本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

VPC 网络故障排除

网络监控和故障排除

CloudTrail 记录

使用 VPC 网络运行的所有配置 API 操作和工作流程都已登录 CloudTrail。 CloudTrail 用于审计配置更改并跟踪哪些运行使用 VPC 联网。

使用 ENI 流日志进行故障排除

当您的工作流程运行通过 Internet 访问外部资源时，您可以使用 VPC 流日志来验证连接和诊断问题。 HealthOmics 在您的 VPC 子网中配置弹性网络接口 (ENIs)，以路由来自工作流程任务的流量。通过检查这些流日志 ENIs，您可以跟踪往返外部目的地的网络流量。

设置用于故障排除的流日志

选项 1：VPC 级别的流日志（用于持续监控）

在您的 VPC 上启用流日志，以自动捕获所有 HealthOmics 工作流程运行的流量。当您有许多工作流程运行并且希望在不跟踪个人的情况下获得全面的可见性时，这是最好的选择 ENIs。

使用 Logs Insights 按时间窗口、目标 IP 或流量模式查询流 CloudWatch 日志。您无需识别特定的 ENI IDs。

选项 2：ENI 级别的流日志（用于有针对性的故障排除）

当您的账户 HealthOmics ENIs 中只有几个流日志 ENIs 时，请启用特定流日志。这是最具成本效益的方法，可以轻松隔离特定工作流程运行的流量。

了解 VPC 流日志格式

VPC 流日志使用以空格分隔的格式，其中包含以下字段：

version account_id interface_id srcaddr dstaddr srcport dstport protocol packets bytes start end action log_status

字段描述：

流日志条目示例：

2 074296239033 eni-0e57c5476efeac402 10.0.130.58 13.226.238.96 40565 443 6 13 1502 1774338927 1774338929 ACCEPT OK
2 074296239033 eni-0e57c5476efeac402 13.226.238.96 10.0.130.58 443 40565 6 8 1024 1774338928 1774338930 ACCEPT OK

这些条目显示成功的双向 HTTPS 通信。密钥 IPs：10.0.130.58 是您的账户 HealthOmics 中创建的客户 ENI，13.226.238.96 是您的工作流程正在访问的外部公共域。第一个条目是出站流量，第二个条目是回程流量。两者都显示 ACCEPT，表示安全组允许流量。

在 “日志见解” 中查询流 CloudWatch 日志

将流日志发布到 CloudWatch 日志时，使用 Lo CloudWatch gs Insights 来查询和分析数据。

查找被拒绝的流量（从这里开始）

fields @timestamp, interfaceId, srcAddr, dstAddr, srcPort, dstPort, protocol, action
| filter action = "REJECT"
| sort @timestamp desc

如果返回结果，则可能存在连接问题。被拒绝的条目显示哪些流量被安全组或网络阻止 ACLs。

查找指向特定外部 IP 的流量

首先，使用nslookup或将域解析为 IP 地址dig：

$ nslookup ftp.ncbi.nlm.nih.gov
Server:  127.53.53.53
Address: 127.53.53.53#53

Non-authoritative answer:
ftp.ncbi.nlm.nih.gov    canonical name = ftp.wip.ncbi.nlm.nih.gov.
Name:    ftp.wip.ncbi.nlm.nih.gov
Address: 130.14.250.10
Name:    ftp.wip.ncbi.nlm.nih.gov
Address: 130.14.250.11

顶部的 “服务器” 和 “地址” 是你的 DNS 解析器。“非权威答案”（130.14.250.10和130.14.250.11）下的地址是该域名的实际地址。 IPs

使用前缀查询流日志以匹配该范围内的任何 IP：

fields @timestamp, interfaceId, srcAddr, dstAddr, srcPort, dstPort, protocol, action
| filter dstAddr like "130.14.250"
| sort @timestamp desc

这匹配以 130.14.250 开头的任何 IP，捕获该子网 IPs 中所有人的流量。

查找发往外部目的地的 HTTPS 流量

fields @timestamp, interfaceId, srcAddr, dstAddr, srcPort, dstPort, protocol, action
| filter dstPort = 443 and protocol = 6
| filter not (dstAddr like /^10\./ or dstAddr like /^172\./ or dstAddr like /^192\.168\./)
| sort @timestamp desc

第二个过滤器不包括私有 IP 范围，仅显示前往外部（公共）目的地的流量。

常见的流日志模式和问题

流日志疑难解答的最佳实践

配置疑难解答

配置停留在 “创建” 状态

原因：网络资源配置可能需要几分钟。

解决方案：最多等待 10 分钟。如果状态未更改为 “激活”，请检查以下内容：

VPC 联网无法开始运行

原因：配置可能未处于活动状态，或者可能存在网络连接问题。

解决方案：

无法删除配置

原因：正在运行的工作流程正在使用该配置。

解决方案：等待所有使用配置的运行完成，然后重试删除。

无法删除服务相关角色

原因：您的账户中存在活动的 VPC 配置。

解决方案：先删除所有 VPC 配置，然后删除服务相关角色。

工作流程无法连接到外部资源

原因：安全组或路由表配置错误。

解决方案：

网络性能问题

症状：数据传输缓慢或工作流程超时。

原因：网络吞吐量限制或 NAT 网关饱和。

解决方案：

工作流程无法访问互联网

原因：私有子网可能没有通往 NAT 网关的路由，或者安全组规则可能阻止了出站流量。

解决方案：

工作流程运行因连接错误而失败

原因：网络流量可能被屏蔽或配置错误。

解决方案：