すべてのプロダクト
Search

このプロダクト

    Network Intelligence Service:到達可能性アナライザーの使用

    ドキュメントセンター

    Network Intelligence Service:到達可能性アナライザーの使用

    最終更新日:Aug 21, 2026

    Reachability Analyzer は、ECS インスタンス間の接続、ECS インスタンスとパブリックまたは ECS との接続、およびクラウドベースの VPC とオンプレミスサイトとの接続など、さまざまなユースケースに対応する設定分析ツールです。送信元と宛先リソース間の接続性を判断し、ネットワークの誤設定に起因する接続の問題を診断します。

    到達可能性アナライザー

    仕組み

    分析を実行すると、Network Intelligence Service (NIS) は、送信元リソースと宛先リソース間の仮想ネットワークパスについて、ホップバイホップの詳細を生成します。宛先が到達不能な場合、このツールはブロックしているコンポーネントとその理由を特定します。Reachability Analyzer は、主にインスタンスのステータス、およびセキュリティグループ、ネットワーク ACL、ルートテーブル、ロードバランサーなどのネットワーク設定をチェックします。

    到達可能性アナライザーは、パケットを送信したり、データプレーンを分析したりしません。 送信元から宛先へのトラフィックパスを指定するだけで済みます。 たとえば、Alibaba Cloud アカウント内の Elastic Compute Service (ECS) インスタンスを送信元として、別の ECS インスタンスを宛先として指定し、プロトコルを TCP に、宛先ポートを 22 に設定することができます。 これにより、到達可能性アナライザーは、送信元の ECS インスタンスが SSH 経由で宛先の ECS インスタンスに接続できるかどうかを検証できます。

    説明

    分析は一方向です。リターンパスを分析するには、ソースリソースと宛先リソースを入れ替えて新しい分析を実行してください。

    サポートされる中間ノード

    到達可能性アナライザーは、vSwitch、仮想ルーター、Elastic Network Interface (ENI)、EIP、CLB、TR、VBR、パブリック NAT ゲートウェイ、Cloud Firewall、VPN Gateway、IPv4 ゲートウェイ、ECR の中間ノードをサポートしています。

    ユースケース

    到達可能性アナライザーは次のシナリオで使用できます。

    • 異なるリージョン間の ECS インスタンスの接続: Cloud Enterprise Network (CEN) インスタンス、VPC、または TransitRouter インスタンスを使用して、ECS インスタンス間のリージョン間通信を可能にします。また、Virtual Private Cloud (VPC) 境界ファイアウォールを識別することもできます。このシナリオでは、送信元リソースと宛先リソースは、異なる Alibaba Cloud アカウントに属することができます。

    • 同一リージョン内の ECS インスタンス間の接続性：CEN、VPC ピアリング接続、または TR を使用して、ECS インスタンス間のリージョン内通信を有効にします。また、VPC 境界ファイアウォールを識別することもできます。

    • ECS インスタンスとパブリック IP アドレス間の接続性。また、インターネット境界ファイアウォールを識別することもできます。

    • パブリック IP アドレスとプライベート向け CLB インスタンス間の接続性。

    • ECS インスタンスとインターネット向け CLB インスタンスとの接続。

    • ECS インスタンスは、パブリック NAT ゲートウェイの SNAT ルールを介してインターネットにアクセスします。

    • パブリック NAT ゲートウェイの DNAT ルールを介した、インターネットからの ECS インスタンスへのアクセス。

    • VPN ゲートウェイを介したECS インスタンスとプライベート IP アドレス間の接続。

    • 仮想ボーダールーター (VBR) を介した VPC 内のインスタンスとオンプレミスサイト間の接続。 また、VPC 境界ファイアウォールを識別することもできます。

    制限事項

    到達可能性アナライザーは、ソースまたは宛先として次のリソースタイプをサポートします。

    • ソースリソース: ECS、パブリック IP アドレス、vSwitch、VBR、VPN ゲートウェイ、およびオンプレミスのプライベート IP アドレス。

    • 宛先リソース: ECS、パブリック IP アドレス、vSwitch、VBR、VPN ゲートウェイ、オンプレミスのプライベート IP アドレス、および クラシックロードバランサー (CLB)。

