Transit Gateway 経由でのオンプレミスリソースと Amazon VPC との間の接続をトラブルシューティングする方法を教えてください。

解決策

Transit Gateway を介したオンプレミスリソースと VPC 間の接続をトラブルシューティングするには、次のアクションを実行します。

インスタンスのセキュリティグループとネットワーク ACL ルールを確認する

次の手順を実行します。

1. Amazon EC2 コンソールを開く。
2. ナビゲーションペインで [Instances] (インスタンス) を選択する。
3. Amazon EC2 インスタンスを選択する。
4. [Security] (セキュリティ) タブを選択する。
5. インバウンドルールとアウトバウンドルールがオンプレミスネットワークとの通信を許可しているか確認する。
6. Amazon VPC コンソールを開く。
7. ナビゲーションペインで [Network ACLs] (ネットワーク ACL) を選択する。
8. インスタンスサブネットのネットワークアクセスコントロールリスト (ネットワーク ACL) を選択する。
9. インバウンドルールとアウトバウンドルールがオンプレミスネットワークとの通信を許可しているか確認する。

Transit Gateway アタッチメントを確認する

次の手順を実行します。

1. ナビゲーションペインで [Transit Gateway Attachments] (Transit Gateway アタッチメント) を選択する。
2. VPC アタッチメントを選択する。
3. [Details] (詳細) で、VPC アタッチメントにインスタンスのアベイラビリティーゾーンのサブネット ID が含まれているかを確認する。
4. VPC アタッチメントにインスタンスのアベイラビリティーゾーンのサブネットが含まれていない場合は、VPC アタッチメントを変更して、同じアベイラビリティーゾーンのサブネットを含める。
   **注: ** VPC アタッチメントにサブネットを追加または削除する場合、変更状態がデータトラフィックに影響を与える可能性があります。

Transit Gateway インターフェイスのネットワーク ACL を確認する

次の手順を実行します。

1. Amazon EC2 コンソールを開く。
2. ナビゲーションペインで [Network Interfaces] (ネットワークインターフェイス) を選択する。
3. 検索バーに Transit Gateway と入力する。
4. Transit Gateway がインターフェイスを作成したサブネット ID を書き留める。
5. Amazon VPC コンソールを開く。
6. ナビゲーションペインで [Network ACLs] (ネットワーク ACL) を選択する。
7. 先ほど書き留めたサブネット ID を検索バーに入力する。結果にサブネットのネットワーク ACL が表示される。
8. インバウンドルールとアウトバウンドルールが VPC CIDR ブロックとオンプレミスネットワーク CIDR ブロックを許可しているかを確認する。
9. VPC に関連付けられている各 Transit Gateway ネットワークインターフェイスについて、手順 6～8 を繰り返す。

**注: ** VPN または Direct Connect 接続からのトラフィックは、インスタンスのアベイラビリティーゾーンとは異なるアベイラビリティーゾーンまたはサブネット経由で VPC に入る可能性があります。ネットワークインターフェイスを含むすべてのサブネットのネットワーク ACL を確認してください。ネットワーク ACL ルール適用の詳細については、"Network ACLs for transit gateways in AWS Transit Gateway" (AWS Transit Gateway の Transit Gateway 用ネットワーク ACL) を参照してください。

サブネットルートテーブルの設定を確認する

次の手順を実行します。

1. Amazon VPC コンソールを開く。
2. ナビゲーションペインで [Route Tables] (ルートテーブル) を選択する。
3. ソースインスタンスのルートテーブルを選択する。
4. [Routes] (ルート) タブを選択する。
5. [Destination] (宛先) にオンプレミスネットワークが表示されているか確認する。
6. [Target] (ターゲット) に Transit Gateway ID が表示されているかを確認する。

Transit Gateway を指す宛先 CIDR ブロックのルートエントリを確認します。ルートエントリがない場合は、Transit Gateway を指すエントリをルートテーブルに追加してください。

VPC アタッチメントの Transit Gateway ルートテーブルを確認する

次の手順を実行します。

1. Amazon VPC コンソールを開く。
2. ナビゲーションペインで [Transit Gateway Route Tables] (Transit Gateway ルートテーブル) を選択する。
3. VPC アタッチメントに関連付けられているルートテーブルを選択する。
4. [Routes] (ルート) タブで、オンプレミスネットワークのルートが存在するかを確認する。また、[Target] (ターゲット) に DXGW/VPN アタッチメントが表示されているかを確認する。
5. 静的ルートを含める Site-to-Site VPN を使用する場合は、オンプレミスネットワークの静的ルートを作成し、VPN アタッチメントをターゲットとして選択する。

Direct Connect ゲートウェイまたは VPN アタッチメントの Transit Gateway ルートテーブルを確認する

次の手順を実行します。

1. Amazon VPC コンソールを開く。
2. ナビゲーションペインで [Transit Gateway Route Tables] (Transit Gateway ルートテーブル) を選択する。
3. AWS Direct Connect ゲートウェイまたは VPN アタッチメントに関連付けられているルートテーブルを選択する。
4. [Routes] (ルート) タブで、VPC CIDR ブロックのルートが存在するかを確認する。次に、ルートのターゲットが正しい Transit Gateway VPC アタッチメントであるかどうかを確認する。

Direct Connect ゲートウェイの許可プレフィックスを確認する

次の手順を実行します。

1. Direct Connect コンソールを開く。
2. ナビゲーションペインで [Direct Connect gateways] (Direct Connect ゲートウェイ) を選択する。
3. Transit Gateway に関連付けられている Direct Connect ゲートウェイを選択する。
4. [Gateway association] (ゲートウェイの関連付け) で、[Allowed prefixes] (許可されたプレフィックス) フィールドに VPC CIDR ブロックが含まれていることを確認する。

Network Firewall 設定またはサードパーティーのファイアウォールアプライアンス設定を確認する

南北トラフィックを検査するための一元化されたインスペクションモデルを実装していることを確認します。一元化されたインスペクションモデルを実装している場合は、AWS Network Firewall 設定に必要なトラフィックをすべて許可する Suricata ルールが含まれていることを確認してください。Suricata の詳細については、Suricata ウェブサイトの『Suricata』を参照してください。一元化されたインスペクションモデルの詳細については、"Deployment models for AWS Network Firewall" (AWS Network Firewall のデプロイモデル) および "VPC-to-on-premises traffic inspection" (VPC からオンプレミスへのトラフィックインスペクション) を参照してください。

検査にサードパーティーの仮想アプライアンスを使用する場合は、ファイアウォールルールがすべての必要なトラフィックを許可していることを確認してください。

オンプレミスのファイアウォールデバイスで VPC トラフィックルールを確認する

オンプレミスのファイアウォールデバイスが両方のネットワーク間のすべての必要なトラフィックを許可していることを確認します。手順については、ご利用のファイアウォールベンダーのドキュメントを参照してください。

オンプレミスサーバーのファイアウォールを確認する

オンプレミスサーバーがオペレーティングシステム (OS) ファイアウォールを使用している場合は、VPC CIDR ブロックとの通信を許可していることを確認する。

Route Analyzer を使用したルートの分析

**前提条件: ** AWS Network Manager コンソールを使用してグローバルネットワークを作成します。

Route Analyzer for AWS Network Manager を使用してルート分析を実行してください。

関連情報

Transit Gateway 経由での VPC 間接続のトラブルシューティング方法を教えてください。

Diagnosing traffic disruption using AWS Transit Gateway Network Manager Route Analyzer (AWS Transit Gateway Network Manager Route Analyzer を使用してトラフィック障害を診断する)