Een bedrijf heeft twee domeincontrollers in een shared-services VPC, geplaatst in private subnets. Ze implementeren een nieuwe applicatie op een nieuwe VPC in hetzelfde account op een Windows Server EC2-instantie die lid moet worden van het domein dat wordt gehost in de shared-services VPC. Een Transit Gateway is gekoppeld aan beide VPC's en routetabellen op de Transit Gateway en in beide VPC's zijn bijgewerkt. Beveiligingsgroepen op de domeincontrollers en op de nieuwe instantie staan alleen de poorten toe die nodig zijn voor domeinverkeer. De instantie kan geen lid worden van het domein. Welke twee stappen helpen het probleem met de minste operationele inspanning te diagnosticeren?

AWS Network Manager's routeanalyse is een krachtig hulpmiddel om connectiviteitsproblemen binnen een Transit Gateway-netwerk te diagnosticeren. Door de EC2-instantie als bron en de domeincontrollers als bestemmingen te specificeren, kan het precies laten zien waar de route onderbroken is of waarom verkeer niet aankomt, inclusief beveiligingsgroep- of NACL-problemen. Dit is efficiënter dan handmatige controles. VPC Flow Logs bieden gedetailleerde informatie over geaccepteerd en geweigerd IP-verkeer van en naar netwerkinterfaces in de VPC's. Door deze logs te controleren voor zowel de shared-services VPC als de nieuwe VPC, kan men zien of het verkeer de domeincontrollers bereikt en of het wordt geweigerd door beveiligingsgroepen, NACL's of andere netwerkconfiguraties. Port mirroring is complexer om op te zetten en te analyseren, en biedt mogelijk niet direct inzicht in routingproblemen. Een ping vanaf de domeincontroller naar de EC2-instantie test slechts één richting en kan misleidend zijn als er asymmetrische routingproblemen zijn. Controleren of route propagation is uitgeschakeld op de shared-services VPC is onwaarschijnlijk de oorzaak, aangezien de vraag stelt dat routetabellen zijn bijgewerkt.