    重要

    送信元と宛先の両方にパブリック IP アドレスを選択する場合は、少なくとも一方が ECS インスタンスのパブリック IP アドレスにマッピングされていることを確認してください。そうでない場合、分析は失敗します。

    次の表に、単一の Alibaba Cloud アカウントにおけるデフォルトのクォータを示します。

    リソース

    デフォルトのクォータ

    クォータの引き上げ

    パスの最大数

    100

    引き上げ不可

    履歴分析レコードの最大数

    1,000

    同時分析

    5

    パスの作成

    1. にログインします。NISコンソール.

    2. 左側のナビゲーションウィンドウで、自己診断 > パス解析.

    3. パス解析 ページで、分析の実行 をクリックします。

    4. 分析の実行 ページで、次のパラメータを設定します。

      パラメーター

      説明

      [ソース]

      [ソースタイプ]を選択します。

      • ECS: ECS インスタンス ID を選択します。これにより、パスのソースリソースとして ECS インスタンスが指定されます。ECS インスタンスを選択した後、対象の ECS インスタンスのプライベート IP アドレスを選択できます。ECS インスタンスのプライベート IP アドレスを選択しない場合、デフォルトでその ECS インスタンスのプライマリ IP アドレスが分析されます。

      • パブリック IP：ソースリソースとして使用するパブリック IP アドレスを入力します。

        ECS インスタンスの静的パブリック IP アドレス、EIP、または Alibaba Cloud 以外のパブリック IP アドレスを入力できます。Alibaba Cloud 以外のパブリック IP アドレスを送信元と宛先の両方に使用することはできません。

      • vSwitch：ソースリソースとして使用する vSwitch を選択します。

      • ボーダールーター：ソースリソースとして使用する VBR を選択します。

      • VPN：ソースリソースとして使用する VPN Gateway を選択します。

      • [On-premises Private IP]：ソースリソースとして使用するオンプレミスネットワーク内のプライベート IP アドレスを入力します。このシナリオでは、パスは VPN Gateway または VBR を経由する必要があります。プライベート IP アドレスを指定する必要があります。

      [宛先]

      [送信先タイプ]を選択します。

      • ECS: ECS インスタンス ID を選択します。 選択した ECS インスタンスは、パスの宛先リソースとして使用されます。 ECS インスタンスを選択すると、その ECS インスタンスのプライベート IP アドレスを選択できます。 ECS インスタンスのプライベート IP アドレスを選択しない場合、その ECS インスタンスのプライマリ IP アドレスがデフォルトで分析されます。

      • パブリック IP：宛先リソースとして使用するパブリック IP アドレスを入力します。

        ECS インスタンスの静的パブリック IP アドレス、EIP、または Alibaba Cloud 以外のパブリック IP アドレスを入力できます。Alibaba Cloud 以外のパブリック IP アドレスを送信元と宛先の両方に使用することはできません。

      • vSwitch：宛先リソースとして使用する vSwitch を選択します。

      • ボーダールーター：宛先リソースとして使用する VBR を選択します。

      • VPN：宛先リソースとして使用する VPN Gateway を選択します。

      • [On-premises Private IP]：宛先リソースとして使用するオンプレミスネットワーク内のプライベート IP アドレスを入力します。このシナリオでは、パスは VPN Gateway または VBR を経由する必要があります。プライベート IP アドレスを指定する必要があります。

      • クラシックロードバランサー: 宛先リソースとして使用する CLB インスタンスを選択します。

      [プロトコル]

      デフォルトのプロトコルは[TCP] です。次のいずれかのプロトコルを選択できます。

      • [TCP]：Transmission Control Protocol。

      • [UDP]：User Datagram Protocol。

      • [ICMP]：Internet Control Message Protocol。

      [宛先ポート]

