Network Intelligence Service:Utiliser Reachability Analyzer

Reachability Analyzer

Cas d'utilisation

Vous pouvez utiliser Reachability Analyzer dans les scénarios suivants :

• Connectivité entre les instances ECS de différentes régions : utilise une instance Cloud Enterprise Network (CEN), un VPC ou une instance TransitRouter pour permettre la communication interrégionale entre les instances ECS. Il peut également identifier les pare-feu aux limites du Virtual Private Cloud (VPC). Dans ce scénario, les ressources source et de destination peuvent appartenir à différents comptes Alibaba Cloud.

• Connectivité entre les instances ECS d'une même région : utilise un CEN, une connexion d'appairage de VPC ou un TR pour permettre la communication intrarégionale entre les instances ECS. Il peut également identifier les pare-feu aux limites du VPC.

• Connectivité entre une instance ECS et une adresse IP publique. Il peut également identifier les pare-feu aux limites Internet.

• Connectivité entre une adresse IP publique et une instance CLB orientée vers le réseau privé.

• Connectivité entre une instance ECS et une instance CLB orientée vers Internet.

• Une instance ECS accède à Internet via les règles SNAT d'une passerelle NAT publique.

• Une instance ECS est accessible depuis Internet via les règles DNAT d'une passerelle NAT publique.

• Connectivité entre une instance ECS et une adresse IP privée via une passerelle VPN.

• Connectivité entre une instance d'un VPC et un site local via un Virtual Border Router (VBR). Il peut également identifier les pare-feu aux limites du VPC.

Limites

Reachability Analyzer prend en charge les types de ressources suivants en tant que source ou destination :

• Ressources sources : ECS, adresse IP publique, vSwitch, VBR, passerelle VPN et adresse IP privée locale.

• Ressources de destination : ECS, adresse IP publique, vSwitch, VBR, passerelle VPN, adresse IP privée locale et Classic Load Balancer (CLB).

Le tableau suivant répertorie les quotas par défaut pour un seul compte Alibaba Cloud.

Créer un chemin

1. Connectez-vous à la console NIS.

2. Dans le volet de navigation de gauche, choisissez Self-diagnostics > Reachability Analyzer.

3. Sur la page Reachability Analyzer, cliquez sur Start Analysis.

4. Sur la page Start Analysis, configurez les paramètres suivants.

   Paramètre	Description
   Source	Sélectionnez un Source Type : ECS : sélectionnez un ID d'instance ECS. Cela spécifie l'instance ECS comme ressource source dans le chemin. Après avoir sélectionné une instance ECS, vous pouvez sélectionner une adresse IP privée de l'instance ECS. Si vous ne sélectionnez pas d'adresse IP privée de l'instance ECS, l'adresse IP principale de l'instance ECS est analysée par défaut. Public IP Address : saisissez une adresse IP publique à utiliser comme ressource source. Vous pouvez saisir une adresse IP publique statique d'une instance ECS, une EIP ou une adresse IP publique qui ne se trouve pas sur Alibaba Cloud. Vous ne pouvez pas utiliser des adresses IP publiques qui ne se trouvent pas sur Alibaba Cloud à la fois pour la source et la destination. vSwitch : sélectionnez un vSwitch à utiliser comme ressource source. VBR : sélectionnez un VBR à utiliser comme ressource source. VPN Gateway : sélectionnez une passerelle VPN à utiliser comme ressource source. On-premises Private IP : saisissez une adresse IP privée de votre réseau local à utiliser comme ressource source. Dans ce scénario, le chemin doit passer par une passerelle VPN ou un VBR. Vous devez spécifier l'adresse IP privée.
   Destination	Sélectionnez un Destination Type : ECS : sélectionnez un ID d'instance ECS. L'instance ECS sélectionnée est utilisée comme ressource de destination dans le chemin. Après avoir sélectionné une instance ECS, vous pouvez sélectionner une adresse IP privée de l'instance ECS. Si vous ne sélectionnez pas d'adresse IP privée pour l'instance ECS, l'adresse IP principale de l'instance ECS est analysée par défaut. Public IP Address : saisissez une adresse IP publique à utiliser comme ressource de destination. Vous pouvez saisir une adresse IP publique statique d'une instance ECS, une EIP ou une adresse IP publique qui ne se trouve pas sur Alibaba Cloud. Vous ne pouvez pas utiliser des adresses IP publiques qui ne se trouvent pas sur Alibaba Cloud à la fois pour la source et la destination. vSwitch : sélectionnez un vSwitch à utiliser comme ressource de destination. VBR : sélectionnez un VBR à utiliser comme ressource de destination. VPN Gateway : sélectionnez une passerelle VPN à utiliser comme ressource de destination. On-premises Private IP : saisissez une adresse IP privée de votre réseau local à utiliser comme ressource de destination. Dans ce scénario, le chemin doit passer par une passerelle VPN ou un VBR. Vous devez spécifier l'adresse IP privée. Classic Load Balancer : sélectionnez une instance CLB à utiliser comme ressource de destination.
   Protocol	Le protocole par défaut est TCP. Vous pouvez sélectionner l'un des protocoles suivants : TCP : Transmission Control Protocol. UDP : User Datagram Protocol. ICMP : Internet Control Message Protocol.
   Destination Port	Saisissez le numéro de port de la ressource de destination. Le port par défaut est 80. Ce paramètre est facultatif. Si vous le laissez vide, l'analyse vérifie la connectivité vers tous les ports de la ressource de destination.

