Cloudwatch 将日志记录到私有子网上的端点

Question

我发现根据关于公共子网的文档设置 Cloudwatch 的过程非常简单，当我开始使用私有子网中的端点重复该过程时，我无法使该过程正常工作。我相信通过使用 nc 和 traceroute，我可以看到客户端仍然尝试联系面向 ip 的互联网 -

BlockquoteConnectTimeout: HTTPSConnectionPool(host='logs.eu-west-2.amazonaws.com', port=443): 最大重试次数超出 url: / (由 ConnectTimeoutError(, 'Connection to logs.eu-west- 2.amazonaws.com 超时。(connect timeout=60)'))

我发现配置文件中的文档含糊不清，我相信我已经在私有子网上正确添加了路由以允许路由，并且我已经检查并修改了我的安全组以允许 HTTPS 流量输出 - 还有另一个我应该如何检查和解决这个问题？

Answer 1

有两种情况可能是您收到此错误的原因。

具有公共子网和私有子网 (NAT) 的 VPC - 您需要将私有子网的路由表配置为具有到公共子网中的 NAT 网关或 NAT 实例的默认路由，以便主机logs.eu-west-2.amazonaws.com 可以路由到 AWS Cloudwatch Logs 基础设施。有关此类设置的更多详细信息，请参阅文档https://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_Scenario2.html

仅私有子网 - 您需要配置 VPC 私有链接。请参阅此处的文档 https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/cloudwatch-logs-and-interface-VPC.html 和有关该主题的示例博客文章 https://aws.amazon.com/blogs/aws/new-aws-privatelink-endpoints-kinesis-ec2-systems-manager-and-elb-apis-in-your-vpc/