Pourquoi ne puis-je pas me connecter à mes ressources via une connexion d'appairage Transit Gateway ?

Résolution

Vérifier les attachements de la passerelle de transit de VPC pour le VPC source et de destination

Procédez comme suit :

1. Ouvrez la console Amazon Virtual Private Cloud (Amazon VPC).
2. Dans le volet de navigation, sélectionnez Attachements de la passerelle de transit.
3. Vérifiez que les ID de la passerelle de transit pour vos attachements de VPC correspondent à ceux que vous avez utilisés pour la connexion d'appairage.
4. Vérifiez que le VPC source et sa passerelle de transit se trouvent dans la même région AWS.
5. Vérifiez que le VPC de destination et sa passerelle de transit se trouvent dans la même région.

Vérifier la table de routage de la passerelle de transit avec le VPC et les attachements d'appairage

Procédez comme suit :

1. Sur la console Amazon VPC, choisissez Attachements de la passerelle de transit.
2. Sélectionnez l’attachement de VPC. Puis, notez l'ID de la table de routage de la passerelle de transit dans la colonne ID de la table de routage associée.
3. Sélectionnez l’attachement d’appairage. Puis, notez l'ID de la table de routage de la passerelle de transit dans la colonne ID de la table de routage associée.

Répétez les étapes pour la passerelle de transit source et de destination.

Vérifier la configuration de l’itinéraire de l’attachement de VPC source

Procédez comme suit :

1. Sur la console Amazon VPC, choisissez Tables de routage de la passerelle de transit.
2. Sélectionnez la table de routage que vous avez notée pour l’attachement de VPC source.
3. Choisissez l'onglet Itinéraires.
4. Vérifiez s'il existe un itinéraire pour le bloc CIDR du VPC de destination qui pointe vers l’attachement d'appairage de la passerelle de transit.

Remarque : le trafic entre les passerelles de transit appairées requiert un itinéraire statique dans la table de routage de passerelle de transit qui pointe vers l’attachement d’appairage de passerelle de transit.

Vérifier la configuration de la route vers l’attachement d’appairage source

Procédez comme suit :

1. Sur la console Amazon VPC, choisissez Tables de routage de la passerelle de transit.
2. Sélectionnez la table de routage que vous avez notée pour l’attachement de VPC source.
3. Choisissez l'onglet Itinéraires.
4. Vérifiez s'il existe un itinéraire pour le bloc CIDR du VPC source et qu’il pointe vers l’attachement de VPC source.

Vérifier la configuration de l'itinéraire de l’attachement de VPC de destination

Procédez comme suit :

1. Sur la console Amazon VPC, choisissez Tables de routage de la passerelle de transit.
2. Sélectionnez la table de routage que vous avez notée pour l’attachement de VPC de destination.
3. Choisissez l'onglet Itinéraires.
4. Vérifiez s'il existe un itinéraire pour le bloc CIDR du VPC source et qu’il pointe vers l’attachement d'appairage de la passerelle de transit.

Vérifier la configuration de la route vers l’attachement d'appairage de destination

Procédez comme suit :

1. Sur la console Amazon VPC, choisissez Tables de routage de la passerelle de transit.
2. Sélectionnez la table de routage que vous avez notée pour l’attachement de la passerelle de transit d’appairage.
3. Choisissez l'onglet Itinéraires.
4. Vérifiez s'il existe un itinéraire pour le bloc CIDR du VPC de destination et qu’il pointe vers l’attachement de VPC de destination.

Vérifier les tables de routage du sous-réseau de VPC

Procédez comme suit :

1. Sur la console Amazon VPC, choisissez Tables de routage.
2. Sélectionnez les tables de routage pour vos instances source et destination.
3. Choisissez l'onglet Itinéraires.
4. Sous Destination, vérifiez l’existence d’un itinéraire pour l'autre bloc d'adresse CIDR du VPC. Puis, vérifiez que Cible indique l'ID de la passerelle de transit du VPC local.

Vérifiez les paramètres du groupe de sécurité et de l'ACL réseau

Procédez comme suit :

1. Ouvrez la console Amazon Elastic Compute Cloud (Amazon EC2).
2. Dans le volet de navigation, sélectionnez Instances.
3. Sélectionnez l'instance Amazon EC2 source pour le test de connectivité.
4. Choisissez l’onglet Sécurité.
5. Vérifiez que les règles sortantes pour l'instance EC2 source autorisent le trafic.
6. Ouvrez la console Amazon VPC.
7. Dans le volet de navigation, sélectionnez ACL réseau.
8. Sélectionnez la liste de contrôle d'accès au réseau (ACL réseau) pour le sous-réseau de votre instance.
9. Vérifiez si les règles entrantes et les règles sortantes autorisent le trafic de test.
10. Répétez les étapes 1 à 9 pour l'instance de destination. Pour l'instance de destination, cochez les règles entrantes plutôt que les règles sortantes dans le groupe de sécurité.

