View a markdown version of this page

Elenco di controllo per la risoluzione dei problemi di rete di Outposts rack - AWS Outposts
Connettività con i dispositivi di rete OutpostDirect Connect connettività dell'interfaccia virtuale pubblica a AWS RegionDirect Connect connettività privata dell'interfaccia virtuale a AWS RegionConnettività Internet pubblica dell'ISP a AWS RegionOutposts è protetto da due dispositivi firewall

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Elenco di controllo per la risoluzione dei problemi di rete di Outposts rack

Utilizza questo elenco di controllo per risolvere i problemi relativi a un collegamento al servizio con stato DOWN.

LAN virtuali.

Connettività con i dispositivi di rete Outpost

Verifica lo stato del peering BGP sui dispositivi di rete locale del cliente collegati ai dispositivi di rete Outpost. Se lo stato di peering BGP è DOWN, completa la seguente procedura:

  1. Esegui il ping dell'indirizzo IP peer remoto sui dispositivi di rete Outpost dai dispositivi del cliente. L'indirizzo IP peer si trova nella configurazione BGP del tuo dispositivo. Puoi anche fare riferimento all'elenco Elenco di controllo di preparazione della rete fornito al momento dell'installazione.

  2. Se il ping ha esito negativo, controlla la connessione fisica e assicurati che lo stato della connettività sia UP.

    1. Verifica lo stato LACP dei dispositivi di rete locale del cliente.

    2. Controlla lo stato dell'interfaccia sul dispositivo. Se lo stato è UP, passa alla fase 3.

    3. Controlla i dispositivi della rete locale del cliente e verifica che il modulo ottico funzioni.

    4. Sostituisci le fibre difettose e assicurati che le luci (Tx/Rx) rientrino in un intervallo accettabile.

  3. Se il ping ha esito positivo, controlla i dispositivi della rete locale del cliente e assicurati che le seguenti configurazioni BGP siano corrette.

    1. Verifica che il Numero di sistema autonomo locale (ASN del cliente) sia configurato correttamente.

    2. Verifica che il Numero di sistema autonomo remoto (ASN dell'Outpost) sia configurato correttamente.

    3. Verifica che l'IP dell'interfaccia e gli indirizzi IP peer remoti siano configurati correttamente.

    4. Verifica che i routing propagati e ricevuti siano corretti.

  4. Se la sessione BGP presenta un susseguirsi a ciclo continuo tra gli stati attivo e connesso, verifica che la porta TCP 179 e le altre porte temporanee pertinenti non siano bloccate sui dispositivi della rete locale del cliente.

  5. Per approfondire l'analisi per la risoluzione del problema, controlla quanto segue sui dispositivi di rete locale del cliente:

    1. Log di debug BGP e TCP

    2. Log BGP

    3. Acquisizione di pacchetti

  6. Se il problema persiste, esegui l'acquisizione di MTR/traceroute/pacchetti dal router connesso a Outpost agli indirizzi IP peer del dispositivo di rete Outpost. Condividi i risultati dei test con il AWS supporto, utilizzando il tuo piano di supporto Enterprise.

Se lo stato di peering BGP è UP tra i dispositivi della rete locale del cliente e i dispositivi di rete Outpost, ma il collegamento al servizio è ancora DOWN, puoi approfondire l'analisi per la risoluzione del problema controllando i seguenti elementi sui dispositivi della rete locale del cliente. Utilizza uno dei seguenti elenchi di controllo, a seconda della modalità di provisioning della connettività del collegamento al servizio.

Direct Connect connettività dell'interfaccia virtuale pubblica a AWS Region

Utilizza la seguente lista di controllo per risolvere i problemi relativi ai router edge connessi Direct Connect quando viene utilizzata un'interfaccia virtuale pubblica per la connettività Service Link.

  1. Verifica che i dispositivi che si connettono direttamente ai dispositivi di rete Outpost ricevano gli intervalli di indirizzi IP del collegamento al servizio tramite BGP.

    1. Verifica che i routing vengano ricevuti dal tuo dispositivo tramite BGP.

    2. Controlla la tabella di routing dell'istanza Virtual Routing and Forwarding (VRF) del collegamento al servizio. Dovrebbe mostrare che sta utilizzando l'intervallo di indirizzi IP.

  2. Per garantire la connettività della regione, controlla la tabella di routing per la VRF del collegamento al servizio. Dovrebbe includere gli intervalli di indirizzi IP AWS pubblici o la route predefinita.

