翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
AWS Site-to-Site VPN ログ
AWS Site-to-Site VPN ログを使用すると、Site-to-Site VPN デプロイをより詳細に確認できます。この機能を使用すると、IP セキュリティ (IPsec)トンネル確立、インターネットキー交換 (IKE) ネゴシエーション、およびデッドピア検出 (DPD) プロトコルメッセージの詳細を示す Site-to-Site VPN 接続ログにアクセスできます。
Site-to-Site VPN ログは Amazon CloudWatch Logs に発行できます。この機能により、単一の一貫した方法で、すべての Site-to-Site VPN 接続の詳細なログにアクセスして分析できます。
内容
Site-to-Site VPN ログの利点
-
VPN のトラブルシューティングの簡素化: Site-to-Site VPN ログは、 AWS とカスタマーゲートウェイデバイス間の設定の不一致を特定し、初期の VPN 接続の問題に対処するのに役立ちます。VPN 接続は、設定の誤り (不適切なタイムアウトの調整など) が原因で、時間の経過とともに断続的にフラップすることがあります。また、基盤となるトランスポートネットワークに問題 (インターネットの不安定など) が発生したり、ルーティングの変更やパスの障害によって VPN 経由の接続が中断されたりすることがあります。この機能により、断続的な接続障害の原因を正確に診断し、低レベルのトンネル設定を微調整して信頼性の高い動作を実現できます。
-
一元的な AWS Site-to-Site VPN 可視性: Site-to-Site VPN ログは、インターネットとトランスポートの両方を使用して、Site-to-Site VPN が接続されるすべての方法のトンネルアクティビティログを提供できます。仮想ゲートウェイ CloudHub、トランジットゲートウェイ、および AWS Direct Connect です。この機能により、単一の一貫した方法で、すべての Site-to-Site VPN 接続の詳細なログにアクセスして分析できます。
-
セキュリティとコンプライアンス: Site-to-Site VPN ログを Amazon CloudWatch Logs に送信して、VPN 接続のステータスとアクティビティを経時的に遡及的に分析できます。これはコンプライアンスおよび規制要件に準拠するのに役立ちます。
Amazon CloudWatch Logs リソースポリシーのサイズ制限
CloudWatch ログリソースポリシーは 5,120 文字に制限されています。 CloudWatch Logs は、ポリシーがこのサイズ制限に近づいていることを検出すると、 で始まるロググループを自動的に有効にします/aws/vendedlogs/
。ログ記録を有効にすると、Site-to-Site VPN は指定したロググループで CloudWatch Logs リソースポリシーを更新する必要があります。 CloudWatch Logs リソースポリシーのサイズ制限に達しないようにするには、ロググループ名の前に を付けます/aws/vendedlogs/
。
Logs に発行するための IAM CloudWatch 要件
ログ機能が正しく動作するためには、機能の設定に使用されている IAM プリンシパルにアタッチされた IAM ポリシーに、少なくとも以下のアクセス許可が含まれている必要があります。詳細については、「Amazon Logs ユーザーガイド」の「特定の AWS サービスからのログ記録の有効化」セクションにも記載されています。 CloudWatch
{ "Version": "2012-10-17", "Statement": [ { "Action": [ "logs:CreateLogDelivery", "logs:GetLogDelivery", "logs:UpdateLogDelivery", "logs:DeleteLogDelivery", "logs:ListLogDeliveries" ], "Resource": [ "*" ], "Effect": "Allow", "Sid": "S2SVPNLogging" }, { "Sid": "S2SVPNLoggingCWL", "Action": [ "logs:PutResourcePolicy", "logs:DescribeResourcePolicies", "logs:DescribeLogGroups" ], "Resource": [ "*" ], "Effect": "Allow" } ] }
Site-to-Site VPN ログ設定を表示する
現在のトンネルログ記録設定を表示するには
Amazon VPC コンソール (https://console.aws.amazon.com/vpc/
) を開きます。 -
ナビゲーションペインで、[Site-to-Site VPN Connections] (Site-to-Site VPN 接続) を選択します。
-
表示する VPN 接続を [VPN connections] (VPN 接続) リストから選択します。
-
[Tunnel details] (トンネルの詳細) タブを選択します。
-
[Tunnel 1 options] (トンネル 1 オプション) セクションと [Tunnel 2 options] (トンネル 2 オプション) セクションを展開して、すべてのトンネル設定詳細を表示します。
