DevOpsナレッジハブ
DevOpsナレッジハブ

一般的なEC2インスタンスの接続問題の診断と解決方法

この包括的なガイドは、一般的なAmazon EC2インスタンスのネットワーク接続問題のトラブルシューティングと解決に役立ちます。セキュリティグループ、NACL、ルートテーブル、インターネットゲートウェイ、NATゲートウェイ、VPCピアリングを調べて問題を診断する手順を段階的に学びます。EC2インスタンスが常にアクセス可能で効果的に通信できることを保証するための、実用的な例とベストプラクティスが含まれています。

40 ビュー

EC2インスタンスの一般的な接続問題の診断と解決

Amazon Elastic Compute Cloud (EC2) インスタンスへの接続は、クラウドインフラストラクチャを管理するための基本的なタスクです。しかし、ネットワーク接続の問題が発生し、インスタンスへのアクセスを妨げたり、インスタンスが相互に、または外部リソースと通信することを妨げたりする可能性があります。このガイドでは、一般的なEC2接続問題の診断と解決に向けた体系的なアプローチを提供し、重要なネットワークコンポーネントと潜在的な誤設定について説明します。

これらの潜在的な障害を理解することは、健全でアクセス可能なAWS環境を維持するために不可欠です。以下に概説する手順に従うことで、接続問題の原因を効率的に特定し、必要な修正を実施して、EC2インスタンスが期待どおりに到達可能で通信できることを保証できます。

EC2接続の一般的な原因

接続の問題は、AWSネットワーキングスタックのさまざまな層から発生する可能性があります。根本原因を特定するには、これらの要素の組み合わせをチェックすることがよく伴います。

  • セキュリティグループ: これらはインスタンスの仮想ファイアウォールとして機能し、インスタンスレベルでインバウンドおよびアウトバウンドトラフィックを制御します。
  • ネットワークアクセス制御リスト (NACL): NACLはサブネットレベルで動作し、サブネットに出入りするトラフィックに対して追加のステートレスフィルタリング層を提供します。
  • ルートテーブル: これらのテーブルは、ネットワークトラフィックの転送先を指定することで、Virtual Private Cloud (VPC) 内でネットワークトラフィックを誘導します。
  • インスタンスの状態とネットワーキング設定: EC2インスタンス自体に関する問題 (停止している、ネットワークインターフェースの設定が間違っているなど) が考えられます。
  • インターネットゲートウェイ (IGW) / NATゲートウェイ: インターネットアクセスが必要なインスタンスの場合、IGW (パブリックサブネット用) またはNATゲートウェイ (プライベートサブネット用) の設定が重要です。
  • VPCピアリング / Transit Gateway: VPC間で接続する場合、これらのVPC間接続サービスが正しく設定されている必要があります。

ステップバイステップの診断と解決

一般的な接続問題のトラブルシューティングのための実践的なステップを見ていきましょう。

1. インスタンスの状態と基本的なネットワーク到達可能性の確認

複雑なネットワーク設定に深く入る前に、インスタンス自体が健全な状態であり、基本的なネットワーク設定がされていることを確認してください。

  • インスタンスステータスチェック: EC2コンソールでインスタンスを選択し、「ステータスチェック」タブを確認します。「システムステータスチェック」と「インスタンスステータスチェック」の両方が合格していることを確認してください。合格していない場合は、基盤となるシステムまたはインスタンスの問題を調査してください。
  • パブリックIP / プライベートIP: インスタンスが予期されるパブリックIPアドレス (パブリックサブネットにあり、インターネットアクセスが必要な場合) またはプライベートIPアドレスを持っていることを確認してください。
  • DNS解決: 外部リソースにIPアドレスで、次にホスト名でpingを試します。ホスト名解決が失敗し、IPアドレスでのpingが機能する場合、VPC内でDNS設定の問題がある可能性があります。

2. セキュリティグループの確認

セキュリティグループは、EC2インスタンスへのトラフィックおよびEC2インスタンスからのトラフィックを制御するステートフルファイアウォールです。これらは接続問題の非常に一般的な原因です。

2.1. インバウンドルール

インスタンスに接続できない場合 (例: SSHまたはRDP経由):

