Comment résoudre les problèmes de connectivité entre les ressources sur site et le VPC via Transit Gateway ?

Résolution

Prérequis : Créez un réseau mondial avec AWS Global Networks. Cette opération est nécessaire pour analyser les routes dans la table de routage de votre passerelle de transit avec l’analyseur de route.

Vérifier la configuration de la table de routage de sous-réseau

Procédez comme suit :

1. Ouvrez la console Amazon Virtual Private Cloud (Amazon VPC).
2. Dans le volet de navigation, choisissez Tables de routage.
3. Sélectionnez la table de routage de votre instance Amazon Elastic Compute Cloud (Amazon EC2) source.
4. Choisissez l'onglet Routes.
5. Vérifiez si Destination affiche le réseau sur site.
6. Vérifiez si Cible affiche l'ID de la passerelle de transit.

Vérifier les attachements de passerelle de transit

Procédez comme suit :

1. Dans le volet de navigation, sélectionnez Attachements de la passerelle de transit.
2. Sélectionnez l’attachement de VPC.
3. Sous Détails, vérifiez si l’attachement de VPC inclut un ID de sous-réseau provenant de la zone de disponibilité de votre instance Amazon EC2.

Si l’attachement de VPC n'inclut pas de sous-réseau de la zone de disponibilité de votre instance EC2, sélectionnez un sous-réseau dans la zone de disponibilité de votre instance EC2. Pour obtenir des instructions, consultez la section Modifier un attachement de VPC à l'aide d'Amazon VPC Transit Gateways.

Remarque : L'état de modification peut affecter le trafic de données lorsque vous ajoutez ou modifiez un sous-réseau d’attachements de VPC.

Vérifier la table de routage pour l’attachement de VPC

Procédez comme suit :

1. Dans le volet de navigation, sélectionnez Tables de routage de la passerelle de transit.
2. Sélectionnez la table de routage associée à l’attachement de VPC.
3. Dans l'onglet Routes, vérifiez s'il existe une route pour votre réseau sur site. Vérifiez également si Cible affiche un attachement DXGW/VPN.
4. Si vous utilisez un VPN site à site avec une route statique, créez une route statique pour votre réseau sur site et sélectionnez Attachement de VPN comme cible.

Vérifier la table de routage pour la passerelle Direct Connect ou l’attachement de VPN

Procédez comme suit :

1. Dans le volet de navigation, sélectionnez Tables de routage de la passerelle de transit.
2. Sélectionnez la table de routage associée à la passerelle AWS Direct Connect ou à l’attachement de VPN.
3. Dans l'onglet Routes, vérifiez s'il existe une route pour votre bloc CIDR de VPC. Puis, vérifiez si la cible de la route est l’attachement de VPC de passerelle de transit approprié.

Vérifier l’existence de préfixes autorisés pour la passerelle Direct Connect

Procédez comme suit :

1. Ouvrez la console Direct Connect.
2. Dans le volet de navigation, sélectionnez Passerelles Direct Connect.
3. Sélectionnez la passerelle Direct Connect associée à la passerelle de transit.
4. Sous Association de passerelle, vérifiez que le champ Préfixes autorisés inclut votre bloc CIDR de VPC.

Vérifier les règles du groupe de sécurité de l'instance et de la liste de contrôle d'accès au réseau

Procédez comme suit :

1. Ouvrez la console Amazon EC2.
2. Dans le volet de navigation, sélectionnez Instances.
3. Sélectionnez l’instance EC2.
4. Choisissez l’onglet Sécurité.
5. Vérifiez si les règles entrantes et les règles sortantes autorisent le trafic à destination et en provenance de votre réseau sur site.
6. Ouvrez la console Amazon VPC.
7. Dans le volet de navigation, sélectionnez ACL réseau.
8. Sélectionnez l'ACL réseau pour le sous-réseau de votre instance EC2.
9. Sélectionnez Règles entrantes et Règles sortantes. Puis, vérifiez si ces règles autorisent le trafic en provenance et à destination de votre réseau sur site.

Vérifier l’existence d’interfaces de passerelle de transit dans les listes de contrôle d'accès au réseau

Procédez comme suit :

1. Ouvrez la console Amazon EC2.
2. Dans le volet de navigation, sélectionnez Interfaces réseau.
3. Dans la barre de recherche, saisissez Transit Gateway.
4. Notez les ID de sous-réseau dans lesquels Transit Gateway a créé les interfaces.
5. Ouvrez la console Amazon VPC.
6. Dans le volet de navigation, sélectionnez ACL réseau.
7. Dans la barre de recherche, entrez l'ID de sous-réseau que vous avez noté précédemment. Les résultats indiquent la liste de contrôle d'accès au réseau (ACL réseau) pour le sous-réseau.
8. Vérifiez si les règles entrantes et les règles sortantes autorisent le bloc CIDR du VPC et le bloc CIDR du réseau sur site.
9. Répétez les étapes 6 à 8 pour chaque interface réseau de passerelle de transit associée au VPC.

Remarque : Le trafic provenant d'une connexion VPN ou Direct Connect peut parvenir au VPC via une zone de disponibilité ou un sous-réseau différent de celui de la zone de disponibilité de votre instance. Vérifiez les ACL réseau pour tous les sous-réseaux dotés d'interfaces réseau.

Vérifier l’existence de règles de trafic de VPC sur les dispositifs de pare-feu sur site

Vérifiez que vos dispositifs de pare-feu locaux autorisent le trafic entrant et sortant vers le bloc CIDR du VPC. Pour obtenir des instructions, consultez la documentation du fournisseur de votre pare-feu.

Analysez les routes avec l’analyseur de route

Procédez comme suit :

1. Ouvrez la console Amazon VPC.
2. Dans le volet de navigation, sélectionnez Network Manager.
3. Choisissez le réseau mondial sur lequel votre passerelle de transit est enregistrée.
4. Dans le volet de navigation, sélectionnez Réseau de passerelles de transit. Puis, sélectionnez Analyseur de route.
5. Dans Source et Destination, entrez une passerelle de transit, l’attachement de la passerelle de transit et une adresse IP. Assurez-vous d'utiliser la même passerelle de transit dans les champs Source et Destination.
6. Sélectionnez Exécuter l'analyse de la route.

Remarque : Après avoir effectué l'analyse de la route, l’analyseur de route indique un état Connecté ou Non connecté. Si l'état est Non connecté, appliquez les recommandations de routage fournies par l’analyseur de route, puis relancez l'analyse.

Informations connexes

Comment résoudre les problèmes de connectivité entre VPC via une passerelle de transit ?

Diagnostiquer les interruptions de trafic à l'aide de l'analyseur de route AWS Transit Gateway Network Manager