  3. Se non ricevete gli intervalli di indirizzi IP AWS pubblici nel service link VRF, controllate i seguenti elementi.

    1. Controlla lo stato del Direct Connect collegamento dall'edge router o dal Console di gestione AWS.

    2. Se il collegamento fisico è UP, controlla lo stato del peering BGP dal router edge.

    3. Se lo stato del peering BGP èDOWN, esegui il ping dell'indirizzo AWS IP del peer e controlla la configurazione BGP nell'edge router. Per ulteriori informazioni, consultate Risoluzione dei problemi Direct Connect nella Guida per l'Direct Connect utente e My virtual interface BGP status is down nella console. AWS Cosa devo fare?

    4. Se il BGP è impostato e non vedi la route predefinita o gli intervalli di indirizzi IP AWS pubblici nel VRF, contatta l'assistenza utilizzando il tuo piano di AWS supporto Enterprise.

  4. Se disponi di un firewall on-premise, verifica i seguenti elementi.

    1. Verifica che le porte richieste per la connettività del collegamento al servizio siano consentite nei firewall di rete. Usa traceroute sulla porta 443 o qualsiasi altro strumento di risoluzione dei problemi di rete per confermare la connettività attraverso i firewall e i dispositivi di rete. Per la connettività del collegamento al servizio è necessario configurare le seguenti porte nelle policy del firewall.

      • Protocollo TCP – Porta di origine: TCP 1025-65535, Porta di destinazione: 443.

      • Protocollo UDP – Porta di origine: TCP 1025-65535, Porta di destinazione: 443.

    2. Se il firewall è dotato di stato, assicurati che le regole in uscita consentano l'intervallo di indirizzi IP del collegamento di servizio di Outpost agli intervalli di indirizzi IP pubblici. AWS Per ulteriori informazioni, consulta AWS Outposts connettività a AWS Regioni.

    3. Se il firewall non è dotato di stato, assicurati di consentire anche il flusso in entrata (dagli intervalli di indirizzi IP AWS pubblici all'intervallo di indirizzi IP del service link).

    4. Se hai configurato un router virtuale nei firewall, assicurati che sia configurato il routing appropriato per il traffico tra Outpost e la regione AWS .

  5. Se hai configurato il NAT nella rete on-premise per convertire gli intervalli di indirizzi IP del collegamento al servizio di Outpost nei tuoi indirizzi IP pubblici, verifica i seguenti elementi.

    1. Verifica che il dispositivo NAT non sia sovraccarico e disponga di porte libere da allocare per nuove sessioni.

    2. Verifica che il dispositivo NAT sia configurato correttamente per eseguire la conversione degli indirizzi.

  6. Se il problema persiste, esegui l'acquisizione MTR/traceroute/dei pacchetti dal tuo edge router agli indirizzi IP peer. Direct Connect Condividi i risultati dei test con l'assistenza, utilizzando il tuo piano di AWS supporto Enterprise.

Direct Connect connettività privata dell'interfaccia virtuale a AWS Region

Utilizza la seguente lista di controllo per risolvere i problemi dei router edge connessi Direct Connect quando viene utilizzata un'interfaccia virtuale privata per la connettività Service Link.

  1. Se la connettività tra il rack Outposts e la AWS regione utilizza la funzione di connettività AWS Outposts privata, controlla i seguenti elementi.

    1. Effettua il ping dell'indirizzo AWS IP di peering remoto dall'edge router e conferma lo stato del peering BGP.

    2. Assicurati che il peering BGP sull'interfaccia virtuale Direct Connect privata tra il tuo service link endpoint VPC e l'Outpost installato in sede lo sia. UP Per ulteriori informazioni, consulta Risoluzione dei problemi Direct Connect nella Guida per l'Direct Connect utente, Lo stato BGP di My virtual interface è inattivo nella console. AWS Cosa devo fare? e In che modo posso risolvere i problemi di connessione BGP tramite Direct Connect?.

    3. L'interfaccia virtuale Direct Connect privata è una connessione privata all'edge router nella Direct Connect posizione prescelta e utilizza BGP per scambiare percorsi. L'intervallo CIDR del tuo cloud privato virtuale (VPC) viene comunicato tramite questa sessione BGP sul tuo router edge. Analogamente, l'intervallo di indirizzi IP per il collegamento al servizio Outpost viene comunicato sulla regione tramite BGP dal router edge.

    4. Verifica che le ACL di rete associate all'endpoint privato del collegamento al servizio nel tuo VPC consentano il traffico pertinente. Per ulteriori informazioni, consulta Elenco di controllo di preparazione della rete.