5. Indiquez si vous souhaitez enregistrer le chemin. La valeur par défaut est No. Si vous sélectionnez Yes, les paramètres du chemin sont enregistrés pour les analyses futures.

6. Cliquez sur Start Analysis.

Analyser un chemin

1. Sur la page Reachability Analyzer, recherchez le chemin que vous souhaitez analyser et cliquez sur Start Analysis dans la colonne Actions.

2. Dans la boîte de dialogue qui s'affiche, cliquez sur OK.

3. Sur la page Path Analysis Details, consultez le résultat de l'analyse.

   • Si le chemin est accessible ou inaccessible, le résultat affiche l'état de la connectivité et tous les nœuds le long du chemin de la source à la destination. Si le chemin est inaccessible, un message d'erreur s'affiche également.

   • Si l'état du chemin est inconnu, un message d'erreur s'affiche.

Analyse des résultats

Une analyse de chemin peut produire les résultats suivants.

• Accessible

  La figure suivante montre le résultat d'une analyse de chemin d'une instance ECS d'un VPC vers un vSwitch d'un autre VPC via une connexion d'appairage de VPC. La figure indique que le chemin entre l'instance ECS source et le vSwitch de destination est connecté, que la connectivité réseau entre les deux VPC est normale et que la destination est accessible.

  Cliquez sur l'icône à côté de chaque nœud du chemin pour afficher ses détails.

• Inaccessible

  La figure suivante montre le résultat de l'analyse d'un chemin d'une instance ECS d'un VPC vers une passerelle NAT. Le message d'erreur est The Internet NAT gateway entry does not match. Check the NAT gateway configuration. Dans ce cas, le chemin entre l'instance ECS source et la passerelle NAT de destination est inaccessible.

  Cliquez sur l'icône à côté d'un nœud anormal pour afficher ses détails.

• Inconnu

  La figure suivante montre un résultat d'analyse inconnu avec le message d'erreur The specified resource does not exist. Check whether the resource is already deleted.

  La liste suivante décrit les messages d'erreur possibles pour un résultat d'analyse inconnu :

  • Les ressources source et de destination ne peuvent pas être identiques.

  • Le chemin contient un nœud intermédiaire non pris en charge. L'analyse de chemin n'est pas prise en charge.

  • La ressource n'existe pas. Vérifiez si la ressource a été supprimée.

  • La ressource est dans un état anormal. Vérifiez si la ressource fonctionne correctement.

  • La route est inaccessible. Vérifiez votre configuration de routage.

  • Aucune règle de groupe de sécurité correspondante n'a été trouvée. La demande a été refusée par la règle par défaut.

  • Correspondance avec une règle de rejet de groupe de sécurité.

  • Aucune règle de liste de contrôle d'accès réseau (ACL) correspondante n'a été trouvée. La demande a été refusée par la règle par défaut.

  • Correspondance avec une règle de rejet de liste de contrôle d'accès réseau (ACL).

  • Une erreur inconnue s'est produite. Veuillez réessayer ultérieurement.

  • Une erreur de service interne s'est produite. Veuillez réessayer ultérieurement.

  • Correspondance avec une règle de rejet de liste de blocage CLB spécifiée par l'utilisateur.

  • Le trafic a été rejeté par défaut car il ne correspondait à aucune règle de liste d'autorisation CLB.

  • Aucune entrée SNAT ou DNAT correspondante n'a été trouvée. Vérifiez la configuration de votre passerelle NAT.

  • Impossible de se connecter à Internet. Associez une adresse IP élastique.

  • La route de la passerelle IPv4 est inaccessible. Ajoutez une route pointant vers la passerelle IPv4 dans la table de routage du VPC.

  • La passerelle IPv4 a été supprimée après activation, provoquant un échec de connexion Internet. Recréez et activez la passerelle IPv4, puis ajoutez une route pointant vers celle-ci dans la table de routage du VPC.

