У компании есть два контроллера домена в VPC общих сервисов, расположенных в частных подсетях. Они развертывают новое приложение в новой VPC в том же аккаунте на инстансе Windows Server EC2, который должен присоединиться к домену, размещенному в VPC общих сервисов. Transit Gateway подключен к обеим VPC, и таблицы маршрутизации на Transit Gateway и в обеих VPC были обновлены. Группы безопасности на контроллерах домена и на новом инстансе разрешают только порты, необходимые для доменного трафика. Инстанс не может присоединиться к домену. Какие два шага помогут диагностировать проблему с наименьшими операционными усилиями?

Анализ маршрутов с помощью AWS Network Manager (или анализатора доступности в консоли VPC) является эффективным способом проверки сквозной связности и правильности маршрутизации между инстансом EC2 и контроллерами домена через Transit Gateway. Это позволяет быстро выявить проблемы с таблицами маршрутизации, группами безопасности или сетевыми ACL. Просмотр журналов потоков VPC (VPC Flow Logs) для обеих VPC позволяет увидеть, какие сетевые пакеты были разрешены или отклонены, и по какой причине, что помогает диагностировать проблемы с группами безопасности, сетевыми ACL или маршрутизацией на уровне подсети. Зеркалирование портов (port mirroring) требует дополнительных ресурсов и более сложно в настройке для простой диагностики связности. Пинг с контроллера домена к инстансу EC2 проверяет только одностороннюю связность и не дает полной картины. Отключение распространения маршрутов в VPC общих сервисов не является диагностическим шагом, а скорее изменением конфигурации, которое может быть причиной проблемы, но не методом её выявления.