    5. Se disponi di un firewall on-premise, assicurati che il firewall disponga di regole in uscita che consentano gli intervalli di indirizzi IP del collegamento al servizio e gli endpoint del servizio Outpost (gli indirizzi IP dell'interfaccia di rete) situati nel VPC o nel CIDR VPC. Assicurati che le porte TCP 1025-65535 e UDP 443 non siano bloccate. Per ulteriori informazioni, consulta Introduzione alla connettività AWS Outposts privata.

    6. Se il firewall non è stateful, assicurati che disponga di regole e policy per consentire il traffico in entrata verso Outpost dagli endpoint del servizio Outpost nel VPC.

  2. Se hai più di 100 reti nella tua rete locale, puoi pubblicizzare un percorso predefinito nella sessione BGP verso l'interfaccia AWS virtuale privata. Se non desideri propagare un routing predefinito, riepiloga i routing in modo che il numero di routing propagati sia inferiore a 100.

  3. Se il problema persiste, esegui l'acquisizione MTR/traceroute/dei pacchetti dall'edge router agli indirizzi IP peer. Direct Connect Condividi i risultati dei test con l'assistenza, utilizzando il tuo piano di AWS supporto Enterprise.

Connettività Internet pubblica dell'ISP a AWS Region

Utilizza il seguente elenco di controllo per risolvere i problemi relativi ai router edge connessi tramite un ISP quando utilizzi un'interfaccia pubblica per la connettività del collegamento al servizio.

  • Verifica che il collegamento Internet sia attivo.

  • Verifica che i server pubblici siano accessibili dai tuoi dispositivi edge connessi tramite un ISP.

Se Internet o i server pubblici non sono accessibili tramite i collegamenti ISP, completa i seguenti passaggi.

  1. Verifica se lo stato di peering BGP con i router ISP è stato stabilito.

    1. Verifica che il BGP non sia in fase di flapping.

    2. Verifica che il BGP riceva e propaghi i routing richiesti dall'ISP.

  2. In caso di configurazione del routing statico, verifica che il routing predefinito sia configurato correttamente sul dispositivo edge.

  3. Verifica se riesci a raggiungere Internet utilizzando un'altra connessione ISP.

  4. Se il problema persiste, esegui l'acquisizione di MTR/traceroute/pacchetti sul tuo router edge. Condivi i risultati con il team di supporto tecnico del tuo ISP per approfondire l'analisi per la risoluzione del problema.

Se Internet e i server pubblici sono accessibili tramite i collegamenti ISP, completa i seguenti passaggi.

  1. Verifica se alcune delle tue istanze EC2 o dei tuoi sistemi di bilanciamento del carico accessibili al pubblico nella regione di origine di Outpost sono accessibili dal tuo dispositivo edge. Puoi utilizzare ping o telnet per confermare la connettività, quindi utilizza traceroute per confermare il percorso di rete.

  2. Se utilizzi le VRF per separare il traffico nella tua rete, verifica che la VRF del collegamento al servizio disponga di routing o policy che indirizzano il traffico da e verso l'ISP (Internet) e la VRF. Vedi i seguenti punti di controllo.

    1. Router edge che si connettono all'ISP. Controlla la tabella di routing VRF dell'ISP del router edge per confermare che l'intervallo di indirizzi IP del collegamento al servizio sia presente.

    2. Dispositivi di rete locale del cliente che si connettono a Outpost. Controlla le configurazioni delle VRF e assicurati che il routing e le policy necessarie per la connettività tra la VRF del collegamento al servizio e la VRF dell'ISP siano configurati correttamente. Di norma, un routing predefinito viene inviato dalla VRF dell'ISP alla VRF del collegamento al servizio per il traffico verso Internet.

    3. Se hai configurato il routing basato sull'origine nei router collegati all'Outpost, verifica che la configurazione sia corretta.

  3. Assicurati che i firewall locali siano configurati per consentire la connettività in uscita (porte TCP 1025-65535 e UDP 443) dagli intervalli di indirizzi IP del collegamento del servizio Outpost agli intervalli di indirizzi IP pubblici. AWS Se i firewall non sono stateful, assicurati che sia configurata anche la connettività in entrata all'Outpost.

  4. Assicurati che il NAT sia configurato nella rete on-premise per convertire gli intervalli di indirizzi IP del collegamento al servizio di Outpost in indirizzi IP pubblici. Inoltre, verifica i seguenti elementi.

