Туннель между сайтами AWS/Strongswan-Ubuntu не может выполнить эхо-запрос удаленного устройства

Ubuntu (Linode) Strongswan 5.6.2 Подключение к AWS (сайт к сайту).

1. Я могу пропинговать от конечной точки AWS до Ubuntu VPN.
2. Я не могу пропинговать от конечной точки AWS до конечной точки Ubuntu.
3. Я ничего не могу пинговать из Ubuntu VPN в AWS.

Публичный Ubuntu (VPN): 1.2.3.4 | Ubuntu (VPN) частный: 192.168.234.113/24

Публичный AWS (VPN): 4.5.6.7 | AWS (VPN) частный: 169.254.177.44/30

AWS (конечная точка) частный: 10.11.1.197

Ubuntu (конечная точка) частный: 192.168.136.15

Я могу пропинговать адаптер туннеля 169.254.177.46 из Ubuntu (локальный), но не удаленный 169.254.177.45, который, как я предполагаю, является клиентским шлюзом (целевой хост недоступен)

root@ubuntu:~# пинг 10.11.1.197
PING 10.11.1.197 (10.11.1.197) 56 (84) байт данных.
From 169.254.177.46 icmp_seq=1 Целевой хост недоступен
From 169.254.177.46 icmp_seq=2 Целевой хост недоступен

IP а

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    ссылка/петля 00:00:00:00:00:00 брд 00:00:00:00:00:00
    инет 127.0.0.1/8 область хоста lo
       valid_lft навсегда
    inet6 :: 1/128 узел области видимости
       valid_lft навсегда
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
    ссылка/эфир f2:3c:93:db:4d:c0 brd ff:ff:ff:ff:ff:ff
    inet 1.2.3.4/24 brd 194.195.211.255 глобальная область eth0
       valid_lft навсегда
    инет 192.168.234.113/17 brd 192.168.255.255 глобальный охват eth0
       valid_lft навсегда
    inet6 2600:3c02::f03c:93ff:fedb:4dc0/64 область глобальная динамическая mngtmpaddr noprefixroute
       valid_lft 60 сек. selected_lft 20 сек.
    ссылка на область inet6 fe80::f03c:93ff:fedb:4dc0/64
       valid_lft навсегда
3: ip_vti0@NONE: <NOARP> mtu 1480 qdisc noop состояние DOWN группа по умолчанию qlen 1000
    ссылка/ipip 0.0.0.0 брд 0.0.0.0
6: Tunnel1@NONE: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1419 qdisc noqueue state UNKNOWN group default qlen 1000
    ссылка/ipip 1.2.3.4 партнер 4.5.6.7
    inet 169.254.177.46 одноранговый узел 169.254.177.45/30 область глобальная Tunnel1
       valid_lft навсегда
    ссылка на область inet6 fe80::200:5efe:c2c3:d3cb/64
       valid_lft навсегда

маршруты

10.11.1.0 0.0.0.0 255.255.255.0 U 100 0 0 Туннель1
169.254.177.44 0.0.0.0 255.255.255.252 U 0 0 0 Туннель1
192.168.128.0 0.0.0.0 255.255.128.0 U 0 0 0 eth0
194.195.211.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

xfrm-политика

источник 192.168.128.0/17 dst 0.0.0.0/0
        удалить приоритет 391295
        отметка 0x64/0xffffffff
        tmpl src 1.2.3.4 dst 4.5.6.7
                proto esp spi 0xcdecffff9 требуется туннель режима 1
источник 0.0.0.0/0 dst 192.168.128.0/17
        каталог вперед приоритет 391295
        отметка 0x64/0xffffffff
        tmpl src 4.5.6.7 dst 1.2.3.4
                proto esp reqid 1 режим туннеля
источник 0.0.0.0/0 dst 192.168.128.0/17
        директор в приоритете 391295
        отметка 0x64/0xffffffff
        tmpl src 4.5.6.7 dst 1.2.3.4
                proto esp reqid 1 режим туннеля
источник 0.0.0.0/0 приемник 0.0.0.0/0
        сокет с приоритетом 0
источник 0.0.0.0/0 приемник 0.0.0.0/0
        приоритет исходящего сокета 0
источник 0.0.0.0/0 приемник 0.0.0.0/0
        сокет с приоритетом 0
источник 0.0.0.0/0 приемник 0.0.0.0/0
        приоритет исходящего сокета 0
источник ::/0 приемник ::/0
        сокет с приоритетом 0
источник ::/0 приемник ::/0
        приоритет исходящего сокета 0
источник ::/0 приемник ::/0
        сокет с приоритетом 0
источник ::/0 приемник ::/0
        приоритет исходящего сокета 0

Когда я настраивал VPN типа «сеть-сеть», у меня были похожие странные проблемы. Некоторые вещи для проверки, которые могут помочь:

1. Проверьте, включено ли распространение маршрута в подсетях и конечных точках в AWS.
2. Проверьте группы безопасности и NACL.
3. Если вы пытаетесь пропинговать инстанс EC2, проверьте группы безопасности, которые разрешают ping
4. Если сомневаетесь — нарисуйте схему подключения локального хоста к VPN к AWS и проверьте каждый шаг и направление.

Я думаю, что я также использовал эта страница и эта другая страница - если вы пытаетесь сделать его как можно более безопасным, вероятно, лучше начать с менее безопасного, пока вы не разгладите морщины!