ANSネットワーク管理と運用

ある企業はTransit Gatewayを介してVPC-AとVPC-Bを接続しています。VPC-A内のEC2インスタンスからVPC-Bに配置されたAmazon RDSへのSQL接続が断続的にタイムアウトします。VPC Flow Logsのデフォルトフォーマットでは両方向の通信がACCEPTEDと記録されており、Security GroupとNACLはネットワークエンジニアが検証済みです。この断続的な問題の根本原因を特定するために最も効果的な次のアクションはどれですか。

A
VPC Flow LogsのACCEPTEDレコードをRDSサブネット向けに絞り込み、NACLによる戻りトラフィックブロックの見落としを再確認する
VPC Flow LogsのデフォルトフォーマットはACCEPT/REJECTのみ記録し、すでにACCEPTEDと確認済みの情報を再分析しても断続的タイムアウトの根本原因は特定できない。
B
VPC Flow Logsのカスタムフォーマットにtcp-flagsフィールドを追加し、RSTパケットによるセッション強制切断と再送タイムアウトの有無を確認する
✓ 正解
VPC Flow Logsのtcp-flagsフィールドはSYN・RST・FINを記録しており、ACCEPTEDでも発生するセッション強制切断の原因を効率的に把握できる。
C
VPC Reachability Analyzerでソースインスタンスから宛先RDSインスタンスへのパスを分析し、Transit Gatewayのルートテーブル設定ミスを特定する
VPC Reachability Analyzerはルートテーブル・SG・NACLの静的設定を検証するツールであり、動的に発生する断続的タイムアウトの根本原因特定には対応していない。
D
VPC Traffic MirroringをソースEC2インスタンスのENIに設定してNetwork Load Balancerをトラフィックターゲットとし、完全なTCPセグメントシーケンスをパケットレベルで解析する
VPC Traffic Mirroringはパケット詳細解析が可能だが、断続的タイムアウトにはtcp-flagsログで十分診断でき、Mirroringの設定コストとオーバーヘッドが過剰になる。

解説

VPC Flow Logsの拡張フィールドtcp-flagsはSYN・RST・FINを記録し、接続がACCEPTEDであっても発生するセッション強制切断をピンポイントで特定できる最も効率的なアプローチ。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
ANS の問題一覧に戻る