    1. Il dispositivo NAT non è sovraccarico e dispone di porte libere da allocare per nuove sessioni.

    2. Il dispositivo NAT è configurato correttamente per eseguire la conversione degli indirizzi.

Se il problema persiste, esegui l'acquisizione di MTR/traceroute/pacchetti.

  • Se i risultati mostrano il rilascio o il blocco dei pacchetti nella rete on-premise, rivolgiti al team addetto alla rete o al team tecnico per ulteriori indicazioni.

  • Se i risultati mostrano il rilascio o il blocco dei pacchetti nella rete dell'ISP, rivolgiti al team di supporto tecnico dell'ISP.

  • Se i risultati non mostrano alcun problema, raccogli i risultati di tutti i test (come MTR, telnet, traceroute, acquisizione di pacchetti e log BGP) e contatta l'assistenza utilizzando il tuo piano di supporto Enterprise. AWS

Outposts è protetto da due dispositivi firewall

Se hai installato Outpost dietro una coppia di firewall sincronizzati ad alta disponibilità o due firewall autonomi, potrebbe verificarsi un routing asimmetrico del collegamento di servizio. Ciò significa che il traffico in entrata potrebbe passare attraverso il firewall-1, mentre il traffico in uscita potrebbe passare attraverso il firewall-2. Utilizzate la seguente lista di controllo per identificare il potenziale routing asimmetrico del collegamento di servizio, specialmente se prima funzionava correttamente.

  • Verifica se ci sono state modifiche recenti o interventi di manutenzione in corso nella configurazione del routing della rete aziendale che potrebbero aver portato al routing asimmetrico del collegamento di servizio attraverso i firewall.

    • Utilizza i grafici del traffico del firewall per verificare le modifiche ai modelli di traffico in linea con l'inizio del problema del collegamento di servizio.

    • Verifica la presenza di un errore parziale del firewall o di uno scenario in cui i firewall potrebbero non sincronizzare più le rispettive tabelle di connessione.

    • Verifica la presenza di collegamenti inattivi o modifiche recenti al routing (modifiche alle OSPF/ISIS/EIGRP metriche, modifiche alle mappe di percorso BGP) nella rete aziendale corrispondenti all'inizio del problema di collegamento del servizio.

  • Se utilizzate la connettività Internet pubblica per il collegamento di servizio alla regione di origine, la manutenzione effettuata da un fornitore di servizi potrebbe aver causato l'instradamento asimmetrico del collegamento di servizio attraverso i firewall.

    • Controlla i grafici del traffico per individuare i collegamenti ai tuoi ISP per verificare le modifiche ai modelli di traffico corrispondenti all'inizio del problema relativo al collegamento del servizio.

  • Se si utilizza la Direct Connect connettività per il collegamento di servizio, è possibile che una manutenzione AWS pianificata abbia innescato l'instradamento asimmetrico del collegamento di servizio.

    • Verifica la presenza di notifiche di manutenzione programmata sui tuoi Direct Connect servizi.

    • Tieni presente che se disponi di Direct Connect servizi ridondanti, puoi testare in modo proattivo il routing del collegamento di servizio Outposts su ogni probabile percorso di rete in condizioni di manutenzione. Ciò ti consente di verificare se un'interruzione di uno dei tuoi Direct Connect servizi potrebbe portare a un routing asimmetrico del collegamento di servizio. La resilienza della Direct Connect parte della connettività di rete end-to-end può essere testata dal Resiliency with Resiliency Toolkit. Direct Connect Per ulteriori informazioni, vedere Testing Direct Connect Resiliency with Resiliency Toolkit — Failover Testing.

Dopo aver esaminato la lista di controllo precedente e aver individuato il routing asimmetrico del collegamento di servizio come possibile causa principale, è possibile intraprendere una serie di ulteriori azioni:

  • Ripristina il routing simmetrico annullando eventuali modifiche alla rete aziendale o aspettando il completamento della manutenzione pianificata da un provider.

  • Accedi a uno o entrambi i firewall e cancella tutte le informazioni sullo stato del flusso per tutti i flussi dalla riga di comando (se supportato dal fornitore del firewall).

  • Filtra temporaneamente gli annunci BGP tramite uno dei firewall o chiudi le interfacce su un firewall per forzare il routing simmetrico attraverso l'altro firewall.

  • Riavviate ogni firewall uno dopo l'altro per eliminare il potenziale danneggiamento del tracciamento dello stato del flusso del traffico del service link nella memoria del firewall.

  • Rivolgiti al fornitore del firewall per verificare o ridurre il monitoraggio dello stato di flusso UDP per le connessioni UDP provenienti dalla porta 443 e destinate alla porta 443.