Site-to-Site VPN と Direct Connect 間の BGP 接続が失敗した場合にトラブルシューティングを行うにはどうすればよいですか?

所要時間1分

ボーダーゲートウェイプロトコル (BGP) セッションで AWS Site-to-Site VPN と AWS Direct Connect 間の接続を確立できません。

解決策

Site-to-Site VPN と Direct Connect 間の BGP 接続が失敗した場合のトラブルシューティングを行うには、次のアクションを実行します。

Direct Connect と Site-to-Site VPN 間の接続を確認する

次の手順を実行します。

Direct Connect 接続が使用可能で稼働しているかどうかを確認します。
仮想インターフェイスが稼働しているかどうかを確認します。
接続にパブリックまたはトランジット仮想インターフェイスを使用する場合は、BGP ピア IP アドレスが指定された CIDR 範囲内にあることを確認します。
すべての VPN トンネルが稼働していて、BGP ルートを共有していることを確認します。
すべてのトンネルが稼働しているのに BGP が **DOWN **ステータスになっている場合は、Site-to-Site VPN 接続のトラブルシューティングを行います。

ルートの数を確認する

重要: BGP セッションでサポートされる最大ルート数は 100 です。ルート数がクォータを超えると、BGP のステータスは [確立済み] から [アイドル] に変わります。詳細については、「Troubleshooting AWS Site-to-Site VPN customer gateway device」を参照してください。

BGP セッションでアドバタイズされるルートの数が 100 未満であることをカスタマーゲートウェイで確認します。ルートの数がクォータを超えている場合は、次のアクションのいずれかを実行してください。

AWS にデフォルトルートをアドバタイズする。
受信したルートの数が 100 未満になるようにルートを集約する。
VPN 接続をトランジットゲートウェイに移行する。
注: トランジットゲートウェイは最大 1,000 個のルートをサポートします。

BGP の設定とステータスを確認する

次のアクションを実行します。

BGP のステータスが DOWN の場合、仮想インターフェイスのステータスが UP になっていることを確認します。
仮想インターフェイスが DOWN の場合、オープンシステム統合レイヤー 2 と BGP が正しく設定されていることを確認します。
BGP がフラッピングしていたり、BGP のステータスが UP から DOWN に変わってアイドル状態になる場合は、Direct Connect 接続のトラブルシューティングを行います。
注: レイヤー 1 と 2 が接続を確立していることを確認してください。レイヤーが接続を確立したのに BGP がフラッピングする場合は、BGP セッションのトラブルシューティングを行います。
接続がホストされている場合は、BGP 接続を妨げる問題が発生していないかどうかをホストプロバイダーに確認してください。
BGP のステータスが UP の場合は、ルートが伝播されていることを確認します。

ルートが伝播されていることを確認する

トランジットゲートウェイと仮想プライベートクラウド (VPC) のルートテーブルで、ルートがカスタマーゲートウェイから AWS の仮想インターフェイスに伝播されていることを確認します。ルートが正しく伝播されていない場合は、ルートテーブルを再設定します。

カスタマーゲートウェイデバイスの設定を確認する

次の手順を実行します。

カスタマーゲートウェイデバイスのルートテーブルで、ルートが BGP を介して伝播されていることを確認します。
カスタマーゲートウェイデバイスのファイアウォールがインバウンドトラフィックとアウトバウンドトラフィックを許可していることを確認します。
BGP コミュニティタグが正しく設定されていることを確認します。
Direct Connect 接続にパートナーまたはラストマイルサービスプロバイダーが関与している場合は、障害が発生した接続がメンテナンスイベントと同時に起きたのではないことをパートナーまたはラストマイルサービスプロバイダーに確認してください。

VPC フローログを使用してトラフィックを監視する

Amazon Virtual Private Cloud (Amazon VPC) フローログとトランジットゲートウェイフローログを使用して、Direct Connect 経由のトラフィックを監視します。エラーと同じタイムスタンプがないかログを検査することで、トラフィックが拒否またはドロップされた場所を特定します。