Ein Unternehmen verfügt über zwei Domänencontroller in einer Shared-Services-VPC, die in privaten Subnetzen platziert sind. Sie stellen eine neue Anwendung in einer neuen VPC im selben Konto auf einer Windows Server EC2-Instance bereit, die der in der Shared-Services-VPC gehosteten Domäne beitreten muss. Ein Transit Gateway ist an beide VPCs angehängt, und die Routing-Tabellen auf dem Transit Gateway und in beiden VPCs wurden aktualisiert. Sicherheitsgruppen auf den Domänencontrollern und auf der neuen Instance erlauben nur die für den Domänenverkehr erforderlichen Ports. Die Instance kann der Domäne nicht beitreten. Welche zwei Schritte helfen mit dem geringsten Betriebsaufwand, das Problem zu diagnostizieren?

Die Routenanalyse mit AWS Network Manager ist ein effektives Tool zur Überprüfung der Netzwerkkonnektivität und der Routing-Pfade über Transit Gateway hinweg. Sie kann schnell feststellen, ob Routing-Probleme vorliegen, die den Domänenbeitritt verhindern. VPC Flow Logs bieten detaillierte Informationen über den IP-Verkehr, der zu und von Netzwerkschnittstellen fließt. Durch die Überprüfung der Flow Logs in beiden VPCs kann identifiziert werden, ob Pakete verworfen werden und wo, was auf Probleme mit Sicherheitsgruppen, Netzwerk-ACLs oder Routing hindeuten könnte. Port Mirroring ist für die Diagnose dieses speziellen Problems zu komplex und erfordert eine zusätzliche EC2-Instanz. Ein Ping vom Domänencontroller zur EC2-Instanz würde nur die grundlegende ICMP-Konnektivität testen, nicht aber die spezifischen Domänenbeitrittsprotokolle. Die Deaktivierung der Routenpropagierung in der Shared-Services-VPC ist keine Diagnoseschritt und würde die Konnektivität eher verschlechtern als verbessern.