Wie behebe ich Probleme bei der Konnektivität zwischen On-Premises-Ressourcen und Amazon VPC über Transit Gateway?

Lösung

Um die Konnektivität zwischen On-Premises-Ressourcen und einer VPC über ein Transit-Gateway zu beheben, führe die folgenden Aktionen aus.

Sicherheitsgruppen- und Netzwerk-ACL-Regeln der Instance überprüfen

Führe die folgenden Schritte aus:

1. Öffne die Amazon-EC2-Konsole.
2. Wähle im Navigationsbereich Instances.
3. Wähle die Amazon EC2-Instance aus.
4. Wähle die Registerkarte Sicherheit.
5. Prüfe, ob die Regeln für eingehenden und ausgehenden Datenverkehr den Datenverkehr von und zu deinem On-Premises-Netzwerk zulassen.
6. Öffne die Amazon-VPC-Konsole.
7. Wähle im Navigationsbereich Netzwerk-ACLs aus.
8. Wähle die Netzwerk-Zugriffssteuerungsliste (Netzwerk-ACL) für das Subnetz der Instance aus.
9. Prüfe, ob die Regeln für eingehenden und ausgehenden Datenverkehr den Datenverkehr von und zu deinem On-Premises-Netzwerk zulassen.

Transit-Gateway-Anhänge überprüfen

Führe die folgenden Schritte aus:

1. Wähle im Navigationsbereich Transit-Gateway-Anhänge.
2. Wähle den VPC-Anhang aus.
3. Prüfe unter Details, ob der VPC-Anhang eine Subnetz-ID aus der Availability Zone deiner Instance enthält.
4. Wenn der VPC-Anhang kein Subnetz aus der Availability Zone deiner Instance enthält, dann ändere den VPC-Anhang, um ein Subnetz aus derselben Availability Zone einzuschließen.
   Hinweis: Wenn du ein Subnetz zu einem VPC-Anhang hinzufügst oder daraus entfernst, kann sich der Änderungsstatus auf den Datenverkehr auswirken.

Netzwerk-ACLs für Transit-Gateway-Schnittstellen überprüfen

Führe die folgenden Schritte aus:

1. Öffne die Amazon-EC2-Konsole.
2. Wähle im Navigationsbereich Netzwerkschnittstellen.
3. Gib in der Suchleiste Transit-Gateway ein.
4. Notiere dir die Subnetz-IDs, unter denen das Transit-Gateway die Schnittstellen erstellt hat.
5. Öffne die Amazon-VPC-Konsole.
6. Wähle im Navigationsbereich Netzwerk-ACLs.
7. Gib in der Suchleiste eine Subnetz-ID ein, die du zuvor notiert hast. Die Ergebnisse zeigen die Netzwerk-ACL für das Subnetz.
8. Prüfe, ob die Regeln für eingehenden und ausgehenden Datenverkehr den VPC-CIDR-Block und den CIDR-Block im On-Premises-Netzwerk zulassen.
9. Wiederhole die Schritte 6–8 für jede Transit-Gateway-Netzwerkschnittstelle, die der VPC zugeordnet ist.

Hinweis: Der Datenverkehr von einer VPN- oder Direct Connect-Verbindung kann über eine andere Availability Zone oder ein anderes Subnetz als die Availability Zone deiner Instance in die VPC gelangen. Überprüfe die Netzwerk-ACLs für alle Subnetze, die über Netzwerkschnittstellen verfügen. Weitere Informationen zur Anwendung von Netzwerk-ACL-Regeln findest du unter Network ACLs for transit gateways in AWS Transit Gateway (Netzwerk-ACLs für Transit-Gateways in AWS Transit Gateway).

Konfiguration der Subnetz-Routing-Tabelle überprüfen

Führe die folgenden Schritte aus:

1. Öffne die Amazon-VPC-Konsole.
2. Wähle im Navigationsbereich die Option Routing-Tabellen aus.
3. Wähle die Routing-Tabelle für die Quell-Instance aus.
4. Wähle die Registerkarte Routen.
5. Prüfe, ob bei Ziel das On-Premises-Netzwerk angezeigt wird.
6. Prüfe, ob Ziel die Transit-Gateway-ID anzeigt.

