トランジットゲートウェイで終了する AWS Site-to-Site VPN の使用時に、VPC に接続できない理由を知りたいです。

所要時間2分

トランジットゲートウェイで終了する AWS Site-to-Site VPN を使用して Amazon Virtual Private Cloud (Amazon VPC) のリソースに接続したいと考えています。

解決策

トランジットゲートウェイで終了する Site-to-Site VPN が Amazon VPC リソースに接続するのを妨げているエラーをトラブルシューティングするには、次の手順を実行します。

Site-to-Site VPN 接続のトラブルシューティング

Site-to-Site VPN 接続のトンネルの状態が UP であることを確認します。接続が DOWN 状態の場合は、Internet Key Exchange (IKE)/フェーズ 1 および IKE/フェーズ 2 障害をトラブルシューティングします。詳細については、「カスタマーゲートウェイデバイスの AWS VPN トンネルがアイドル状態になったり、ダウンしたりする際のトラブルシューティング方法を教えてください」を参照してください。

トランジットゲートウェイ接続のトラブルシューティング

Amazon VPC コンソールを使用して伝播を有効にしてから、静的ルートを定義します。関連するサブネットが、宛先リソースを含むアベイラビリティーゾーン (AZ) をカバーしていることを確認します。

伝播を有効にする

トランジットゲートウェイのルートテーブルで、Site-to-Site VPN アタッチメントとソース Amazon VPC アタッチメントからの伝播を有効にします。経路を伝播するには、次の手順を実行します。

ナビゲーションペインで、[トランジットゲートウェイルートテーブル] を選択します。
ソース Amazon VPC アタッチメントに関連付けられているルートテーブルを選択します。
[アクション]、[伝播の作成] を選択します。
[伝播の作成] ページで、Site-to-Site VPN アタッチメントを選択します。
[伝播を作成] を選択します。
注: 伝播が作成されると、トランジットゲートウェイは、ソースアタッチメントに関連付けられているルートテーブルにオンプレミスルートを自動的に追加します。
ナビゲーションペインで、[トランジットゲートウェイルートテーブル] を選択します。
サイト間 VPN アタッチメントに関連付けられているルートテーブルを選択し、ソース Amazon VPC アタッチメントに対してステップ 3 ～ 5 を繰り返します。
サブネットが、トランジットゲートウェイ VPC アタッチメントに関連付けられていることを確認します。

静的ルートを定義する

Amazon VPC ルートテーブルで、トランジットゲートウェイを指すオンプレミス CIDR の静的ルートを定義します。VPC ルートテーブルのルートを更新するには、次の手順を実行します。

ナビゲーションペインで [ルートテーブル] を選択し、ルートテーブルを選択します。
[アクション]、[ルートの編集] を選択します。
ルートを追加するには、[ルートを追加] を選択します。[宛先]に、宛先のオンプレミス CIDR ブロック、単一 IP アドレス、またはプレフィックスリストの ID を入力します。
ルートを変更するには、[宛先] で、宛先のオンプレミス CIDR ブロックまたは単一の IP アドレスを置き換えます。[ターゲット] で、ターゲットゲートウェイを選択します。
ルートを削除するには、[削除] を選択します。
[変更を保存] を選択します。

関連するサブネットを確認する

Amazon VPC コンソールを使用して、関連するサブネットが宛先リソースを含む VPC 内の AZ をカバーしていることを確認します。サブネットが必要な AZ をカバーしていない場合は、次の手順を実行してください。

ナビゲーションペインで、[Transit Gateway アタッチメント] を選択します。
VPC アタッチメントを選択し、[アクション] を選択します。
[Transit Gateway アタッチメントを変更] を選択します。
アタッチメントからサブネットを追加または削除するには、追加または削除する必要があるサブネットの横にある [サブネット ID] を選択またはクリアします。

VPC のセキュリティグループとサブネットのネットワークアクセスコントロールリスト (ACL) で、必要なトラフィックを許可していることを確認します。次に、Transit Gateway アタッチメントのサブネットのネットワーク ACL が必要なトラフィックを許可していることを確認します。

注: VPC が同じサブネットを使用するか別のサブネットを使用するかに応じて、Amazon Elastic Compute Cloud (Amazon EC2) インスタンスにロールを適用します。

ルーティング接続エラーのトラブルシューティング

重要: 静的ルーティングではなく、ボーダーゲートウェイプロトコル (BGP) とも呼ばれる動的ルーティングを使用するのがベストプラクティスです。カスタマーゲートウェイデバイスが動的ルーティングをサポートしている場合は、Site-to-Site VPN 接続で BGP が設定されていることを確認します。

接続が使用するルーティングのタイプに基づいて、次のことを実行します。

動的ルーティング

Amazon VPC Transit Gateway のフローログを参考に、トラフィックが正しくルーティングされているかどうかを確認します。正しくルーティングされていない場合は、次の設定を確認します。

カスタマーゲートウェイデバイスは、active/active セットアップで設定されている。
カスタマーゲートウェイデバイスでアドバタイズされ、サイト間 VPN で設定されたプレフィックスと BGP 属性が一致している。
カスタマーゲートウェイデバイスで非対称ルーティングが有効になっている。
カスタマーゲートウェイデバイスは、オンプレミスのルートを Site-to-Site VPN エンドポイントにアドバタイズする。
カスタマーゲートウェイデバイスは、Amazon VPC CIDR に関連付けられているサイト間 VPN エンドポイントからルートを受信する。
カスタマーゲートウェイデバイスのルートテーブルに、AWS ピアの仮想トンネルインターフェイスを指す Amazon VPC CIDR に関連付けられたルートが含まれている。
トランジットゲートウェイで、等コストマルチパスルーティング (ECMP) サポートが有効になっている。

静的ルーティング

カスタマーゲートウェイデバイスに、仮想トンネルインターフェイスを指す AWS ネットワークへの静的ルートがあることを確認します。ポリシーベースのサイト間 VPN を使用している場合は、AWS のポリシーとオンプレミスネットワークのポリシーが一致していることを確認します。

ホスト上の接続エラーのトラブルシューティング

Amazon VPC をホストする Amazon Elastic Compute Cloud (Amazon EC2) インスタンスで、次の手順を実行します。

ターゲットの Amazon EC2 インスタンスにおいて、OS レベルのファイアウォールが、インバウンドトラフィックとアウトバウンドトラフィックの両方を許可していることを確認します。
ターゲットサーバーで実行されているアプリケーションが、指定されたポートとプロトコルでリッスンしていることを確認します。
Windows PowerShell またはコマンドプロンプト
```
netstat -a
```
Linux ターミナル
```
netstat -plantu
```

トランジットゲートウェイで終了する AWS Site-to-Site VPN の使用時に、VPC に接続できない理由を知りたいです。

解決策

Site-to-Site VPN 接続のトラブルシューティング

トランジットゲートウェイ接続のトラブルシューティング

ルーティング接続エラーのトラブルシューティング

ホスト上の接続エラーのトラブルシューティング

関連情報

関連するコンテンツ