  • EC2インスタンスにアタッチされているセキュリティグループを確認します。
  • インバウンドルールの検証: 必要なポート (例: SSHの場合はポート22、RDPの場合はポート3389) で、ソースIPアドレスまたは信頼されたIP範囲 (例: どこからでも接続を許可する 0.0.0.0/0。ただし、これには注意が必要です) からのトラフィックを許可するインバウンドルールがあることを確認します。開発やテストでは、特定のIPアドレス (<your_ip>/32) を使用する方がより安全な方法です。
  • 例: 自分のIPアドレスからSSHアクセスを許可する場合:
    Type: SSH Protocol: TCP Port range: 22 Source: <your_ip>/32

2.2. アウトバウンドルール

インスタンスが外部リソースに到達できない場合 (例: パッケージのダウンロード、他のAWSサービスへの接続):

  • EC2インスタンスにアタッチされているセキュリティグループを確認します。
  • アウトバウンドルールの検証: デフォルトでは、セキュリティグループはすべてのアウトバウンドトラフィックを許可します。カスタムアウトバウンドルールが作成されている場合、それらが宛先ポートとIPへの必要なトラフィックを許可していることを確認します。
  • 例: すべてのアウトバウンドトラフィックを許可する場合:
    Type: All traffic Protocol: All Port range: All Destination: 0.0.0.0/0

3. ネットワークアクセス制御リスト (NACL) の調査

NACLは、サブネットレベルで動作するステートレスファイアウォールです。これらは、セキュリティグループまたはインスタンスに到達する前にトラフィックをフィルタリングします。

  • インスタンスのサブネットに関連付けられているNACLを特定します。
  • インバウンドルールの確認: NACLはルール番号順に評価されます。必要なポートでソースIPからのトラフィックを許可するインバウンドルールがあることを確認します。
  • アウトバウンドルールの確認: 同様に、アウトバウンドルールが宛先へのトラフィックを許可していることを確認します。
  • ステートレスな性質: NACLはステートレスであることに注意してください。これは、トラフィックが双方向に流れるために、インバウンドルールとアウトバウンドルールの両方を定義する必要があることを意味します。たとえば、インバウンドSSH (ポート22) を許可する場合、応答が戻るためにエフェメラルポート (通常1024-65535) でのアウトバウンドトラフィックも許可する必要があります。
  • ルール番号付け: ルール番号が低いほど最初に評価されます。明示的な拒否ルール (例: 特定のトラフィックを拒否するルール100) と許可ルール (例: より広範なトラフィックを許可するルール200) を注意深く使用してください。

4. ルートテーブルの確認

ルートテーブルは、サブネットからのネットワークトラフィックの転送先を決定します。ルーティングが正しくない場合、トラフィックが宛先に到達できない可能性があります。

  • インスタンスのサブネットに関連付けられているルートテーブルを見つけます。
  • デフォルトルートの確認: パブリックサブネット内のインスタンスがインターネットにアクセスするには、インターネットゲートウェイ (IGW) を指す0.0.0.0/0ルートが必要です。
    Destination | Target ----------------|-------- 10.0.0.0/16 | local 0.0.0.0/0 | igw-xxxxxxxxxxxxxxxxx
  • プライベートサブネットとNATゲートウェイ: プライベートサブネット内のインスタンスがインターネットにアクセスするには、そのサブネットのルートテーブルにNATゲートウェイまたはNATインスタンスを指す0.0.0.0/0ルートが必要です。
    Destination | Target ----------------|-------- 10.0.0.0/16 | local 0.0.0.0/0 | nat-xxxxxxxxxxxxxxxxx
  • VPCピアリング / VPN: インスタンスが別のVPCまたはオンプレミスのリソースと通信する必要がある場合、それらのCIDRブロックに対応する適切なルートが存在し、正しいピアリング接続またはVPNゲートウェイを指していることを確認します。

5. インターネットゲートウェイ (IGW) とNATゲートウェイの接続問題のトラブルシューティング

  • インターネットゲートウェイ (IGW):

    • IGWが作成され、VPCにアタッチされていることを確認します。
    • パブリックサブネットのルートテーブルに、IGWを指す0.0.0.0/0ルートがあることを確認します。
    • インスタンスにパブリックIPアドレスまたはElastic IPアドレスが割り当てられていることを確認します。
    • セキュリティグループとNACLルールが、インターネットアクセス用に0.0.0.0/0への/からのトラフィックを許可している必要があります。

  • NATゲートウェイ:

