기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

VPC 네트워킹 문제 해결

네트워크 모니터링 및 문제 해결

CloudTrail 로깅

VPC 네트워킹을 사용하는 모든 구성 API 작업 및 워크플로 실행은 CloudTrail에 로깅됩니다. CloudTrail을 사용하여 구성 변경 사항을 감사하고 VPC 네트워킹을 사용하는 실행을 추적합니다.

ENI 흐름 로그 문제 해결

워크플로가 인터넷을 통해 외부 리소스에 액세스할 때 VPC 흐름 로그를 사용하여 연결을 확인하고 문제를 진단할 수 있습니다. HealthOmics는 VPC 서브넷에 탄력적 네트워크 인터페이스(ENIs)를 프로비저닝하여 워크플로 작업의 트래픽을 라우팅합니다. 이러한 ENIs의 흐름 로그를 검사하여 외부 대상과의 네트워크 트래픽을 추적할 수 있습니다.

문제 해결을 위한 흐름 로그 설정

옵션 1: VPC 수준 흐름 로그(지속적인 모니터링용)

VPC에서 흐름 로그를 활성화하여 모든 HealthOmics 워크플로 실행의 트래픽을 자동으로 캡처합니다. 이는 워크플로 실행이 많고 개별 ENIs 추적하지 않고 포괄적인 가시성을 원하는 경우에 가장 좋습니다.

기간, 대상 IP 또는 트래픽 패턴별로 CloudWatch Logs Insights를 사용하여 흐름 로그를 쿼리합니다. 특정 ENI IDs 식별할 필요는 없습니다.

옵션 2: ENI 수준 흐름 로그(대상 문제 해결용)

계정에 ENIs가 몇 개만 있는 경우 특정 ENIs에 대한 흐름 로그를 활성화합니다. HealthOmics 이는 가장 비용 효율적인 접근 방식이며 특정 워크플로 실행에 대한 트래픽을 쉽게 격리할 수 있습니다.

VPC 흐름 로그 형식 이해

VPC 흐름 로그는 다음 필드와 함께 공백으로 구분된 형식을 사용합니다.

version account_id interface_id srcaddr dstaddr srcport dstport protocol packets bytes start end action log_status

필드 설명:

흐름 로그 항목의 예:

2 074296239033 eni-0e57c5476efeac402 10.0.130.58 13.226.238.96 40565 443 6 13 1502 1774338927 1774338929 ACCEPT OK
2 074296239033 eni-0e57c5476efeac402 13.226.238.96 10.0.130.58 443 40565 6 8 1024 1774338928 1774338930 ACCEPT OK

이러한 항목은 성공적인 양방향 HTTPS 통신을 보여줍니다. 키 IPs: 10.0.130.58은 계정의 HealthOmics에서 생성한 고객 ENI이고, 13.226.238.96은 워크플로가 액세스하는 외부 퍼블릭 도메인입니다. 첫 번째 항목은 아웃바운드 트래픽이고 두 번째 항목은 반환 트래픽입니다. 둘 다 ACCEPT를 표시하여 보안 그룹에서 트래픽이 허용되었음을 나타냅니다.

CloudWatch Logs Insights에서 흐름 로그 쿼리

흐름 로그가 CloudWatch Logs에 게시되면 CloudWatch Logs Insights를 사용하여 데이터를 쿼리하고 분석합니다.

거부된 트래픽 찾기(여기에서 시작)

fields @timestamp, interfaceId, srcAddr, dstAddr, srcPort, dstPort, protocol, action
| filter action = "REJECT"
| sort @timestamp desc

이렇게 하면 결과가 반환되면 연결 문제가 발생할 수 있습니다. 거부된 항목은 보안 그룹 또는 네트워크 ACLs에 의해 차단되는 트래픽을 보여줍니다.

특정 외부 IP에 대한 트래픽 찾기

먼저 nslookup 또는를 사용하여 도메인을 IP 주소로 확인합니다dig.

$ nslookup ftp.ncbi.nlm.nih.gov
Server:  127.53.53.53
Address: 127.53.53.53#53

Non-authoritative answer:
ftp.ncbi.nlm.nih.gov    canonical name = ftp.wip.ncbi.nlm.nih.gov.
Name:    ftp.wip.ncbi.nlm.nih.gov
Address: 130.14.250.10
Name:    ftp.wip.ncbi.nlm.nih.gov
Address: 130.14.250.11

상단의 "서버" 및 "주소"는 DNS 해석기입니다. "권한 없는 답변"(130.14.250.10 및 130.14.250.11) 아래의 주소는 도메인의 실제 IPs.

접두사를 사용하여 해당 범위의 IP와 일치하는 흐름 로그를 쿼리합니다.

fields @timestamp, interfaceId, srcAddr, dstAddr, srcPort, dstPort, protocol, action
| filter dstAddr like "130.14.250"
| sort @timestamp desc

이는 130.14.250로 시작하는 모든 IP와 일치하며 해당 서브넷의 모든 IPs.

외부 대상으로 향하는 HTTPS 트래픽 찾기

fields @timestamp, interfaceId, srcAddr, dstAddr, srcPort, dstPort, protocol, action
| filter dstPort = 443 and protocol = 6
| filter not (dstAddr like /^10\./ or dstAddr like /^172\./ or dstAddr like /^192\.168\./)
| sort @timestamp desc

두 번째 필터는 외부(퍼블릭) 대상에 대한 트래픽만 표시하는 프라이빗 IP 범위를 제외합니다.

일반적인 흐름 로그 패턴 및 문제

흐름 로그 문제 해결 모범 사례

구성 문제 해결

구성이 CREATING 상태에서 멈춤

원인: 네트워크 리소스 프로비저닝에는 몇 분 정도 걸릴 수 있습니다.

해결 방법: 최대 10분간 기다립니다. 상태가 ACTIVE로 변경되지 않으면 다음을 확인합니다.

VPC 네트워킹으로 실행을 시작하지 못함

원인: 구성이 ACTIVE가 아니거나 네트워크 연결 문제가 있을 수 있습니다.

해결 방법:

구성을 삭제할 수 없음

원인: 활성 워크플로 실행에서 구성을 사용 중입니다.

해결 방법: 구성을 사용하여 모든 실행이 완료될 때까지 기다린 다음 삭제를 다시 시도합니다.

서비스 연결 역할을 삭제할 수 없음

원인: 활성 VPC 구성이 계정에 있습니다.

해결 방법: 먼저 모든 VPC 구성을 삭제한 다음 서비스 연결 역할을 삭제합니다.

워크플로가 외부 리소스에 연결할 수 없음

원인: 보안 그룹 또는 라우팅 테이블 구성이 잘못되었습니다.

해결 방법:

네트워크 성능 문제

증상: 느린 데이터 전송 또는 워크플로 제한 시간입니다.

원인: 네트워크 처리량 제한 또는 NAT 게이트웨이 포화.

해결 방법:

워크플로가 인터넷에 연결할 수 없음

원인: 프라이빗 서브넷에 NAT 게이트웨이에 대한 경로가 없거나 보안 그룹 규칙이 아웃바운드 트래픽을 차단하고 있을 수 있습니다.

해결 방법:

연결 오류와 함께 워크플로 실행 실패

원인: 네트워크 트래픽이 차단되거나 잘못 구성될 수 있습니다.

해결 방법: