AWS - VPC - 网络：如何排查 AWS 本地连接问题

Question

下面的问题是我经过几天的研究解决的问题。我将其公开，这样我就可以让您了解我如何通过查看日志等更快地发现它。

我们有混合AWS架构。我的目标是从本地连接到红移。 Redshift Serverless 是

• 在 VPC 上，将其命名为 cloud，在 3 个子网中包含 3 个可用区：rds1/rds2/rds3。
• 子网上有一个 vpce 端点 rds3（为什么是这个？我不太清楚）
• 附加到安全组，其中端口5439对相应源开放。

VPC 云：

• 有一个 TransitGateway 连接到 2 个子网 tgw1/tgw2 .

路由表设置正确。

当我尝试连接到 redshift 时；它超时。但是当我检查VPC FLOW LOGS

时

fields @timestamp,@message
| filter dstPort = 5439
| sort @timestamp desc
| limit 20

这是我发现的：

2023-12-18T15:53:12.000+01:00 2 834242179416 eni-xxxxxxxxxxxx xx.xx.xx.xx xx.xx.xx.xx 49801 5439 6 1 52 1702911192 1702911193 接受 好的

因此对 redshift 的调用已正确路由并被接受，但永远不会返回任何响应。

根据 AWS DOC 看来：

将 VPC 附加到中转网关时，其中的任何资源 没有中转网关连接的可用区无法 到达中转网关。如果有到中转网关的路由 在子网路由表中，流量转发到中转网关 仅当中转网关在以下子网中具有连接时 相同的可用区。

所以我将 rds3 添加到附件中转网关，现在它可以工作了。

但我想知道我如何直接从日志中看到这一点来直接识别问题，而不是检查所有安全组/NACLS/路由表/端点等...

谢谢您的帮助。

Answer 1

我发现 AWS 网络管理器中的可达性分析器对于查找此类问题的根源非常有帮助。 您可以从 VPN 网关一直追踪到特定的 IP 地址。

https://docs.aws.amazon.com/vpc/latest/reachability/what-is-reachability-analyzer.html