-
ログ記録機能の現在のステータスは、トンネル VPN ログ で表示でき、ロググループ で現在設定 CloudWatchされているCloudWatch ロググループ (存在する場合) を表示できます。
AWS コマンドラインまたは API を使用して Site-to-Site VPN 接続の現在のトンネルログ記録設定を表示するには
-
DescribeVpnConnections (Amazon EC2 クエリ API)
-
describe-vpn-connections
(AWS CLI)
Site-to-Site VPN ログを有効にする
注記
既存の VPN 接続トンネルで Site-to-Site VPN ログを有効にする場合、そのトンネルを介した接続が数分間中断される可能性があります。ただし、各 VPN 接続は高可用性を確保するために 2 つのトンネルを提供しているため、一度に 1 つのトンネルでログ記録を有効にし、変更していないトンネルを介して接続を維持できます。詳細については、「Site-to-Site VPN トンネルエンドポイントの置換」を参照してください。
新しい Site-to-Site VPN 接続の作成中に VPN ログ記録を有効にするには
「」の手順に従います。ステップ 5: VPN 接続を作成するステップ 9 の「トンネルオプション」では、両方のトンネルで使用するすべてのオプション (VPN ログ記録オプションを含む) を指定できます。これらのパラメータの詳細については、「Site-to-Site VPN 接続のトンネルオプション」を参照してください。
AWS コマンドラインまたは API を使用して新しい Site-to-Site VPN 接続でトンネルログ記録を有効にするには
-
CreateVpnConnection (Amazon EC2 クエリ API)
-
create-vpn-connection
(AWS CLI)
既存の Site-to-Site VPN 接続のトンネルログ記録を有効にするには
Amazon VPC コンソール (https://console.aws.amazon.com/vpc/
) を開きます。 -
ナビゲーションペインで、[Site-to-Site VPN Connections] (Site-to-Site VPN 接続) を選択します。
-
変更する VPN 接続を [VPN connections] (VPN 接続) リストから選択します。
-
[Actions] (アクション)、[Modify VPN tunnel options] (VPN トンネルオプションを変更) の順に選択します。
-
[VPN tunnel outside IP address] (IP アドレス外の VPN トンネル) リストから適切な IP アドレスを選択し、変更するトンネルを選択します。
-
[Tunnel activity log] (トンネルアクティビティログ) で、[Enable] (有効化) を選択します。
-
Amazon CloudWatch ロググループ で、 CloudWatch ログを送信する Amazon ロググループを選択します。
-
(オプション) [Output format] (出力形式) で、希望するログ出力の形式 (json またはテキスト) を選択します。
-
[Save Changes] (変更を保存) を選択します。
-
(オプション) 必要に応じて、他のトンネルに対してステップ 4〜9 を繰り返します。
AWS コマンドラインまたは API を使用して既存の Site-to-Site VPN 接続でトンネルログ記録を有効にするには
-
ModifyVpnTunnelOptions (Amazon EC2 クエリ API)
-
modify-vpn-tunnel-options
(AWS CLI)
Site-to-Site VPN ログを無効にする
Site-to-Site VPN 接続のトンネルログ記録を無効にするには
Amazon VPC コンソール (https://console.aws.amazon.com/vpc/
) を開きます。 -
ナビゲーションペインで、[Site-to-Site VPN Connections] (Site-to-Site VPN 接続) を選択します。
-
変更する VPN 接続を [VPN connections] (VPN 接続) リストから選択します。
-
[Actions] (アクション)、[Modify VPN tunnel options] (VPN トンネルオプションを変更) の順に選択します。
-
[VPN tunnel outside IP address] (IP アドレス外の VPN トンネル) リストから適切な IP アドレスを選択し、変更するトンネルを選択します。
-
[Tunnel activity log] (トンネルアクティビティログ) で、[Enable] (有効化) を選択します。
-
[Save Changes] (変更を保存) を選択します。
-
(オプション) 必要に応じて、他のトンネルに対してステップ 4〜7 を繰り返します。
AWS コマンドラインまたは API を使用して Site-to-Site VPN 接続のトンネルログ記録を無効にするには
-
ModifyVpnTunnelOptions (Amazon EC2 クエリ API)
-
modify-vpn-tunnel-options
(AWS CLI)