Comment résoudre les problèmes de connectivité entre les ressources sur site et Amazon VPC via Transit Gateway ?

Résolution

Pour résoudre les problèmes de connectivité entre les ressources sur site et un VPC via Transit Gateway, effectuez les actions suivantes.

Vérifier les règles du groupe de sécurité d'instance et de l'ACL réseau

Procédez comme suit :

1. Ouvrez la console Amazon EC2.
2. Dans le volet de navigation, sélectionnez Instances.
3. Sélectionnez l'instance Amazon EC2.
4. Choisissez l’onglet Sécurité.
5. Vérifiez si les règles entrantes et les règles sortantes autorisent le trafic à destination et en provenance de votre réseau sur site.
6. Ouvrez la console Amazon VPC.
7. Dans le volet de navigation, sélectionnez ACL réseau.
8. Sélectionnez la liste de contrôle d'accès au réseau (ACL réseau) pour le sous-réseau de votre instance EC2.
9. Vérifiez si les règles entrantes et les règles sortantes autorisent le trafic à destination et en provenance de votre réseau sur site.

Vérifier les attachements de la passerelle de transit

Procédez comme suit :

1. Dans le volet de navigation, sélectionnez Attachements de la passerelle de transit.
2. Sélectionnez l’attachement de VPC.
3. Sous Détails, vérifiez si l’attachement de VPC inclut un ID de sous-réseau provenant de la zone de disponibilité de votre instance.
4. Si l’attachement de VPC n'inclut pas de sous-réseau provenant de la zone de disponibilité de votre instance, modifiez-le pour inclure un sous-réseau de la même zone de disponibilité.
   Remarque : Lorsque vous ajoutez ou supprimez un sous-réseau d'un attachement de VPC, l'état de modification peut affecter le trafic de données.

Vérifier les ACL réseau pour les interfaces de passerelle de transit

Procédez comme suit :

1. Ouvrez la console Amazon EC2.
2. Dans le volet de navigation, sélectionnez Interfaces réseau.
3. Dans la barre de recherche, saisissez Transit Gateway.
4. Notez les ID de sous-réseau dans lesquels Transit Gateway a créé les interfaces.
5. Ouvrez la console Amazon VPC.
6. Dans le volet de navigation, sélectionnez ACL réseau.
7. Dans la barre de recherche, entrez l'ID de sous-réseau que vous avez noté précédemment. Les résultats indiquent l'ACL réseau pour le sous-réseau.
8. Vérifiez si les règles entrantes et les règles sortantes autorisent le bloc CIDR du VPC et le bloc CIDR du réseau sur site.
9. Répétez les étapes 6 à 8 pour chaque interface réseau de passerelle de transit associée au VPC.

Remarque : Le trafic provenant d'une connexion VPN ou Direct Connect peut parvenir au VPC via une zone de disponibilité ou un sous-réseau différent de celui de la zone de disponibilité de votre instance. Vérifiez les ACL réseau pour tous les sous-réseaux dotés d'interfaces réseau. Pour plus d'informations sur l'application des règles d’ACL réseau, consultez la section ACL réseau pour les passerelles de transit dans AWS Transit Gateway.

Vérifier la configuration de la table de routage de sous-réseau

Procédez comme suit :

1. Ouvrez la console Amazon VPC.
2. Dans le volet de navigation, choisissez Tables de routage.
3. Sélectionnez la table de routage de votre instance source.
4. Choisissez l'onglet Itinéraires.
5. Vérifiez si Destination affiche le réseau sur site.
6. Vérifiez si Cible affiche l'ID de la passerelle de transit.

Recherchez une entrée de table de routage pour le bloc CIDR de destination qui pointe vers la passerelle de transit. S'il n'existe aucune entrée de table de routage, ajoutez une entrée à la table de routage qui pointe vers la passerelle de transit.

Consulter les tables de routage Transit Gateway pour les attachements de VPC

Procédez comme suit :

1. Ouvrez la console Amazon VPC.
2. Dans le volet de navigation, sélectionnez Tables de routage de la passerelle de transit.
3. Sélectionnez la table de routage associée à l’attachement de VPC.
4. Dans l'onglet Itinéraires, vérifiez s'il existe un itinéraire pour votre réseau sur site. Vérifiez également si Cible affiche un attachement DXGW/VPN.
5. Si vous utilisez un VPN site à site avec une route statique, créez une route statique pour votre réseau sur site et sélectionnez Attachement de VPN comme cible.

Vérifier la table de routage Transit Gateway pour une passerelle Direct Connect ou une connexion VPN

Procédez comme suit :

1. Ouvrez la console Amazon VPC.
2. Dans le volet de navigation, sélectionnez Tables de routage de la passerelle de transit.
3. Sélectionnez la table de routage associée à la passerelle AWS Direct Connect ou à l’attachement de VPN.
4. Dans l'onglet Itinéraires, vérifiez s'il existe un itinéraire pour votre bloc CIDR de VPC. Puis, vérifiez si la cible de l’itinéraire est l’attachement de VPC de passerelle de transit approprié.

Vérifier l’existence de préfixes autorisés pour les passerelles Direct Connect

Procédez comme suit :

1. Ouvrez la console Direct Connect.
2. Dans le volet de navigation, sélectionnez Passerelles Direct Connect.
3. Sélectionnez la passerelle Direct Connect associée à la passerelle de transit.
4. Sous Association de passerelle, vérifiez que le champ Préfixes autorisés inclut votre bloc CIDR de VPC.

Vérifier la configuration du pare-feu réseau ou la configuration de l'appliance de pare-feu tierce

Vérifiez que vous avez mis en œuvre un modèle d'inspection centralisé pour inspecter le trafic Nord-Sud. Si vous avez mis en œuvre un modèle d'inspection centralisé, vérifiez que la configuration d’AWS Network Firewall dispose de règles Suricata qui autorisent tout le trafic nécessaire. Pour plus d'informations sur Suricata, consultez la page Suricata sur le site Web de Suricata. Pour plus d'informations sur les modèles d'inspection centralisés, consultez les sections Modèles de déploiement pour AWS Network Firewall et Inspection du trafic d’un VPC vers un site.

Si vous utilisez une appliance virtuelle tierce pour l'inspection, assurez-vous que les règles de pare-feu autorisent l’intégralité du trafic nécessaire.

Vérifier l’existence de règles de trafic de VPC sur les dispositifs de pare-feu sur site

Vérifiez que vos dispositifs de pare-feu sur site autorisent l’intégralité du trafic nécessaire entre les deux réseaux. Pour obtenir des instructions, consultez la documentation du fournisseur de votre pare-feu.

Vérifier les pare-feux du serveur sur site

Si le serveur sur site utilise un pare-feu du système d'exploitation (OS), vérifiez qu'il autorise le trafic en provenance et à destination du bloc CIDR du VPC.

Analyser les itinéraires avec Route Analyzer

Prérequis : Utilisez la console AWS Network Manager pour créer un réseau global.

Utilisez Route Analyzer pour AWS Network Manager pour effectuer une analyse d'itinéraire.

Informations connexes

Comment résoudre les problèmes de connectivité entre VPC via une passerelle de transit ?

Diagnostiquer les interruptions de trafic à l'aide d’AWS Transit Gateway Network Manager Route Analyzer