如何对通过 VPC 对等连接的 Amazon VPC 之间的通信问题进行故障排除？

简短描述

VPC 对等网络连接失败可能是由于以下原因造成的：

• 与资源关联的路由表中存在错误或缺失的路由表条目。
• 安全组和网络访问控制列表（网络 ACL）的防火墙规则阻止了连接。
• DNS 解析为不正确的 IP 地址。

VPC 必须像在同一个网络中一样进行通信。

VPC 对等连接不支持通过网关或私有连接进行边缘到边缘路由。对等 VPC 中的资源无法使用其他 VPC 的互联网网关、NAT 设备、VPN 连接或 AWS Direct Connect 链接访问外部网络。

解决方法

使用 Reachability Analyzer 识别 VPC 连接问题

要检查安全组、网络 ACL 和路由表是否存在配置问题，请使用 Amazon VPC Reachability Analyzer。您还可以使用 Reachability Analyzer 分析 AWS Organizations 中多个 AWS 账户的路径。有关详细信息，请参阅 Reachability Analyzer 的工作原理。

测试 VPC 对等连接

完成以下步骤：

1. 打开 AWS Network Manager 控制台。
2. 在导航窗格的 Monitoring and troubleshooting（监控和故障排除）下，选择 Reachability Analyzer。
3. 选择 Create and analyze path（创建和分析路径）。
4. 对于 Source type（源类型），选择 VPC Peering Connections（VPC 对等连接）。要在同一 AWS 区域的 Amazon Elastic Compute Cloud (Amazon EC2) 实例之间进行测试，请选择 Instances（实例）。
5. 对于 Source（源），选择您的源 VPC 端点。或者，从您的源 VPC 中选择实例。
6. 对于 Destination type（目标类型），选择 VPC Peering Connections（VPC 对等连接）。或者，选择 Instances（实例）。
7. 对于 Destination（目标），选择您的目标 VPC 端点。或者，从您的目标 VPC 中选择实例。
8. 对于 Protocol（协议），选择 TCP 或 UDP。
9. 选择 Create and analyze path（创建和分析路径）。

注意：VPC 对等连接不支持传递性对等连接。

测试不同区域中 Amazon EC2 实例之间的 VPC 对等连接

使用 Reachability Analyzer 分别为源实例和目标实例运行路径分析。

要为源实例运行路径分析，请完成以下步骤：

1. 在您的源实例所在区域打开 Network Manager 控制台。
2. 在导航窗格的 Monitoring and troubleshooting（监控和故障排除）下，选择 Reachability Analyzer。
3. 选择 Create and analyze path（创建和分析路径）。
4. 在 Path configuration（路径配置）下，输入路径名称，例如 Path-1-Source。
5. 对于 Source type（源类型），选择 Instances（实例）。
6. 对于 Source（源），从您的源 VPC 中选择实例。
7. 对于 Destination type（目标类型），选择 VPC peering connection（VPC 对等连接）。
8. 对于 Destination（目标），选择您的对等连接。
9. 对于 Protocol（协议），选择 TCP 或 UDP。
10. 选择 Create and analyze path（创建和分析路径）。
11. 查看结果以排查连接问题。

要为目标实例运行第二次路径分析，请在您的目标实例所在区域打开 Network Manager 控制台。为 Source type（源类型）选择 VPC peering connections（VPC 对等连接），为 Destination type（目标类型）选择 Instances（实例）。

对 VPC 对等连接问题进行故障排除

根据您的 VPC 对等连接问题，执行以下一项或多项操作：

• 验证 VPC 对等连接是否处于活动状态。
• 更新 VPC 对等连接的路由表。验证是否存在通过相应的对等 ID 连接到对等 VPC 的 IP 地址范围的正确路由。
• 验证网络 ACL 表中是否存在适用于所需流量的 ALLOW 规则。
• 验证安全组规则是否允许对等 VPC 之间的网络流量。
• 使用 VPC 流日志检查流量是否在源或目标端被拒绝。当安全组或网络 ACL 缺少必要的权限规则时，可能会出现 REJECT（拒绝）。

相关信息

为什么我无法通过 VPC 对等连接解析域名？