如何查看并监控AWS Site-to-Site VPN的入站与出站数据包

方案1：VPC 流日志（最低成本，无架构改动） #

• 开启Site-to-Site VPN关联的VPC、子网或者VPN网关弹性网卡的流日志功能，日志输出目标可选CloudWatch Logs或者S3存储桶
• 流日志自定义字段勾选你需要的属性：源IP(srcaddr)、目的IP(dstaddr)、协议类型(protocol)、源端口(srcport)、目的端口(dstport)、流量方向、数据包数量、字节数即可
• 日志默认全量采集，你可以直接通过CloudWatch Logs Insights或者S3的Athena查询语句，格式化输出你需要的源IP => 目的IP 协议类型 (端口)样式的明细数据
• 注意ICMP协议对应的端口字段会存储ICMP类型代码，解析时做对应映射即可正常展示

方案2：中转监控实例（支持全量抓包，可获取报文负载） #

如果需要获取比五元组更详细的报文内容，或者需要实时监控，可以部署旁路监控实例：

• 启动一台EC2实例作为专用流量采集节点，实例安全组放通所有进出VPN方向的流量，同时禁用实例的源/目标检查选项
• 修改VPC路由表配置：将指向客户侧本地网段的路由下一跳修改为该采集实例，采集实例内部配置IP转发规则，将收到的流量转发到AWS VPN网关
• 在采集实例上运行tcpdump、Suricata等开源抓包/IDS工具，可直接输出格式化的流量明细，也可存储pcap报文文件用于后续回溯分析
• 该方案需要修改路由配置，建议先在测试环境验证流量转发正常后再上线，避免影响现有业务

方案3：Transit Gateway 流日志（适合多VPC/多VPN架构） #

如果你的Site-to-Site VPN是挂载在Transit Gateway（中转网关）上：

• 直接开启Transit Gateway的流日志功能，可统一采集所有挂载在该TGW上的Site-to-Site VPN的进出流量明细
• 相比VPC流日志覆盖范围更广，不需要针对每个关联VPC单独配置，适合多站点、多VPC的复杂架构
• 日志字段和查询方式和VPC流日志完全一致，可直接导出到S3/CloudWatch Logs做后续分析

注意事项 #

• 所有流量采集方案都会产生额外的存储、查询成本，你可以根据业务需要设置日志的保留周期，降低不必要的开销
• 若不需要实时报文内容，优先选择VPC/TGW流日志方案，架构改动最小，可用性也由AWS托管，不会影响现有VPN链路的稳定性

内容的提问来源于stack exchange，提问作者Clément