Site-to-Site VPN 會將地端網路連接到 VPC。您在私有子網路中啟動了一個只有私有 IP 的 Windows EC2 執行個體。該執行個體的安全群組允許來自地端 CIDR 的傳入 RDP，且地端防火牆允許透過 VPN 進行 RDP，但使用者嘗試 RDP 到該執行個體時卻逾時。您應該怎麼做來排查連線問題？

正確答案是為 EC2 執行個體的 ENI 啟用 VPC Flow Logs，以尋找被拒絕或丟棄的流量。VPC Flow Logs 會記錄進出網路介面的 IP 流量，能有效找出連線逾時的原因，例如安全群組、網路 ACL 或路由表配置錯誤導致流量被拒絕或丟棄。 其他選項： 在 EC2 執行個體作業系統上啟用 CloudWatch Logs：這主要用於應用程式或系統層級的日誌，無法直接診斷網路連線問題。 為 Site-to-Site VPN 連線啟用 CloudWatch Logs：VPN 連線的日誌可以檢查 VPN 隧道的狀態，但無法提供 EC2 執行個體層級的詳細流量資訊。 告知使用者使用 EC2 Instance Connect 作為替代的存取方法：這不是解決根本問題的排查步驟，且 EC2 Instance Connect 主要用於 Linux 執行個體，不適用於 Windows RDP。