      宛先リソースのポート番号を入力します。デフォルトのポートは 80 です。このパラメーターはオプションです。未入力の場合、分析では宛先リソースのすべてのポートへの接続性が確認されます。

    5. パスを保存するかどうかを選択します。デフォルトは いいえ です。はい を選択すると、パスパラメーターが次回以降の分析のために保存されます。

    6. 分析の実行 をクリックします。

    パスの分析

    1. パス解析 ページで、分析するパスを見つけ、操作 列の 分析の実行 をクリックします。

    2. 表示されるダイアログボックスで、送信 をクリックします。

    3. [Path Analysis Details] ページで、分析結果を確認します。

      • パスが到達可能または到達不能の場合、結果には接続ステータスと、ソースから宛先までのパス上のすべてのノードが表示されます。パスが到達不能の場合、エラーメッセージも表示されます。

      • パスのステータスが不明の場合、エラーメッセージが表示されます。

    結果の分析

    パス分析の結果は次のようになります。

    • 到達可能

      次の図は、ある ECS インスタンスから、VPC ピアリング接続を介して別の VPC 内の vSwitch までのパス分析の結果を示します。 この図は、送信元の ECS インスタンスと宛先の vSwitch 間のパスが接続され、2 つの VPC 間のネットワーク接続が正常であり、宛先が到達可能であることを示しています。到達可能

      パス内の各ノードの横にある下拉箭头アイコンをクリックして、その詳細を表示します。image.png

    • 到達不能

      次の図は、VPC 内の ECS インスタンスから NAT ゲートウェイへのパスの分析結果を示しています。エラーメッセージは nra_pub_nat_rule_missmatch です。この場合、送信元の ECS インスタンスと宛先の NAT ゲートウェイ間のパスは到達不能です。不可访问

      異常なノードの横にある下拉箭头アイコンをクリックして、その詳細を表示します。

    • 不明

      次の図は、「[リソースが存在しません。削除されたかどうかを確認してください。]」というエラーメッセージが表示された、不明な分析結果の例を示しています。

      未知不明な分析結果の場合、以下のようなエラーメッセージが表示されることがあります。

      • The source and destination resources cannot be the same.

      • The path contains an unsupported intermediate node. Path analysis is not supported.

      • The resource does not exist. Check whether the resource has been deleted.

      • The resource is in an abnormal state. Check whether the resource is running correctly.

      • The route is unreachable. Check your route configuration.

      • No matching security group rule was found. The request was denied by the default rule.

      • Matched a security group drop rule.

      • 一致するネットワーク ACL ルールが見つかりませんでした。リクエストはデフォルト ルールによって拒否されました。

      • ネットワーク ACL ドロップ ルールに一致しました。

      • An unknown error occurred. Please try again later.

      • An internal service error occurred. Please try again later.

      • ユーザー指定の CLB ブラックリストドロップルールに一致しました。

      • トラフィックは、いずれの CLB ホワイトリストルールにも一致しなかったため、デフォルトで破棄されました。

      • No matching SNAT or DNAT entry is found. Check your NAT gateway configuration.

      • Cannot connect to the internet. Associate an Elastic IP address.

      • IPv4 ゲートウェイルートは到達不能です。VPC ルートテーブルに、IPv4 ゲートウェイを指すルートを追加してください。

      • 有効化後に IPv4 ゲートウェイが削除されてインターネット接続に失敗したため、IPv4 ゲートウェイを再作成して有効化し、VPC ルートテーブルにそれを指すルートを追加します。

