为什么无法使用 Direct Connect 连接通过中转虚拟接口连接到 VPC 资源?

上次更新时间:2020 年 9 月 9 日

我无法使用 AWS Direct Connect 连接通过中转虚拟接口连接到 Amazon Virtual Private Cloud (Amazon VPC) 资源。如何排查此连接问题?

解决方法

验证您通过中转虚拟接口广播的本地网络前缀是否正确

  • 确认您的本地 Direct Connect 边界网关协议 (BGP) 路由器通过中转虚拟接口向 AWS Direct Connect BGP 对等体广播的本地前缀是否正确。
  • 检查本地 BGP 路由器广播的路由。本地 BGP 路由器必须在本地路由信息库 (RIB) 中包括广播的路由。用于检查这些路由的命令因本地 BGP 设备的品牌和型号而异。有关更多详细信息,请参阅设备文档。

注意:通过一个中转虚拟接口,您最多可以在一次 BGP 会话中广播 100 次路由。这是一项无法更改的硬性服务配额。超过此服务配额会导致 BGP 会话进入“闲置”状态。

验证您通过中转虚拟接口从 Direct Connect 网关广播到本地网络的 Amazon VPC 前缀是否正确

将中转网关与 Direct Connect 网关相关联后,请使用可以通过 Direct Connect 网关广播到本地网络的前缀。

注意:您可以指定以下任何一项,AWS 会将其广播回本地网络:

  • 虚拟专用计算机 (VPC) 的子网前缀,例如 10.1.0.0/16 VPC 中的 10.1.0.0/24
  • 整个 VPC 前缀
  • 超级网络(例如 10.0.0.0/8

检查您的中转网关设置

  • 中转虚拟接口使用 Direct Connect 网关与中转网关的关联来加强通信。此通信通过单个中转虚拟接口,从本地网络进入所有区域和账户的多个 VPC。请务必遵循中转网关关联规则
  • 检查您的中转网关路由配置。您可以配置路由表(自定义或默认),以传播任何连接的 VPC、虚拟专用网络 (VPN) 或 Direct Connect 连接的路由。您还可以将静态路由添加到中转网关路由表。当数据包来自一条连接时,系统将使用与目标 IP 地址匹配的路由表将其路由到另一条连接。
    注意:每条连接(无论是 VPC 还是 Direct Connect 连接)都只能与一个路由表相关联。但是,连接可以将其路由传播到一个或多个路由表。
  • 如果您有连接到中转网关的 VPC,请确认已为中转网关选择了适当数量的可用区,以将流量路由到 VPC 子网中的资源。中转网关使用子网中的一个 IP 地址在该子网中创建网络接口。
  • 对于不同可用区中的资源,请确认该可用区中是否有中转网关弹性网络接口。
    重要提示:未连接中转网关的可用区无法访问中转网关。如果您可以从一个可用区路由流量,但不能在另一个可用区执行此操作,请确认该区域是否有中转网关弹性网络接口。最佳实践是在多个可用区中启用中转网关弹性网络接口,以确保高可用性。

检查 Amazon VPC 设置

在 Amazon VPC 上确认以下事项:

  • 安全组允许入站和出站流量进出广播的本地网络前缀。
  • 网络访问控制列表 (ACL) 配置正确。您可以创建一个网络 ACL,并将其关联到与中转网关相关联的所有子网。确保网络 ACL 的入站和出站方向保持打开状态。
  • 子网路由表包含一个路由条目,其中目标设置为中转网关 ID,目的地设置为本地网络前缀。

验证是否通过所需的 Direct Connect 连接发送和接收请求

注意:以下故障排除步骤适用于以下情形:

  • 从本地位置配置的冗余 Direct Connect 物理连接
  • 每条 Direct Connect 物理连接配置一个中转虚拟接口
  • 通过两个面向 AWS 的中转虚拟接口广播的相似本地前缀

要确认冗余连接的主动/被动或主动/主动配置是否可以按照预期运行,请执行以下操作:

  • 运行双向追踪路由。查看 Direct Connect BGP 对等 IP 地址,明确使用哪个中转虚拟接口发送或接收流量。
  • 使用本地首选项 BGP 社区标签实现负载均衡和将传入流量路由到网络的首选项。
  • 如需在同一区域使用主动/被动配置,请使用本地首选项和 AS-path 前缀:
    • 本地首选项:影响通过特定 Direct Connect 链路的本地数据中心出站流量
    • AS-path 前缀:影响从 AWS 返回到本地数据中心的入站流量

这篇文章对您有帮助吗?


您是否需要账单或技术支持?