Site-to-Site VPN 経由のトラフィックルーティングにおける問題をトラブルシューティングする方法を教えてください。

所要時間1分

AWS Site-to-Site VPN 経由のトラフィックルーティングに関する問題をトラブルシューティングしたいです。

解決策

次の理由により、Site-to-Site VPN でのトラフィックルーティングで問題が発生する可能性があります。

ルートテーブルが正しく構成されていない
ダイナミックルーティングエラー
スタティックルーティングエラー
AWS とオンプレミスデバイス間の設定が誤っている
VPN 接続が断続的または不安定である
トラフィックがルーティングされていないか、宛先に到達できない

カスタマーゲートウェイデバイスに対応する設定ファイルの例をダウンロードし、そのファイルを使用してルーティングに関する問題のトラブルシューティングを行います。

カスタマーゲートウェイデバイスのファイアウォールポリシーが、AWS とオンプレミスデバイス間のトラフィックを許可していることを確認してください。

ルートテーブルが正しく構成されていない

トランジットゲートウェイまたは仮想プライベートクラウド (VPC) のルートテーブルで、オンプレミスのプレフィックスが VPN 接続のゲートウェイタイプと一致していることを確認します。

接続でトランジットゲートウェイを使用している場合は、トランジットゲートウェイルートテーブルがトラフィックソースと VPN アタッチメントに関連付けられていることを確認します。また、トランジットゲートウェイには、VPN 接続と VPC アタッチメントを指すオンプレミスプレフィックスのルートが含まれている必要があります。

ダイナミックルーティングエラー

接続がダイナミックルーティングを使用している場合は、次の設定を確認してください。

カスタマーゲートウェイは、Site-to-Site VPN トンネル上のボーダーゲートウェイプロトコル (BGP) セッションからオンプレミスのプレフィックスをアドバタイズしている。
カスタマーゲートウェイデバイスのルートマップで、BGP セッション経由でアドバタイズされるオンプレミスのプレフィックスを使用できる。
AWS Direct Connect ルートが、Site-to-Site VPN ルートよりも優先されている。

上記の構成を正しく設定しても、BGP の障害が解消されない場合は、VPN 経由の BGP 接続に関する問題のトラブルシューティングを行います。

スタティックルーティングエラー

接続に仮想プライベートゲートウェイを使用している場合は、VPN 接続にオンプレミスネットワーク用の静的ルートが含まれていることを確認します。

カスタマーゲートウェイに、正しい仮想トンネルインターフェイスを指す VPC CIDR の静的ルートがあることを確認します。

アクセラレーテッド VPN 接続を使用している場合は、カスタマーゲートウェイデバイスで NAT-Traversal (NAT-T) が有効であることを確認します。

宛先インスタンスで Amazon Virtual Private Cloud (Amazon VPC) フローログを有効にしてから、トラフィックを受信していることを確認します。

AWS とオンプレミスデバイス間の設定が誤っている

AWS とオンプレミスデバイスとの間のルートが正しく設定されていることを確認します。

カスタマーゲートウェイ側にポリシーベースの VPN がある場合は、次の設定を確認してください。

AWS とオンプレミスデバイスのローカル IPv4 ネットワークの CIDR と、リモート IPv4 ネットワークの CIDR で、トンネルオプションが一致している。
暗号化ドメインに必要なトラフィックが含まれている。

TunnelDataIn および TunnelDataOut トンネルメトリクスを、Amazon CloudWatch を使用して監視します。

断続的または不安定な VPN 接続のトラブルシューティング

AWS は、インバウンド SA およびアウトバウンド SA において、セキュリティアソシエーション (SA) の数を 1 組に制限しています。VPN 接続に複数のネットワークが必要な場合は、VPN 接続のローカル CIDR とリモート CIDR をまとめ、単一の SA を使用します。

両方のトンネルのステータスが Active の場合は、カスタマーゲートウェイデバイスが非対称ルーティングをサポートしていることを確認します。

トラフィックがルーティングされていないか、宛先に到達できない

VPC のセキュリティグループとサブネットのネットワークアクセスコントロールリスト (ネットワーク ACL) で、必要なトラフィックを許可していることを確認します。

接続に Amazon VPC トランジットゲートウェイを使用する場合は、Transit Gateway アタッチメントのサブネットネットワーク ACL で、必要なトラフィックが許可されていることを確認します。Amazon VPC Transit Gateway のフローログを参考に、トラフィックが正しくルーティングされていることを確認します。