      • ルートは到達不能です。IPv4 ゲートウェイ ルート設定を確認してください。

      • VPN Gateway には、ソース IP アドレスへのリターンルートがありません。

    履歴分析の削除

    不要な履歴分析レコードを削除できます。

    1. パス解析 ページで、履歴分析レコードを削除するパスを見つけ、パス ID 列でその ID をクリックします。

    2. パス分析の詳細ページの 過去の分析 セクションで、削除するレコードを見つけ、操作 列の 削除 をクリックします。

    3. 表示されるダイアログボックスで、送信 をクリックします。

    パスの削除

    パスが不要になった場合は、削除できます。

    1. パス解析 ページで、対象のパスを削除します。

      • 単一のパスを削除する場合：削除するパスを見つけ、操作 列の 削除 をクリックします。

      • 複数のパスを削除する場合：削除するパスのチェックボックスを選択し、リストの下にある バッチ削除 をクリックします。

    2. 表示されるダイアログボックスで、送信 をクリックします。

    タグの設定

    到達可能性アナライザーはタグをサポートしています。タグを使用してパス分析インスタンスのマーク付けや分類を行い、検索や集約を容易にできます。

    • タグの一括追加

    1. パス解析 ページで、対象のパスを選択し、リストの下にあるタグの設定 > タグのバッチ追加 をクリックします。

    2. タグの編集 ダイアログボックスで、タグキー と タグ値 を設定し、送信 をクリックします。

    • タグの一括削除

    1. パス解析 ページで、対象のパスを選択し、リストの下にあるタグの設定 > タグのバッチ削除 をクリックします。

    2. 表示されるダイアログボックスで、送信 をクリックします。タグの詳細については、「タグとは」をご参照ください。

    その他の操作

    操作

    手順

    履歴分析レコードの表示

    パス分析の詳細ページの 過去の分析 セクションで、過去の分析結果を表示できます。

    パス分析の再実行

    パス分析の詳細ページで、右上隅の 分析の実行 をクリックします。

    新しい分析レコードが 過去の分析 リストに表示されます。分析時間 で結果を区別できます。

    よくある質問

    「The path contains an unsupported intermediate node. Path analysis is not supported.」というメッセージが表示されるのはなぜですか？

    指定された送信元および宛先リソースによって決定されるパスが NIS の現在のバージョンでサポートされていない場合、このエラーメッセージが表示されます。

    「Matched a security group drop rule.」というメッセージが表示されるのはなぜですか？

    例えば、VPC2 内の ECS インスタンスのセキュリティグループを設定して、VPC1 内の vSwitch 1 の CIDR ブロックの ECS インスタンスからのアクセスのみを許可し、VPC1 内の他の vSwitch の CIDR ブロックの ECS インスタンスからのアクセスは拒否します。 到達可能性アナライザーを使用し、送信元として VPC1 の vSwitch 2 内の ECS1 を、宛先として VPC2 内の ECS インスタンスを選択すると、宛先 ECS インスタンスの ENI のセキュリティグループによって接続がブロックされ、「セキュリティグループのドロップルールに一致」というエラーメッセージが表示されることを確認できます。 セキュリティグループのルールを変更することで、この問題を解決できます。

    「The route is unreachable. Check your route configuration.」というメッセージが表示されるのはなぜですか？

    たとえば、VPC ピアリング接続を使用してリージョン間通信を行う場合、両方のリージョンの VPC ルーターで、宛先 CIDR ブロックへのルートエントリを設定する必要があります。たとえば、VPC1 がリージョン 1 に、VPC2 がリージョン 2 にあり、VPC1 から VPC2 へのルートを設定しない場合、2 つの VPC 内の ECS インスタンスは相互に通信できません。Reachability Analyzer を使用して、送信元として VPC1 内の ECS1 を、宛先として VPC2 内の ECS2 を指定すると、パスが VPC1 のルーターでブロックされていることがわかり、「ルートは到達不能です。ルート設定を確認してください。」というメッセージが表示されます。

    関連 API

    CreateNetworkPath：ネットワーク分析パスを作成します。

    CreateNetworkReachableAnalysis：ネットワーク到達可能性分析タスクを作成します。

    CreateAndAnalyzeNetworkPath：ネットワーク到達可能性分析を作成して実行します。

    GetNetworkReachableAnalysis：ネットワーク到達可能性分析タスクの結果を取得します。

    DeleteNetworkPath：ネットワーク分析パスを削除します。

    DeleteNetworkReachableAnalysis：ネットワーク到達可能性分析タスクを削除します。