翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

VPC ネットワークのトラブルシューティング

ネットワークのモニタリングとトラブルシューティング

CloudTrail ロギング

VPC ネットワークを使用した設定 API オペレーションとワークフロー実行はすべて CloudTrail に記録されます。CloudTrail を使用して設定変更を監査し、VPC ネットワークを使用する実行を追跡します。

ENI フローログを使用したトラブルシューティング

ワークフローの実行時にインターネット経由で外部リソースにアクセスする場合、VPC フローログを使用して接続を検証し、問題を診断できます。HealthOmics は、VPC サブネットに Elastic Network Interface (ENIs) をプロビジョニングして、ワークフロータスクからのトラフィックをルーティングします。これらの ENIs のフローログを調べることで、外部送信先との間のネットワークトラフィックをトレースできます。

トラブルシューティング用のフローログの設定

オプション 1: VPC レベルのフローログ (継続的なモニタリング用)

VPC のフローログを有効にして、すべての HealthOmics ワークフロー実行からのトラフィックを自動的にキャプチャします。これは、多数のワークフロー実行があり、個々の ENIs を追跡せずに包括的な可視性が必要な場合に最適です。

時間枠、送信先 IP、またはトラフィックパターン別に CloudWatch Logs Insights を使用してフローログをクエリします。特定の ENI IDs を識別する必要はありません。

オプション 2: ENI レベルのフローログ (ターゲットを絞ったトラブルシューティング用)

アカウントにいくつかの ENIs しかない場合ENIs のフローログを有効にします。 HealthOmics これは最も費用対効果の高いアプローチであり、特定のワークフロー実行のトラフィックを簡単に分離できます。

VPC フローログの形式について

VPC フローログは、次のフィールドを含むスペース区切り形式を使用します。

version account_id interface_id srcaddr dstaddr srcport dstport protocol packets bytes start end action log_status

フィールドの説明:

フローログエントリの例:

2 074296239033 eni-0e57c5476efeac402 10.0.130.58 13.226.238.96 40565 443 6 13 1502 1774338927 1774338929 ACCEPT OK
2 074296239033 eni-0e57c5476efeac402 13.226.238.96 10.0.130.58 443 40565 6 8 1024 1774338928 1774338930 ACCEPT OK

これらのエントリは、双方向 HTTPS 通信の成功を示します。キー IPs: 10.0.130.58 はアカウントの HealthOmics によって作成されたカスタマー ENI であり、13.226.238.96 はワークフローがアクセスしている外部パブリックドメインです。最初のエントリはアウトバウンドトラフィックで、2 番目のエントリはリターントラフィックです。どちらも ACCEPT と表示され、トラフィックがセキュリティグループによって許可されたことを示します。

CloudWatch Logs Insights でのフローログのクエリ

フローログが CloudWatch Logs に公開されたら、CloudWatch Logs Insights を使用してデータをクエリおよび分析します。

拒否されたトラフィックを検索する (ここから開始)

fields @timestamp, interfaceId, srcAddr, dstAddr, srcPort, dstPort, protocol, action
| filter action = "REJECT"
| sort @timestamp desc

結果が返された場合は、接続に問題がある可能性があります。拒否されたエントリは、セキュリティグループまたはネットワーク ACLs によってブロックされているトラフィックを示します。

特定の外部 IP へのトラフィックを検索する

まず、 nslookupまたは を使用してドメインを IP アドレスに解決しますdig。

$ nslookup ftp.ncbi.nlm.nih.gov
Server:  127.53.53.53
Address: 127.53.53.53#53

Non-authoritative answer:
ftp.ncbi.nlm.nih.gov    canonical name = ftp.wip.ncbi.nlm.nih.gov.
Name:    ftp.wip.ncbi.nlm.nih.gov
Address: 130.14.250.10
Name:    ftp.wip.ncbi.nlm.nih.gov
Address: 130.14.250.11

上部の「Server」と「Address」は DNS リゾルバーです。「非権威回答」 (130.14.250.10 および 130.14.250.11) のアドレスは、ドメインの実際の IP です。 IPs

プレフィックスを使用してフローログをクエリし、その範囲内の任意の IP に一致させます。

fields @timestamp, interfaceId, srcAddr, dstAddr, srcPort, dstPort, protocol, action
| filter dstAddr like "130.14.250"
| sort @timestamp desc

これは、130.14.250 で始まるすべての IP に一致し、そのサブネット内のすべての IPsをキャプチャします。

外部送信先への HTTPS トラフィックを検索する

fields @timestamp, interfaceId, srcAddr, dstAddr, srcPort, dstPort, protocol, action
| filter dstPort = 443 and protocol = 6
| filter not (dstAddr like /^10\./ or dstAddr like /^172\./ or dstAddr like /^192\.168\./)
| sort @timestamp desc

2 番目のフィルターはプライベート IP 範囲を除外し、外部 (パブリック) 送信先へのトラフィックのみを表示します。

一般的なフローログのパターンと問題

フローログのトラブルシューティングのベストプラクティス

設定のトラブルシューティング

CREATING ステータスで設定がスタックする

原因: ネットワークリソースのプロビジョニングには数分かかる場合があります。

解決策: 最大 10 分待ちます。ステータスが ACTIVE に変わらない場合は、以下を確認してください。

実行が VPC ネットワークで開始されない

原因: 設定が ACTIVE ではないか、ネットワーク接続に問題がある可能性があります。

解決策:

設定を削除できません

原因: 設定はアクティブなワークフロー実行で使用されています。

解決策: 設定を使用してすべての実行が完了するまで待ってから、削除を再試行してください。

サービスにリンクされたロールは削除できません

原因: アクティブな VPC 設定がアカウントに存在します。

解決策: まずすべての VPC 設定を削除してから、サービスにリンクされたロールを削除します。

ワークフローが外部リソースに接続できない

原因: セキュリティグループまたはルートテーブルの設定ミス。

解決策:

ネットワークパフォーマンスの問題

症状: データ転送またはワークフローのタイムアウトが遅い。

原因: ネットワークスループットの制限または NAT ゲートウェイの飽和。

解決策:

ワークフローがインターネットにアクセスできない

原因: プライベートサブネットに NAT ゲートウェイへのルートがないか、セキュリティグループルールがアウトバウンドトラフィックをブロックしている可能性があります。

解決策:

ワークフロー実行が接続エラーで失敗する

原因: ネットワークトラフィックがブロックされているか、設定が間違っている可能性があります。

解決策: