Meraki MX: VPN-Tunnel flappt – Ursachen und Lösung

Ein VPN-Tunnel auf der Meraki MX, der ständig „flappt“, bricht in kurzen Abständen ab und baut sich gleich wieder auf. In den allermeisten Fällen liegt das nicht an der Appliance selbst, sondern am Weg dorthin: Eine vorgeschaltete Firewall blockiert die AutoVPN-Ports, der Internetanschluss (Uplink) wackelt oder die NAT-Erkennung steht auf Unfriendly. Prüfe zuerst den VPN-Status im Dashboard, dann den Uplink und zuletzt die Firewall-Regeln davor.

Woran du einen flappenden Tunnel erkennst

Bevor du etwas änderst, grenze das Problem sauber ein. „Flapping“ sieht im Dashboard typischerweise so aus:

• Im Ereignisprotokoll häufen sich VPN connectivity change-Einträge – mal im Minutentakt, mal in regelmäßigen Wellen.
• Auf der VPN-Status-Seite springt der Tunnel zwischen Connected und Disconnected.
• Der NAT-Typ wird als Unfriendly angezeigt oder die VPN Registry als Disconnected – beides sind starke Hinweise auf ein Gerät davor.
• Anwendungen über den Tunnel (Remote-Desktop, VoIP-Telefonie, Dateifreigaben) frieren kurz ein und laufen dann weiter.

Wichtig ist die Unterscheidung: Fällt nur der Tunnel aus oder die ganze Internetverbindung? Genau das klären die nächsten Schritte.

Schritt für Schritt: Tunnel-Flapping eingrenzen

1. VPN-Status prüfen. Öffne im Meraki-Dashboard unter Security & SD-WAN den VPN-Status. Notiere dir den NAT-Typ und ob die VPN Registry erreichbar ist. Steht dort Unfriendly oder Disconnected, ist fast sicher ein vorgeschaltetes Gerät die Ursache.
2. Uplink vom Tunnel trennen. Lege eine Uplink-Statistik mit der öffentlichen IP-Adresse der Gegenstelle als Ziel an. Bricht schon dieser direkte Verbindungstest ab, liegt das Problem am WAN (Internetanschluss) – nicht am VPN. Bleibt der Uplink stabil und nur der Tunnel flappt, geht es bei den Ports und beim NAT weiter.
3. AutoVPN-Ports freigeben. Auf der vorgeschalteten Firewall müssen die ausgehenden UDP-Ports offen sein, die AutoVPN braucht: UDP 9350–9381 für die Kontaktaufnahme zur VPN Registry und UDP 32768–61000 für den eigentlichen Tunnel-Datenverkehr. Die exakte, für dein Konto gültige Liste zeigt das Dashboard unter Help > Firewall info.
4. NAT-Traversal anpassen. Zeigt der Status NAT type: Unfriendly, verhindert das NAT-Gerät davor das automatische „Loch-Stanzen“ (UDP Hole Punching). Stelle dann in der Site-to-site-VPN-Konfiguration die NAT-Traversal-Methode auf Manual: Port forwarding und leite den genutzten UDP-Port gezielt auf die MX weiter.
5. Firmware kontrollieren. Vor jedem Firmware-Wechsel: Konfigurations-Backup ziehen. Halte die MX anschließend auf der von Meraki empfohlenen Stable-Firmware (Stand 2026 ist das die MX-19.2er-Reihe als Recommended; die MX-26er-Reihe ist Generally Available) und lies vor einem Update die Release Notes. Ein bekannter Firmware-Fehler kann Flapping auslösen – das ist aber die Ausnahme, nicht die Regel.

