Site-to-Site VPN 将本地网络连接到 VPC。您在私有子网中启动了一个只有私有 IP 的 Windows EC2 实例。该实例的安全组允许来自本地 CIDR 的入站 RDP，并且本地防火墙允许通过 VPN 进行 RDP，但用户尝试 RDP 到该实例时会超时。您应该如何排查连接问题？

正确答案是为 EC2 实例的 ENI 启用 VPC Flow Logs，以查找被拒绝或丢弃的流量。VPC Flow Logs 捕获有关进出 VPC 中的网络接口的 IP 流量的信息。通过分析 Flow Logs，您可以确定流量是否到达了 EC2 实例的网络接口，以及它是否被安全组、网络 ACL 或路由表拒绝或丢弃。这对于诊断连接超时问题非常有效。 其他选项不正确： 在 EC2 实例操作系统上启用 CloudWatch Logs 无法直接显示网络层面的流量拒绝或丢弃，它主要用于应用程序和系统日志。 为 Site-to-Site VPN 连接启用 CloudWatch Logs 可以帮助诊断 VPN 本身的问题，但无法直接显示流量在 VPC 内部被拒绝的原因。 告知用户使用 EC2 Instance Connect 是一种替代访问方法，但它不能解决根本的 RDP 连接问题，也不是排查故障的方法。