VPC ピアリングを経由した Amazon VPC 間の通信の問題をトラブルシューティングする方法を教えてください。

簡単な説明

VPC ピアリングのネットワーク接続障害は、次の理由で発生する場合があります。

• リソースに関連付けたルートテーブルに、正しくないルートテーブルエントリまたは欠落しているルートテーブルエントリがある。
• セキュリティグループとネットワークアクセスコントロールリスト (ネットワーク ACL) に、接続を妨げるファイアウォールルールがある。
• DNS が正しくない IP アドレスに解決されている。

VPC は、同一ネットワークにあるかのように通信できる必要があります。

VPC ピアリングでは、ゲートウェイまたはプライベート接続を介したエッジ間のルーティングはサポートしていません。ピアリングされた VPC 内のリソースは、他の VPC のインターネットゲートウェイ、NAT デバイス、VPN 接続、または AWS Direct Connect リンクを使用して外部ネットワークにアクセスすることはできません。

解決策

Reachability Analyzer を使用して VPC 接続の問題を特定する

セキュリティグループ、ネットワーク ACL、ルートテーブルの設定の問題を確認するには、Amazon VPC Reachability Analyzer を使用してください。Reachability Analyzer では、AWS Organizations に属する、複数の AWS アカウント間のパスを分析することもできます。詳細については、「How Reachability Analyzer works」を参照してください。

VPC ピアリング接続をテストする

次の手順を実行します。

1. AWS Network Manager コンソールを開きます。
2. ナビゲーションペインの [モニタリングとトラブルシューティング] で、[Reachability Analyzer] を選択します。
3. [パスの作成と分析] を選択します。
4. [ソースタイプ] で [VPC ピアリング接続] を選択します。同じ AWS リージョン内の Amazon Elastic Compute Cloud (Amazon EC2) インスタンス間でテストするには、[インスタンス] を選択します。
5. [ソース] で、ご利用のソース VPC エンドポイントを選択します。または、ソース VPC からインスタンスを選択します。
6. [送信先タイプ] に [VPC ピアリング接続] を選択します。[インスタンス] を選択します。
7. [送信先] で、送信先 VPC エンドポイントを選択します。または、送信先 VPC からインスタンスを選択します。
8. [プロトコル] で [TCP] または [UDP] を選択します。
9. [パスの作成と分析] を選択します。

注: VPC ピアリングはトランジティブピアリングをサポートしていません。

異なるリージョンにある Amazon EC2 インスタンス間の VPC ピアリング接続をテストする

Reachability Analyzer を使用して、ソースインスタンスのパス分析と送信先インスタンスの別のパス分析を実行します。

ソースインスタンスのパス分析を実行するには、次の手順を実行します。

1. ソースインスタンスがあるリージョンで Network Manager コンソールを開きます。
2. ナビゲーションペインの [モニタリングとトラブルシューティング] で、[Reachability Analyzer] を選択します。
3. [パスの作成と分析] を選択します。
4. [パス設定]、Path-1-Source などのパス名を入力します。
5. [ソースタイプ] で [インスタンス] を選択します。
6. [ソース] では、ご利用のソース VPC からインスタンスを選択します。
7. [送信先タイプ] で、[VPC ピアリング接続] を選択します。
8. [送信先] で、ご利用のピアリング接続を選択します。
9. [プロトコル] で [TCP] または [UDP] を選択します。
10. [パスの作成と分析] を選択します。
11. 接続の問題がないか、結果を確認してください。

ターゲットインスタンスの 2 番目のパス分析を実行するには、ターゲットインスタンスがあるリージョンで Network Manager コンソールを開きます。[ソースタイプ] に [VPC ピアリング接続] を選択し、[送信先タイプ] に [インスタンス] を選択します。

VPC ピアリング接続問題のトラブルシューティング

VPC ピアリング接続の問題に応じて、次の 1 つまたは複数の操作を実行します。

• VPC ピアリング接続が Active 状態であることを確認します。
• VPC ピアリング接続のルートテーブルを更新します。適切なピアリング ID を使用して、ピアリング VPC の IP アドレス範囲に接続するための正しいルートが存在することを確認します。
• 必要なトラフィックのネットワーク ACL テーブルに ALLOW ルールが存在することを確認します。
• セキュリティグループのルールがピアリングされた VPC 間のネットワークトラフィックを許可していることを確認します。
• VPC フローログを使用して、トラフィックが送信元または送信先のどちらで拒否されているかを確認します。REJECT は、セキュリティグループまたはネットワーク ACL に必要なアクセス許可ルールが不足している場合に発生する可能性があります。

関連情報

Amazon VPC ピアリング接続経由でドメイン名を解決できない理由を知りたいです