Amazon VPC エンドポイントを使用してゲートウェイを有効化しようとすると、ストレージゲートウェイの有効化に失敗する理由を知りたいです。

解決策

前提条件: ゲートウェイが Storage Gateway のハードウェアとストレージの要件を満たしていることを確認します。

オンプレミスでホストされているゲートウェイのトラブルシューティング

注: 次のステップは、Amazon S3 トラフィックに Amazon Simple Storage Service (Amazon S3) VPC エンドポイントを使用しているオンプレミスのファイルゲートウェイには適用されません。

オンプレミスでホストされているゲートウェイをトラブルシューティングするには、次のことを確認します。

• オンプレミスのローカルネットワークが AWS Direct Connect または VPN 経由で Amazon VPC と通信できることを確認します。仮想マシンまたはオンプレミスサーバーから、VPC 内の Amazon Elastic Compute Cloud (Amazon EC2) インスタンスのプライベート IP アドレスに ping を送信します。
• VPC エンドポイントにアタッチされているセキュリティグループを確認します。セキュリティグループが、ゲートウェイの IP アドレスからのインバウンドトラフィックを、TCP ポート 443、1026、1027、1028、1031、2222 で許可していることを確認します。
• オンプレミスの AWS ネットワークファイアウォールを確認します。ファイアウォールが、ゲートウェイのドメイン名または IP アドレスへのアウトバウンドトラフィックを、TCP ポート 443、1026、1027、1028、1031、2222 で許可していることを確認します。さらに、ファイアウォールがゲートウェイの IP アドレスへのインバウンドトラフィックを、TCP ポート 80 で許可していることを確認します。
• ゲートウェイが VPC エンドポイントに接続できることを確認するには、ゲートウェイのローカルコンソールからネットワーク接続テストを実行します。

Amazon S3 Gateway タイプの VPC エンドポイントを使用するオンプレミスのファイルゲートウェイのトラブルシューティング

オンプレミスのファイルゲートウェイが Amazon S3 トラフィックに Amazon S3 ゲートウェイタイプの VPC エンドポイントを使用する場合、HTTP プロキシを作成する必要があります。HTTP プロキシは Amazon EC2 インスタンスでホストできます。

注: この設定では、Amazon S3 用の VPC エンドポイントに加えて、ストレージゲートウェイ用の VPC エンドポイントも必要です。HTTP プロキシが Squid プロキシサーバーを使用する場合、デフォルトの TCP ポートは 3128 です。

Amazon S3 Gateway タイプの VPC エンドポイントを使用するオンプレミスファイルゲートウェイの有効化に失敗した場合、トラブルシューティングを行うには次のことを確認します。

• EC2 インスタンス (HTTP プロキシホスト) のプライベート IP アドレスがオンプレミスゲートウェイで設定されていることを確認します。また、アウトバウンド HTTP プロキシトラフィックが TCP ポート 3128 で許可されていることを確認します。
• EC2 インスタンス (HTTP プロキシホスト) にアタッチされているセキュリティグループを確認します。セキュリティグループが、ゲートウェイの IP アドレスからのインバウンドトラフィックを TCP ポート 3128 で許可していることを確認します。
• Storage Gateway VPC エンドポイントにアタッチされているセキュリティグループを確認します。セキュリティグループが、EC2 インスタンス (HTTP プロキシホスト) の IP アドレスからのインバウンドトラフィックを次の TCP ポートで許可していることを確認します: 443、1026、1027、1028、1031、2222
• オンプレミスのネットワークファイアウォールを確認します。ファイアウォールが、EC2 インスタンス (HTTP プロキシホスト) のプライベート IP アドレスへのアウトバウンドトラフィックを TCP ポート 3128 で許可していることを確認します。

Amazon EC2 でホストされているゲートウェイのトラブルシューティング

Amazon EC2 でホストされているゲートウェイをトラブルシューティングするには、次のことを確認します。

• VPC エンドポイントにアタッチされているセキュリティグループを確認します。セキュリティグループが、ゲートウェイの IP アドレスからのインバウンドトラフィックを、TCP ポート 443、1026、1027、1028、1031、2222 で許可していることを確認します。
• ゲートウェイにアタッチされているセキュリティグループを確認します。セキュリティグループが、インバウンドトラフィックを TCP ポート 80 で許可していることを確認します。
• ゲートウェイを有効化するために使用するワークステーションが、Direct Connect または VPN 経由でゲートウェイインスタンスの VPC と通信できることを確認します。
  注: ワークステーションが VPC と通信できない場合は、同じ VPC 内の別のインスタンスからゲートウェイを有効化します。

VPC フローログを使用して、VPC エンドポイントでのストレージゲートウェイ有効化についてトラブルシューティングする

ゲートウェイの有効化が失敗する原因を詳細に理解するには、VPC エンドポイントのネットワークインターフェイスで VPC フローログを有効にします。

VPC フローログを有効にしたら、VPC エンドポイントのフローレコードを確認します。たとえば、フローログを参照することで、ゲートウェイの有効化に必要なトラフィックを拒否するポートがあるかどうかを判断できます。