  • La route est inaccessible. Vérifiez la configuration de la route de la passerelle IPv4.

  • Il manque une route de retour vers l'adresse IP source sur la passerelle VPN.

Supprimer une analyse historique

Vous pouvez supprimer les enregistrements d'analyse historiques dont vous n'avez plus besoin.

1. Sur la page Reachability Analyzer, recherchez le chemin dont vous souhaitez supprimer l'enregistrement d'analyse historique et cliquez sur son ID dans la colonne Path ID.

2. Sur la page des détails de l'analyse du chemin, dans la section Historical Analysis, recherchez l'enregistrement que vous souhaitez supprimer et cliquez sur Delete dans la colonne Actions.

3. Dans la boîte de dialogue qui s'affiche, cliquez sur OK.

Supprimer un chemin

Si vous n'avez plus besoin d'un chemin, vous pouvez le supprimer.

1. Sur la page Reachability Analyzer, supprimez le chemin cible.

   • Pour supprimer un seul chemin : recherchez le chemin que vous souhaitez supprimer et cliquez sur Delete dans la colonne Actions.

   • Pour supprimer plusieurs chemins : cochez les cases des chemins que vous souhaitez supprimer et cliquez sur Delete sous la liste.

2. Dans la boîte de dialogue qui s'affiche, cliquez sur OK.

Configurer des tags

Reachability Analyzer prend en charge les tags. Vous pouvez utiliser les tags pour marquer et catégoriser les instances d'analyse de chemin afin de simplifier la recherche et l'agrégation.

• Ajouter des tags par lot

1. Sur la page Reachability Analyzer, sélectionnez les chemins cibles et cliquez sur Add Tag > Batch Add Tags sous la liste.

2. Dans la boîte de dialogue Edit Tag, configurez la Tag Key et la Tag Value, puis cliquez sur OK.

• Supprimer des tags par lot

1. Sur la page Reachability Analyzer, sélectionnez les chemins cibles et cliquez sur Add Tag > Batch Delete Tags sous la liste.

2. Dans la boîte de dialogue qui s'affiche, cliquez sur OK. Pour plus d'informations sur les tags, consultez Qu'est-ce qu'un tag ?.

Autres opérations

FAQ

Pourquoi le message « The path contains an unsupported intermediate node. Path analysis is not supported. » s'affiche-t-il ?

Ce message d'erreur s'affiche si le chemin déterminé par les ressources source et de destination spécifiées n'est pas pris en charge par la version actuelle de NIS.

Pourquoi le message « Matched a security group drop rule. » s'affiche-t-il ?

Par exemple, vous configurez le groupe de sécurité d'une instance ECS dans le VPC 2 pour autoriser l'accès uniquement depuis les instances ECS situées dans le bloc CIDR du vSwitch 1 du VPC 1, et refuser l'accès depuis les instances ECS situées dans les blocs CIDR des autres vSwitches du VPC 1. Lorsque vous utilisez Reachability Analyzer et que vous sélectionnez ECS 1 dans le vSwitch 2 du VPC 1 comme source et une instance ECS du VPC 2 comme destination, vous constatez que la connexion est bloquée par le groupe de sécurité sur l'ENI de l'instance ECS de destination, et le message d'erreur « matches a security group drop rule » s'affiche. Vous pouvez modifier la règle de groupe de sécurité pour résoudre ce problème.

Pourquoi le message « The route is unreachable. Check your route configuration. » s'affiche-t-il ?

Par exemple, lorsque vous utilisez une connexion d'appairage de VPC pour la communication interrégionale, vous devez configurer des entrées de routage vers le bloc CIDR de destination dans les routeurs VPC des deux régions. Par exemple, si le VPC 1 se trouve dans la région 1 et le VPC 2 dans la région 2, et que vous ne configurez pas de route du VPC 1 vers le VPC 2, les instances ECS des deux VPC ne peuvent pas communiquer entre elles. En utilisant Reachability Analyzer, si vous spécifiez ECS 1 dans le VPC 1 comme source et ECS 2 dans le VPC 2 comme destination, vous verrez que le chemin est bloqué au niveau du routeur du VPC 1, affichant le message « The route is unreachable. Please check the route configuration. »

Opérations API associées

CreateNetworkPath : crée un chemin d'analyse réseau.

CreateNetworkReachableAnalysis : crée une tâche d'analyse de reachabilité réseau.

CreateAndAnalyzeNetworkPath : crée et exécute une analyse de reachabilité réseau.

GetNetworkReachableAnalysis : récupère le résultat d'une tâche d'analyse de reachabilité réseau.

DeleteNetworkPath : supprime un chemin d'analyse réseau.

DeleteNetworkReachableAnalysis : supprime une tâche d'analyse de reachabilité réseau.