    • NATゲートウェイが作成され、パブリックサブネット内にあることを確認します。
    • NATゲートウェイに関連付けられたElastic IPアドレスがあることを確認します。
    • プライベートサブネットのルートテーブルに、NATゲートウェイを指す0.0.0.0/0ルートがあることを確認します。
    • セキュリティグループとNACLルールが、プライベートサブネットからNATゲートウェイへ、およびインターネットへのアウトバウンドトラフィックを許可している必要があります。

6. VPCピアリングとTransit Gateway

VPC間で接続問題が発生している場合:

  • VPCピアリング:
    • ピアリング接続がアクティブであり、両方のVPCによって承認されていることを確認します。
    • 両方のVPCのルートテーブルに、ピアリングされたVPCのCIDRブロックへのトラフィックを許可するルートが追加されていることを確認します。
    • 両方のVPCのセキュリティグループとNACLが、必要なIP範囲間のトラフィックを許可していることを確認します。
  • Transit Gateway:
    • Transit Gatewayが作成され、関連するVPCがそれにアタッチされていることを確認します。
    • Transit Gatewayルートテーブルをチェックして、VPCアタッチメント間のトラフィックを正しくルーティングしていることを確認します。
    • 各VPC内のルートテーブルも、他のVPCへのトラフィックのためにTransit Gatewayを指すルートを持っていることを確認します。
    • 各VPC内のセキュリティグループとNACLが、VPC間トラフィックを許可している必要があります。

7. AWSネットワーク到達可能性ツールの使用

AWSは、ネットワーク問題の診断に役立つツールを提供しています。

  • VPC到達性アナライザー: このツールを使用すると、VPC内またはVPC間の2つのエンドポイント間の到達可能性を分析できます。トラフィックフローをシミュレートし、セキュリティグループ、NACL、ルートテーブル、またはその他のネットワーク設定によるパス障害を特定できます。VPCコンソールの「ネットワーク到達性」で見つけることができます。
  • VPCフローログ: 接続障害を直接診断するものではありませんが、VPCフローログは、VPC内のネットワークインターフェースへの/からのIPトラフィックに関する情報をキャプチャします。これらのログを分析することで、ブロックされたトラフィックや予期しないトラフィックのパターンを明らかにし、セキュリティグループやNACLの誤設定を特定するのに役立ちます。

8. その他の潜在的な問題

  • Elastic Network Interface (ENI): ENIがインスタンスにアタッチされ、正しく設定されていることを確認します。
  • サブネットのルートテーブル関連付け: サブネットが意図したルートテーブルに正しく関連付けられていることを確認します。
  • DNS設定: カスタムDNSを使用している場合、正しく解決されていることを確認します。デフォルトのVPC DNSの場合、VPCでDNS解決が有効になっていることを確認します。
  • プロキシサーバー: インスタンスがプロキシを使用するように設定されている場合、プロキシ自体がアクセス可能で正しく設定されていることを確認します。

接続問題を防ぐためのベストプラクティス

  • 最小権限の原則: セキュリティグループとNACLを、必要最小限の権限で設定します。絶対に必要で他の手段で保護されていない限り、機密性の高いポートに0.0.0.0/0を使用することは避けてください。
  • タグ付け: ネットワークリソース (VPC、サブネット、セキュリティグループ、ルートテーブル) に一貫してタグを付け、その目的と関連するインスタンスを簡単に識別できるようにします。
  • ドキュメント化: ネットワークトポロジ、IPアドレススキーム、セキュリティルールに関する明確なドキュメントを維持します。
  • 定期的な監査: セキュリティグループとNACLルールを定期的に見直し、依然として関連性があり、安全であることを確認します。
  • AWSツールの活用: VPC到達性アナライザーとVPCフローログに慣れ、プロアクティブな監視とトラブルシューティングに活用します。

結論

EC2インスタンスの接続問題を診断するには、AWSネットワーキングスタックの各層を体系的にチェックする体系的なアプローチが必要です。セキュリティグループ、NACL、ルートテーブル、およびゲートウェイの設定を理解し、検証することで、ほとんどの一般的な接続問題を効果的に特定して解決できます。VPC到達性アナライザーやVPCフローログなどのツールを活用することで、トラブルシューティングプロセスをさらに効率化し、堅牢でアクセス可能なクラウド環境を維持することができます。