Prüfe, ob ein Routeneintrag für den Ziel-CIDR-Block vorhanden ist, der auf das Transit-Gateway verweist. Wenn kein Routeneintrag vorhanden ist, füge einen Eintrag in der Routing-Tabelle hinzu, der auf das Transit-Gateway verweist.

Transit-Gateway-Routing-Tabellen auf VPC-Anhänge überprüfen

Führe die folgenden Schritte aus:

1. Öffne die Amazon-VPC-Konsole.
2. Wähle im Navigationsbereich Transit-Gateway-Routing-Tabellen aus.
3. Wähle die Routing-Tabelle aus, die dem VPC-Anhang zugeordnet ist.
4. Prüfe auf der Registerkarte Routen, ob eine Route für dein On-Premises-Netzwerk existiert. Prüfe auch, ob Ziel einen DXGW/VPN-Anhang anzeigt.
5. Wenn du Site-to-Site-VPN mit einer statischen Route verwendest, erstelle eine statische Route für das On-Premises-Netzwerk und wähle den **VPN-Anhang ** als Ziel aus.

Transit-Gateway-Routing-Tabelle auf ein Direct Connect-Gateway oder einen VPN-Anhang überprüfen

Führe die folgenden Schritte aus:

1. Öffne die Amazon-VPC-Konsole.
2. Wähle im Navigationsbereich Transit-Gateway-Routing-Tabellen aus.
3. Wähle die Routing-Tabelle aus, die dem AWS Direct Connect-Gateway oder dem VPN-Anhang zugeordnet ist.
4. Prüfe auf der Registerkarte Routen, ob eine Route für den VPC-CIDR-Block existiert. Prüfe dann, ob das Ziel der Route der richtige VPC-Anhang des Transit-Gateways ist.

Das Direct Connect-Gateway auf zulässige Präfixe überprüfen

Führe die folgenden Schritte aus:

1. Öffne die Direct-Connect-Konsole.
2. Wähle im Navigationsbereich Direct-Connect-Gateways.
3. Wähle das Direct-Connect-Gateway aus, das dem Transit-Gateway zugeordnet ist.
4. Stelle unter Gateway-Verknüpfung sicher, dass das Feld Zulässige Präfixe den VPC-CIDR-Block enthält.

Die Konfiguration der Network Firewall oder der Firewall-Appliance von Drittanbietern überprüfen

Überprüfe, ob du ein zentrales Inspektionsmodell zur Inspektion des Nord-Süd-Verkehrs implementiert hast. Wenn du ein zentrales Inspektionsmodell implementiert hast, überprüfe, ob die AWS Network Firewall-Konfiguration über Suricata-Regeln verfügt, die den gesamten erforderlichen Datenverkehr zulassen. Weitere Informationen zu Suricata findest du unter Suricata auf der Suricata-Website. Weitere Informationen zu zentralen Inspektionsmodellen findest du unter Deployment models for AWS Network Firewall (Bereitstellungsmodelle für AWS Network Firewall) und VPC-to-on-premises traffic inspection (VPC-zu-On-Premises-Verkehrsinspektion).

Wenn du eine virtuelle Appliance eines Drittanbieters zur Inspektion verwendest, stelle sicher, dass die Firewall-Regeln den gesamten erforderlichen Datenverkehr zulassen.

On-Premises-Firewallgeräte auf VPC-Datenverkehrsregeln überprüfen

Überprüfe, ob deine On-Premises-Firewallgeräte den gesamten erforderlichen Datenverkehr zwischen beiden Netzwerken zulassen. Anweisungen findest du in der Dokumentation des Firewall-Anbieters.

Firewalls des On-Premises-Servers überprüfen

Wenn der On-Premises-Server eine Betriebssystem-(OS)-Firewall verwendet, überprüfe, ob diese den Datenverkehr zum und vom VPC-CIDR-Block zulässt.

Routen mit Route Analyzer analysieren

Voraussetzung: Verwende die AWS Network Manager-Konsole, um ein globales Netzwerk zu erstellen.

Verwende den Route Analyzer for AWS Network Manager, um eine Routenanalyse durchzuführen.

Weitere Informationen

Wie behebe ich Probleme bei der VPC-zu-VPC-Konnektivität über ein Transit-Gateway?

Diagnosing traffic disruption using AWS Transit Gateway Network Manager Route Analyzer (Diagnose von Störungen des Datenverkehrs mit AWS Transit Gateway Network Manager Route Analyzer)