Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Pemecahan masalah jaringan VPC

Pemantauan dan pemecahan masalah jaringan

CloudTrail penebangan

Semua operasi API Konfigurasi dan alur kerja yang berjalan menggunakan jaringan VPC masuk. CloudTrail Gunakan CloudTrail untuk mengaudit perubahan konfigurasi dan melacak yang berjalan menggunakan jaringan VPC.

Pemecahan masalah dengan log aliran ENI

Saat alur kerja Anda berjalan mengakses sumber daya eksternal melalui internet, Anda dapat menggunakan VPC Flow Logs untuk memverifikasi konektivitas dan mendiagnosis masalah. HealthOmics menyediakan antarmuka jaringan elastis (ENIs) di subnet VPC Anda untuk merutekan lalu lintas dari tugas alur kerja Anda. Dengan memeriksa log aliran pada ini ENIs, Anda dapat melacak lalu lintas jaringan ke dan dari tujuan eksternal.

Menyiapkan log aliran untuk pemecahan masalah

Opsi 1: Log aliran tingkat VPC (untuk pemantauan berkelanjutan)

Aktifkan log alur di VPC Anda untuk secara otomatis menangkap lalu lintas dari semua HealthOmics alur kerja yang berjalan. Ini paling baik jika Anda memiliki banyak alur kerja yang berjalan dan menginginkan visibilitas yang komprehensif tanpa melacak individu. ENIs

Log alur kueri menggunakan Wawasan CloudWatch Log berdasarkan jendela waktu, IP tujuan, atau pola lalu lintas. Anda tidak perlu mengidentifikasi ENI tertentu IDs.

Opsi 2: Log aliran tingkat ENI (untuk pemecahan masalah yang ditargetkan)

Aktifkan log alur secara spesifik ENIs ketika Anda hanya memiliki beberapa HealthOmics ENIs di akun Anda. Ini adalah pendekatan yang paling hemat biaya dan membuatnya mudah untuk mengisolasi lalu lintas untuk menjalankan alur kerja tertentu.

Memahami format Log Aliran VPC

VPC Flow Logs menggunakan format yang dipisahkan spasi dengan bidang-bidang berikut:

version account_id interface_id srcaddr dstaddr srcport dstport protocol packets bytes start end action log_status

Deskripsi bidang:

Contoh entri log aliran:

2 074296239033 eni-0e57c5476efeac402 10.0.130.58 13.226.238.96 40565 443 6 13 1502 1774338927 1774338929 ACCEPT OK
2 074296239033 eni-0e57c5476efeac402 13.226.238.96 10.0.130.58 443 40565 6 8 1024 1774338928 1774338930 ACCEPT OK

Entri ini menunjukkan komunikasi HTTPS dua arah yang sukses. Kunci IPs: 10.0.130.58 adalah ENI pelanggan yang dibuat oleh HealthOmics di akun Anda, dan 13.226.238.96 adalah domain publik eksternal yang diakses alur kerja Anda. Entri pertama adalah lalu lintas keluar, dan yang kedua adalah lalu lintas kembali. Keduanya menunjukkan ACCEPT, menunjukkan lalu lintas diizinkan oleh kelompok keamanan.

Menanyakan log alur di Wawasan CloudWatch Log

Saat log aliran dipublikasikan ke CloudWatch Log, gunakan Wawasan CloudWatch Log untuk melakukan kueri dan menganalisis data.

Temukan lalu lintas yang ditolak (mulai di sini)

fields @timestamp, interfaceId, srcAddr, dstAddr, srcPort, dstPort, protocol, action
| filter action = "REJECT"
| sort @timestamp desc

Jika ini mengembalikan hasil, Anda mungkin memiliki masalah konektivitas. Entri yang ditolak menunjukkan lalu lintas mana yang diblokir oleh grup atau jaringan ACLs keamanan.

Temukan lalu lintas ke IP eksternal tertentu

Pertama, selesaikan domain ke alamat IP menggunakan nslookup ataudig:

$ nslookup ftp.ncbi.nlm.nih.gov
Server:  127.53.53.53
Address: 127.53.53.53#53

Non-authoritative answer:
ftp.ncbi.nlm.nih.gov    canonical name = ftp.wip.ncbi.nlm.nih.gov.
Name:    ftp.wip.ncbi.nlm.nih.gov
Address: 130.14.250.10
Name:    ftp.wip.ncbi.nlm.nih.gov
Address: 130.14.250.11

“Server” dan “Alamat” di bagian atas adalah penyelesai DNS Anda. Alamat di bawah “Jawaban non-otoritatif” (130.14.250.10 dan 130.14.250.11) adalah yang sebenarnya untuk domain tersebut. IPs

Log aliran kueri menggunakan awalan untuk mencocokkan IP apa pun dalam rentang tersebut:

fields @timestamp, interfaceId, srcAddr, dstAddr, srcPort, dstPort, protocol, action
| filter dstAddr like "130.14.250"
| sort @timestamp desc

Ini cocok dengan IP apa pun yang dimulai dengan 130.14.250, menangkap lalu lintas ke semua IPs di subnet itu.

Temukan lalu lintas HTTPS ke tujuan eksternal

fields @timestamp, interfaceId, srcAddr, dstAddr, srcPort, dstPort, protocol, action
| filter dstPort = 443 and protocol = 6
| filter not (dstAddr like /^10\./ or dstAddr like /^172\./ or dstAddr like /^192\.168\./)
| sort @timestamp desc

Filter kedua tidak termasuk rentang IP pribadi, hanya menampilkan lalu lintas ke tujuan eksternal (publik).

Pola dan masalah log aliran umum

Praktik terbaik untuk pemecahan masalah flow log

Pemecahan masalah konfigurasi

Konfigurasi macet dalam status CREATING

Penyebab: Penyediaan sumber daya jaringan dapat memakan waktu beberapa menit.

Solusi: Tunggu hingga 10 menit. Jika status tidak berubah menjadi ACTIVE, periksa hal berikut:

Jalankan gagal memulai dengan jaringan VPC

Penyebab: Konfigurasi mungkin tidak AKTIF, atau mungkin ada masalah konektivitas jaringan.

Solusi:

Tidak dapat menghapus konfigurasi

Penyebab: Konfigurasi sedang digunakan oleh alur kerja aktif berjalan.

Solusi: Tunggu semua proses menggunakan konfigurasi untuk menyelesaikan, lalu coba lagi penghapusan.

Tidak dapat menghapus peran terkait layanan

Penyebab: Konfigurasi VPC aktif ada di akun Anda.

Solusi: Hapus semua konfigurasi VPC terlebih dahulu, lalu hapus peran terkait layanan.

Alur kerja tidak dapat terhubung ke sumber daya eksternal

Penyebab: Kesalahan konfigurasi grup keamanan atau tabel rute.

Solusi:

Masalah kinerja jaringan

Gejala: Transfer data lambat atau batas waktu alur kerja.

Penyebab: Batasan throughput jaringan atau saturasi NAT Gateway.

Solusi:

Alur kerja tidak dapat menjangkau internet

Penyebab: Subnet pribadi mungkin tidak memiliki rute ke gateway NAT, atau aturan grup keamanan mungkin memblokir lalu lintas keluar.

Solusi:

Proses alur kerja gagal dengan kesalahan konektivitas

Penyebab: Lalu lintas jaringan mungkin diblokir atau salah konfigurasi.

Solusi: