企业在将本地服务器与 AWS 云环境（尤其是使用 CloudFormation 部署的 AWS 资源）联合部署时，可能会遇到 VPC Peering 连接的问题。VPC Peering 使得不同 VPC 之间能够实现私有的 IP 通信，但在实现该连接时，可能会遇到诸如权限设置不当、路由表配置不一致等问题，导致通信失败。本文将通过故障排查的步骤，分析并解决在香港本地服务器与 AWS CloudFormation 联合部署时出现的 VPC Peering 权限与路由表同步冲突问题。
我们在实施CloudFormation部署时，试图将本地服务器与 AWS 上的某个 VPC 进行 VPC Peering，最终部署失败，出现了无法建立有效的连接的问题。故障分析的重点集中在以下几个方面：
VPC Peering 权限设置错误：可能导致 VPC Peering 连接没有正确创建或没有足够的权限进行数据传输。
路由表同步问题：VPC Peering 成功建立后，两个 VPC 之间的路由表需要同步更新。如果没有正确配置路由表，可能会导致流量无法通过 Peering 连接正常路由。
故障现象
- 本地服务器无法访问 AWS VPC 中的资源，尽管 VPC Peering 连接已建立。
- CloudFormation 部署模板显示 VPC Peering 连接创建成功，但后续部署失败，提示权限或路由表问题。
- 云端与本地网络间的路由表未同步更新，导致无法通过 VPC Peering 路由数据。
故障排查步骤
1. 核查VPC Peering权限
在 AWS 中，VPC Peering 是两个 VPC 之间建立的一种私有连接，允许它们相互通信。对于 VPC Peering，创建连接和通信的权限需要正确设置。以下是需要核查的关键步骤：
步骤 1.1：检查 VPC Peering 连接是否成功
首先，确认 VPC Peering 连接是否确实已经建立成功。可以通过 AWS 控制台或 AWS CLI 进行查看：
aws ec2 describe-vpc-peering-connections --vpc-peering-connection-ids <vpc-peering-id>
如果连接状态显示为 active，则表明连接已经建立；如果是 pending-acceptance，则说明对方 VPC 还未接受连接请求，需要手动接受。
步骤 1.2：检查 VPC Peering 的授权
VPC Peering 需要确保双方 VPC 都具有授权设置，允许相互通信。在 AWS 中，每个 VPC Peering 连接都有相关的 Requester 和 Accepter 权限。如果本地 VPC 的配置不允许流量通过 Peering 连接，可能会导致连接失败。
确保在创建 VPC Peering 时已经在双方 VPC 中配置了对等的授权。例如，在创建 Peering 连接时，确保双方 VPC 的路由表允许流量通过对等连接。需要确保以下两个设置：
- VPC Peering 请求者的权限：请求者 VPC 必须允许向对等连接的 VPC 发送流量。
- VPC Peering 接受者的权限：接受者 VPC 必须允许向请求者 VPC 发送流量。
- 这些权限设置可以在 AWS 控制台中的 VPC Peering 连接设置中进行确认。
步骤 1.3：确认安全组和网络ACL
除了 VPC Peering 设置外，还需要确认双方 VPC 中相关资源（如 EC2 实例）所使用的安全组和网络ACL（Network ACL）。这些网络安全策略可能会限制来自对等连接的流量，导致通信失败。
检查相关安全组和网络ACL是否正确配置，以允许来自对等连接的流量：
aws ec2 describe-security-groups --group-ids <group-id>
aws ec2 describe-network-acls --network-acl-id <acl-id>
2. 路由表配置核查
VPC Peering 连接建立成功后，两个 VPC 的路由表需要正确配置才能实现流量转发。如果路由表配置不当，可能会导致流量无法通过 VPC Peering 连接传输。
步骤 2.1：核查本地 VPC 路由表
在 VPC Peering 成功建立后，本地 VPC 中的路由表需要更新，指向远程 VPC。检查路由表是否包含指向远程 VPC 的路由：
打开 AWS 控制台，选择 VPC，并找到对应的路由表。
确保路由表中存在一条指向远程 VPC CIDR 块的路由。
例如，假设本地 VPC 的 CIDR 块为 10.0.0.0/16，远程 VPC 的 CIDR 块为 192.168.0.0/16，则应确保本地 VPC 的路由表中有如下路由：
通过 AWS CLI 可以查询和修改路由表：
aws ec2 describe-route-tables --route-table-ids <route-table-id>
步骤 2.2：核查远程 VPC 路由表
同样，远程 VPC 的路由表也需要进行相应的配置，以便将流量正确地返回给本地 VPC。确保远程 VPC 的路由表中有指向本地 VPC CIDR 块的路由。
3. VPC Peering 路由表同步配置
VPC Peering 的路由表同步设置是非常重要的一步，因为如果路由表没有正确同步，流量将无法通过 Peering 连接。AWS 提供了一个功能，允许用户在创建 VPC Peering 时选择是否启用路由表同步。
步骤 3.1：启用路由表同步
在 VPC Peering 连接创建时，可以选择启用“路由表同步”选项，使得连接的两个 VPC 的路由表自动同步更新。确保该选项在创建时被启用。
如果没有启用自动同步，则需要手动更新两个 VPC 的路由表。通过以下命令可以手动添加路由表条目：
aws ec2 create-route --route-table-id <route-table-id> --destination-cidr-block <remote-vpc-cidr> --vpc-peering-connection-id <vpc-peering-id>
步骤 3.2：检查同步配置
可以通过 AWS 控制台或 CLI 检查路由表同步状态。如果路由表没有同步，可以手动更新路由表条目，确保数据能够正确转发。
4. CloudFormation 模板验证
如果问题发生在使用 CloudFormation 部署过程中，可能与模板配置有关。CloudFormation 部署过程中的问题，通常与 VPC Peering 连接资源的配置、权限设置或路由表更新步骤不一致相关。
步骤 4.1：检查 CloudFormation 模板中的 VPC Peering 配置
确保 CloudFormation 模板中对 VPC Peering 连接的定义是正确的，特别是在资源的权限和路由表配置上。以下是一个简单的 VPC Peering 配置示例：
Resources:
MyVPCPeering:
Type: AWS::EC2::VPCPeeringConnection
Properties:
PeerVpcId: !Ref RemoteVPCId
VpcId: !Ref LocalVPCId
PeerRegion: 'ap-east-1'
步骤 4.2：查看 CloudFormation 部署日志
查看 CloudFormation 部署过程中的日志和错误信息，以获取关于 VPC Peering 连接创建失败的详细信息。如果有权限或路由表配置问题，日志中通常会提供详细的错误说明。
我们可以确认香港本地服务器与 AWS CloudFormation 联合部署时，VPC Peering 连接失败的常见原因主要集中在权限设置和路由表同步配置上。关键点在于：
- 确保 VPC Peering 连接已建立，并且双方 VPC 授权允许流量互通。
- 核查双方 VPC 的路由表是否正确配置，确保流量能够正确路由。
- 在 CloudFormation 模板中正确配置 VPC Peering 资源，并关注日志输出中的错误提示。
通过逐步排查，解决这些配置问题后，本地服务器与 AWS 云环境之间的VPC Peering连接应能够正常工作。
