インターフェイス Amazon VPC エンドポイントとエンドポイントサービス間の接続の問題をトラブルシューティングするにはどうすればよいですか?

簡単な説明

インターフェイス Amazon VPC エンドポイントとエンドポイントサービス間の接続の問題をトラブルシューティングするには、以下の設定を確認してください:

• エンドポイントの接続状態
• アベイラビリティーゾーンのマッピング
• アベイラビリティーゾーンの独立性
• Network Load Balancer の応答
• Network Load Balancer のリスナーポート
• ゾーン DNS 名
• セキュリティグループとネットワークアクセスコントロールリスト (ネットワーク ACL) ルール

解決策

エンドポイントの接続状態を確認する

エンドポイント接続が [使用可能] の状態である必要があります。エンドポイント接続が [保留中] または [拒否] の状態の場合、インターフェイスエンドポイントから Network Load Balancer に送信された接続はすべてタイムアウトになります。

この問題を解決するには、次のいずれかの操作を行います:

• サービスコンシューマーに、サービスに対するエンドポイントを作成する権限を付与します。詳細については、「権限の管理」を参照してください。
• 接続リクエストを受け入れたことを確認します。接続リクエストを受け入れない場合、サービスコンシューマーはエンドポイントサービスにアクセスできません。
• エンドポイントサービスプロバイダーがエンドポイント接続リクエストを受け入れて、接続を有効にすることをリクエストします。デフォルトでは、エンドポイントサービスプロバイダーは接続リクエストを手動で受け入れる必要があります。また、エンドポイントサービスプロバイダーは、接続リクエストを自動的に受け入れるように承認設定を構成できます。

アベイラビリティーゾーンのマッピングを確認する

アベイラビリティーゾーンのマッピングに関する問題を解決または回避するには、リソースを作成する際に必ず AZ ID を使用します。詳細については、「Amazon VPC エンドポイントをマッピングしようとしたときに「エンドポイントはアベイラビリティーゾーンをサポートしていません」というエラーを解決する方法を教えてください。」を参照してください。

アベイラビリティーゾーンの独立性を確認する

サービスプロバイダーの Network Load Balancer に異常なゾーンターゲットがある場合は、クロスゾーン負荷分散を有効にします。これにより、コンシューマーのエンドポイントゾーンに関係なく、ロードバランサーの背後にある正常なゾーンにリクエストを送信できます。

Network Load Balancer の応答を確認する

Network Load Balancer と同じ Amazon VPC のインスタンスからの接続リクエストをシミュレートできます。想定どおりの応答が得られない場合は、Network Load Balancer のトラブルシューティングを行います。

Network Load Balancer のリスナーポートを確認する

インターフェイス Amazon VPC エンドポイントが Network Load Balancer の正しいリスナーポートにトラフィックを送信していることを確認します。例えば、リスナーポートがポート 80 に設定されていて、トラフィックがポート 443 で送信されている場合、接続拒否のエラーが表示されます。

ゾーン DNS 名を確認する

インターフェイス Amazon VPC エンドポイントにゾーン DNS 名を使用する場合は、サービスプロバイダー側でゾーンの応答性を確認します。AWS リージョンの DNS 名を使用して、リクエストが正常なゾーンに送信されることを確認するのがベストプラクティスです。

サービスコンシューマーインターフェイスエンドポイントの接続の問題をトラブルシューティングする

セキュリティグループとネットワーク ACL ルールで、エンドポイントサービスとの間のトラフィックが許可されていることを確認します。詳細については、「Amazon VPC インターフェイスエンドポイントの接続問題をトラブルシューティングするにはどうすればよいですか？」を参照してください。