Como soluciono problemas de roteamento quando meu gateway de trânsito envia tráfego por meio de firewalls de inspeção?

Resolução

O tráfego não é roteado corretamente entre VPCs e sua rede on-premises por meio do seu gateway de trânsito se as políticas de firewall forem insuficientes ou incorretas. Além disso, se você configurou incorretamente o roteamento no gateway de trânsito, nos anexos de origem ou destino ou no anexo da VPC de inspeção, o tráfego não será roteado corretamente.

Leia as seções a seguir para identificar e resolver seu problema de roteamento.

Verifique a configuração da tabela de rotas do seu anexo de origem e destino

Para verificar se os anexos de origem e destino têm as associações corretas da tabela de rotas, realize as seguintes ações:

• Verifique se os anexos estão associados a tabelas de rotas diferentes do anexo da VPC de inspeção.
• Verifique se as tabelas de rotas do anexo de origem e destino contêm uma rota estática padrão para o anexo da VPC de inspeção.
• Verifique se os anexos de origem e destino não propagam rotas para a mesma tabela de rotas associada a esses anexos.

No anexo da VPC de inspeção, verifique se a tabela de rotas à qual ele está associado contém rotas estáticas ou propagadas para os blocos CIDR das VPCs de origem e destino.

Verifique as tabelas de rotas da VPC

Na VPC de inspeção, verifique se sua tabela de rotas direciona o tráfego de inspeção para o endpoint de firewall correto. Se você usa endpoints do Gateway Load Balancer, verifique se as rotas da sua sub-rede do endpoint do balanceador de carga direcionam os blocos CIDR da VPC de origem e destino de volta para o gateway de trânsito. Se suas rotas direcionarem o tráfego diretamente pelo firewall, verifique se as rotas da sua sub-rede de firewall direcionam os blocos CIDR da VPC de origem e destino de volta para o gateway de trânsito.

Nas VPCs de origem e destino, verifique se as tabelas de rotas contêm rotas que direcionam para o gateway de trânsito em blocos CIDR de VPC remotas.

Verifique a conectividade e o fluxo de tráfego para identificar onde o tráfego para ou cai

Realize as seguintes ações:

• Se você ativou o VPC Flow Logs, verifique os logs de fluxo para identificar onde suas VPCs descartam ou rejeitam o tráfego.
• Se você ativou o Transit Gateway Flow Logs, verifique os registros de log do fluxo do gateway de trânsito para monitorar o tráfego por meio de anexos.
• Monitore a métrica BytesDropCountBlackhole do Amazon CloudWatch para identificar rotas que direcionam para nenhum lugar.
• Monitore a métrica BytesDropCountNoRoute do CloudWatch para identificar pacotes com uma rota inválida.
• Teste a conectividade da origem ao destino. Use ping, telnet e traceroute para testar a conectividade do seu tráfego de origem ao de destino. Para obter mais informações, consulte Using the ping, traceroute, and telnet commands (Usando os comandos ping, traceroute e telnet) no site do ICDSOFT.
• Compare o caminho de tráfego esperado com o comportamento observado.

Corrija problemas de roteamento assimétrico

Seu firewall pode descartar o tráfego porque os pacotes seguem caminhos de retorno diferentes.

Para corrigir problemas de roteamento assimétrico, ative o modo de dispositivo para o anexo da VPC de inspeção de firewall com estado. Em seguida, teste os caminhos dos pacotes de solicitação e resposta.

Verifique as configurações de segurança

Realize as seguintes ações:

• Analise as regras de grupos de segurança em instâncias e firewalls do Amazon Elastic Compute Cloud (Amazon EC2) com base em seus endereços IP específicos de origem e destino.
• Verifique as configurações da lista de controle de acesso à rede (ACL da rede) nas suas sub-redes do anexo do gateway de trânsito, da origem, do destino e do endpoint da VPC.
• Verifique se as regras e políticas de firewall permitem o tráfego pretendido.
• Confirme se as configurações de porta e protocolo atendem aos requisitos da sua aplicação.

Verifique a integridade e a configuração do firewall

Realize as seguintes ações:

• Verifique a integridade do firewall e o status do endpoint.
• Verifique se há conexões perdidas ou rejeitadas nos logs do firewall.
• Verifique se suas regras de firewall estão na ordem correta. As regras no topo da lista substituem as regras que estão no fim da lista.
• Verifique se seu firewall excede os limites de capacidade e descarta pacotes.

Obtenha detalhes do Gateway Load Balancer

Observação: se você não vê os detalhes da configuração do Gateway Load Balancer em sua conta da AWS, então ela pode estar em uma conta diferente do seu endpoint da VPC.

Se o tráfego não passar pelo seu balanceador de carga, entre em contato com sua equipe de firewall para obter mais informações sobre a configuração e o status do balanceador de carga.

Teste e valide suas alterações

Para confirmar se suas alterações corrigiram o problema de roteamento e se o tráfego está fluindo corretamente, realize as seguintes ações:

• Realize testes de conectividade de ponta a ponta depois de alterar as configurações.
• Verifique o tráfego em seus logs de fluxo da VPC.
• Verifique se sua aplicação funciona conforme o esperado.
• Documente o que causou o problema e como você o corrigiu.
• Configure alarmes do CloudWatch para identificar possíveis problemas de roteamento de tráfego.

Informações relacionadas

O que é o AWS Transit Gateway para Amazon VPC?

What is AWS Network Firewall? (O que é o AWS Network Firewall?)

View transit gateway route tables using AWS Transit Gateway (Exibir tabelas de rotas do gateway de trânsito usando o AWS Transit Gateway)

Using CloudWatch alarms and Lambda to catch exceptional traffic (Usando alarmes do CloudWatch e do Lambda para detectar tráfego excepcional)

Centralized inspection architecture with AWS Gateway Load Balancer and AWS Transit Gateway (Arquitetura de inspeção centralizada com o AWS Gateway Load Balancer e o AWS Transit Gateway)