o DNS privado não resolve nomes da internet. Configure um conditional forwarder só para a zona, apontando para o IP .2 da faixa de trânsito.
• Um endpoint só entra na zona quando está pronto.
• Se dois ambientes cobertos têm recurso com o mesmo nome, o nome ganha o ambiente (db-staging). Confira o nome exato no portal ou na exportação BIND/CSV.

Endpoint privado não responde

• Confira se o recurso de destino está no ar e se a porta é a do endpoint.
• Modo HttpEdge: o cliente precisa confiar na CA da organização (download no portal) e usar o nome do DNS privado, não o IP, por causa do certificado.
• Se o acesso público do recurso foi desligado, ele continua alcançável pelo endpoint privado; se o endpoint foi removido, o acesso público precisa ser religado para alcançar o recurso de fora.