Come posso risolvere i problemi di connettività quando utilizzo un gateway NAT sul mio Amazon VPC privato?

Breve descrizione

Le risorse che si trovano in sottoreti private potrebbero riscontrare problemi di timeout di connettività, interruzioni improvvise della connessione o rallentamento della connettività per i seguenti motivi:

• Restrizioni delle regole della lista di controllo degli accessi alla rete (ACL) sugli intervalli di porte effimere
• Errore ErrorPortAllocation sul gateway NAT
• Esaurimento delle porte sull'istanza client
• Errore IdleTimeOutCount a causa di connessioni inattive
• Limitazioni della larghezza di banda del gateway NAT

Risoluzione

Restrizioni delle regole dell'ACL sugli intervalli di porte effimere

Assicurati che l'ACL associata alla sottorete pubblica del gateway NAT consenta il traffico proveniente dall'intervallo di porte effimere (1024-65535).

Se l'ACL consente solo un sottoinsieme dell'intervallo e un client utilizza una porta al di fuori dell'intervallo, il traffico diminuisce. Per ulteriori informazioni, consultaEsempio: VPC con server in sottoreti private e NAT.

Errore ErrorPortAllocation sul gateway NAT

Ogni gateway NAT supporta fino a 55.000 connessioni simultanee a ogni destinazione. Se le connessioni superano questa soglia, le nuove connessioni alla destinazione non riescono e la metrica ErrorPortAllocation per il gateway NAT in Amazon CloudWatch aumenta.

Per risolvere l’errore, intraprendi le seguenti azioni:

• Associa un indirizzo IPv4 primario e fino a sette indirizzi IPv4 secondari ai gateway NAT.
• Aggiungi indirizzi IPv4 secondari per aumentare il numero di porte disponibili ed espandere il numero di connessioni simultanee.

Nota: gli indirizzi IPv4 secondari aumentano il numero di porte disponibili, per cui aumenta anche il numero di connessioni simultanee a un gateway NAT utilizzabili dai carichi di lavoro.

Per ulteriori informazioni, consulta Come posso risolvere l'errore “ErrorPortAllocation” sul mio gateway NAT in Amazon VPC?

Esaurimento delle porte sull'istanza client

Le istanze client che si trovano nella sottorete privata potrebbero aver raggiunto le quote di connessione del sistema operativo.

Per verificare il numero di connessioni attive, esegui questi comandi:

Linux:

netstat -ano | grep ESTABLISHED | wc --l

netstat -ano | grep TIME_WAIT | wc --l

Windows:

netstat -ano | find /i "estab" /c

netstat -ano | find /i "TIME_WAIT" /c

Se l'output è vicino all'intervallo di porte locali consentito, il problema potrebbe dipendere dall'esaurimento delle porte.

Per ridurre l'esaurimento delle porte, intraprendi le seguenti azioni:

• Risolvi eventuali problemi a livello di applicazione che esauriscono le connessioni disponibili.
• Esegui questo comando per ampliare l'intervallo di porte effimere del sistema operativo:

  net.ipv4.ip_local_port_range = 1025 61000

Nota: un intervallo di porte più ampio potrebbe non risolvere i problemi di allocazione delle porte a causa delle chiusure silenziose delle connessioni.

Errore IdleTimeOutCount a causa di connessioni inattive

Un gateway NAT chiude le connessioni inattive per 350 secondi o più causando un picco nella metrica IdleTimeoutCount. Il gateway NAT invia quindi un pacchetto TCP Reset (RST), non un TCP Finish (FIN), ai client che tentano di ripristinare la connessione scaduta.

Per risolvere l'errore IdleTimeOutCount, intraprendi le seguenti azioni:

• Esamina la metrica IdleTimeOutCount in Amazon CloudWatch per identificare le connessioni inattive.
• Utilizza CloudWatch Contributor Insights per capire cosa determina lo stato di inattività dei client.
• Chiudi le connessioni inattive dei client per liberare capacità.
• Avvia traffico più frequente su una connessione di lunga durata.
• Attiva TCP keepalive sull'istanza client con un valore inferiore a 350 secondi.

Limitazioni della larghezza di banda del gateway NAT

Un gateway NAT parte da 5 Gbps di larghezza di banda e aumenta verticalmente in maniera automatica fino a 100 Gbps. Se il throughput di rete combinato in tutte le istanze che utilizzano il gateway NAT raggiunge i 100 Gbps, il traffico rallenta. Per ulteriori informazioni, consulta Parametri e dimensioni del gateway NAT.

Per risolvere una limitazione della larghezza di banda del gateway NAT, distribuisci il traffico su più gateway NAT in sottoreti separate.

Per ulteriori informazioni, consulta How can I use CloudWatch metrics to identify NAT gateway bandwidth issues? (Come posso utilizzare le metriche di Amazon CloudWatch per identificare i problemi di larghezza di banda di un gateway NAT?)

Informazioni correlate

In che modo posso risolvere problemi di connessione intermittente quando uso un'istanza NAT?

Risoluzione dei problemi relativi ai gateway NAT