Wenn der Tunnel trotzdem weiter flappt

Bleiben die Ports offen und der NAT-Typ freundlich, aber der Tunnel wackelt weiter, prüfe diese selteneren Ursachen:

• Überlappende Subnetze. Nutzen beide Standorte denselben IP-Bereich (z. B. zweimal 192.168.1.0/24), kann der Datenverkehr nicht sauber geroutet werden. Abhilfe schafft eine VPN-Subnetz-Übersetzung oder ein neuer Adressplan an einem Standort.
• Fehlende Routen. Liegt hinter der MX ein weiterer Router oder eine Core-Switch-Schicht, braucht dieses Gerät eine Route zum entfernten VPN-Subnetz – sonst kommen Antwortpakete nicht zurück.
• IPsec-Lifetime ohne Verkehr. Läuft dauerhaft kaum Verkehr über den Tunnel, kann er nach Ablauf der IPsec-Lebensdauer (Lifetime) abgebaut und beim nächsten Paket neu verhandelt werden. Das wirkt wie Flapping, ist aber normales Auf- und Abbauen.
• Packet Capture. Bringt nichts davon Klarheit, hilft eine Paketaufzeichnung direkt auf der WAN-Schnittstelle. Sie zeigt, ob die UDP-Pakete überhaupt nach draußen gelangen – und ist die Grundlage, mit der auch der Meraki-Support gezielt weitersucht.

Hintergrund: Warum flappt ein AutoVPN-Tunnel überhaupt?

Meraki AutoVPN baut die Tunnel zwischen den MX-Geräten nicht manuell, sondern automatisch über die Cloud auf. Damit das klappt, meldet sich jede MX bei der VPN Registry – einem zentralen Verzeichnis von Meraki, das die öffentlichen IP-Adressen und Ports aller Geräte sammelt. Über diese Registry erfahren zwei Appliances, wie sie sich gegenseitig erreichen.

Der Tunnel selbst entsteht per UDP Hole Punching: Beide Seiten schicken gleichzeitig UDP-Pakete nach draußen und „stanzen“ so ein Loch durch ihr jeweiliges NAT. Genau hier hakt es, wenn eine Firewall die nötigen Ports blockiert oder ein NAT-Gerät die Quell-Ports umschreibt – dann findet eine Seite die andere nicht stabil, und der Tunnel bricht immer wieder zusammen. Deshalb lohnt es sich, bei Flapping zuerst den Weg nach draußen zu prüfen, nicht die MX selbst.

Vertiefende offizielle Quellen: die Site-to-Site-VPN-Fehlerbehebung, der Leitfaden Auto VPN – Configuration and Troubleshooting und die Doku zu Automatic NAT Traversal.

Häufige Fragen

Welche Ports braucht Meraki AutoVPN?

UDP 9350–9381 für den Kontakt zur VPN Registry und UDP 32768–61000 für den Tunnel-Datenverkehr. Beide müssen auf vorgeschalteten Firewalls ausgehend offen sein.

Was bedeutet NAT type »Unfriendly« bei der Meraki MX?

Ein vorgeschaltetes NAT-Gerät verhindert das UDP Hole Punching, mit dem AutoVPN den Tunnel öffnet. Abhilfe: NAT-Traversal auf »Manual: Port forwarding« stellen und den Port weiterleiten.

Wie erkenne ich, ob der Tunnel oder das Internet ausfällt?

Lege eine Uplink-Statistik auf die öffentliche IP der Gegenstelle. Bricht schon dieser direkte Test ab, liegt es am WAN. Bleibt der Uplink stabil, ist es ein VPN- oder NAT-Problem.

Liegt Tunnel-Flapping an der Firmware?

Nur selten direkt. Halte die MX auf der empfohlenen Stable-Firmware und prüfe die Release Notes. Meist sind blockierte Ports, ein wackelnder Uplink oder unfreundliches NAT die echte Ursache.

Was heißt »VPN Registry: Disconnected«?

Die MX erreicht die zentrale Meraki-VPN-Registry nicht, weil UDP 9350–9381 blockiert ist. Ohne Registry-Kontakt können sich die Peers nicht finden und kein AutoVPN-Tunnel entsteht.