Vérifier les paramètres de l’ACL réseau de la passerelle de transit

Procédez comme suit :

1. Ouvrez la console Amazon EC2.
2. Dans le volet de navigation, sélectionnez Interfaces réseau.
3. Dans la barre de recherche, saisissez Passerelle de transit.
4. Notez les ID de sous-réseau pour les interfaces réseau de la passerelle de transit.
5. Ouvrez la console Amazon VPC.
6. Dans le volet de navigation, sélectionnez ACL réseau.
7. Dans la barre de recherche Filtrer les ACL réseau, entrez l'ID de sous-réseau que vous avez noté à l'étape 4.
8. Vérifiez si les règles entrantes et les règles sortantes autorisent le trafic entre le VPC source et le VPC de destination.
9. Répétez les étapes 7 à 8 pour chaque sous-réseau.

Remarque : il est recommandé de maintenir les ACL réseau de la passerelle de transit à l'état ouvert.

Tester la connectivité avec l’Analyseur d’accessibilité

Utilisez l’Analyseur d’accessibilité pour vérifier que vous avez correctement configuré les composants des groupes de sécurité, des ACL réseau et des tables de routage. Pour en savoir plus, consultez la section Comment résoudre les problèmes de connectivité liés à une ressource Amazon VPC à l’aide de l’Analyseur d'accessibilité Amazon VPC ?

Remarque : pour les destinations interrégionales, l’Analyseur d’accessibilité vérifie uniquement le chemin vers la première passerelle de transit.

Lorsque vous utilisez l’Analyseur d’accessibilité, créez des chemins de la source vers la destination et de la destination vers la source. Il est recommandé de tester les deux chemins, car le trafic de retour peut échouer même si le trafic de transfert est correctement acheminé.

Si l'erreur « TGW_ROUTE_AZ_RESTRICTION » s'affiche lors de l'analyse d'accessibilité, vérifiez la configuration de votre sous-réseau. L’attachement de VPC de la passerelle de transit doit utiliser un sous-réseau dans la même zone de disponibilité que votre instance source.

Utiliser l’Analyseur d’itinéraires pour vérifier la connectivité de la passerelle de transit

Prérequis : avant de commencer, créez un réseau mondial et enregistrez vos passerelles de transit. Pour des instructions, consultez la section Démarrer avec les réseaux mondiaux pour les passerelles de transit.

Puis, procédez comme ceci :

1. Ouvrez la console Amazon VPC.
2. Dans le volet de navigation, sélectionnez Gestionnaire de réseaux.
3. Choisissez Réseaux mondiaux, puis choisissez le réseau mondial sur lequel vous avez enregistré la passerelle de transit.
4. Dans le volet de navigation, choisissez Transit Gateway Network, puis choisissez Analyseur d’itinéraires.
5. Renseignez les informations de Source et Destination.
6. Sélectionnez Exécuter l'analyse de l’itinéraire.

L’Analyseur d’itinéraires effectue une analyse de routage et indique l'état Connecté ou Non connecté. Si l'état est Non connecté, l’Analyseur d’itinéraires fournit une recommandation de routage. Utilisez les recommandations, puis exécutez à nouveau l'analyse de l'itinéraire pour confirmer la connectivité.

Remarque : l’Analyseur d’itinéraires prend en charge l’appairage interrégional mais pas l’appairage intra-régional.

Vérifier les journaux de flux pour détecter d’éventuels problèmes de routage

Consultez les journaux de flux VPC et les journaux de flux de la passerelle de transit pour vérifier que le trafic passe par les attachements d’appairage du VPC et de la passerelle de transit. Vérifiez également que le trafic circule à la fois dans la direction d'entrée et dans la direction de sortie.

Puis, vérifiez les journaux de flux de la passerelle de transit pour détecter des incréments dans les champs packets-lost-no-route et packets-lost-blackhole.

Remarque : la perte de paquets packets-lost-no-route indique les paquets perdus car il n’existe aucun itinéraire et packets-lost-blackhole indique les paquets perdus sur des itinéraires de type trou noir provenant de l’attachement. Si vous ne parvenez toujours pas à connecter les ressources VPC via la connexion d'appairage Transit Gateway, contactez AWS Support.