Saltar al contenido principal

Amazon VPC

Preguntas frecuentes sobre Amazon VPC

Temas de la página

Preguntas generales

Abrir todo

Amazon VPC le permite aprovisionar una sección de la nube de Amazon Web Services (AWS) aislada de forma lógica, donde podrá lanzar recursos de AWS en una red virtual que usted defina. Puede controlar todos los aspectos del entorno de redes virtual, incluida la selección de sus propios rangos de direcciones IP, la creación de subredes y la configuración de tablas de ruteo y gateways de red. También puede crear una conexión de red privada virtual (VPN) de hardware entre el centro de datos de la empresa y la VPC, y utilizar la nube de AWS como una prolongación del centro de datos corporativo.

Es fácil personalizar la configuración de red de Amazon VPC. Por ejemplo, puede crear una subred de cara al público para los servidores web con acceso a Internet y colocar los sistemas backend, como bases de datos o servidores de aplicaciones, en una subred de uso privado sin acceso a Internet. Puede aprovechar varias capas de seguridad, incluidos grupos de seguridad y listas de control de acceso a red, para ayudar a controlar el acceso a las instancias de Amazon EC2 desde cada subred.

Amazon VPC consta de diferentes objetos que les resultarán familiares a los clientes que ya utilicen redes:

  • Nube virtual privada: una red virtual aislada de forma lógica en la nube de AWS. Usted define un espacio de direcciones IP de una VPC a partir de los rangos seleccionados.
  • Subred: un segmento del rango de direcciones IP de una VPC donde es posible colocar grupos de recursos aislados.
  • Puerta de enlace de Internet: el extremo de Amazon VPC de una conexión con la Internet pública.
  • Puerta de enlace de traducción de direcciones de red (puerta de enlace de NAT): un servicio administrado y de alta disponibilidad de traducción de direcciones de red (NAT) para que los recursos que tiene en una subred privada obtengan acceso a Internet.
  • Puerta de enlace privada virtual: el extremo de Amazon VPC de una conexión de VPN.
  • Interconexiones: este tipo de conexión le permite direccionar el tráfico a través de direcciones IP privadas entre dos VPC interconectadas.
  • Puntos de conexión de VPC: permiten establecer una conectividad privada con servicios alojados en AWS, desde el interior de su VPC sin usar una puerta de enlace de Internet, una VPN, dispositivos de traducción de direcciones de red (NAT) o proxis de firewall.
  • Puerta de enlace de Internet de salida únicamente: una puerta de enlace con estado para brindar acceso de salida únicamente para tráfico IPv6 de la VPC a Internet.

Amazon VPC permite crear una red virtual en la nube de AWS sin necesidad de contar con VPN, hardware ni centros de datos físicos. Puede definir un espacio de red propio y controlar la forma en que la red y los recursos de Amazon EC2 incluidos en la red quedan expuestos a Internet. También puede aprovechar las opciones de seguridad mejoradas de Amazon VPC para ofrecer un acceso más minucioso hacia y desde las instancias de Amazon EC2 de su red virtual.

Los recursos de AWS se aprovisionan automáticamente en una VPC predeterminada lista para utilizarse. Tiene la opción de crear VPC adicionales en la página de Amazon VPC en la consola de administración de AWS, para lo que debe seleccionar "Start VPC Wizard" (Iniciar asistente de VPC).

El sistema le presentará cuatro opciones básicas de arquitecturas de red. Después de seleccionar una opción, podrá modificar el tamaño y el rango de direcciones IP de la VPC y sus subredes. Si selecciona una opción con acceso a VPN de hardware, necesitará especificar la dirección IP del hardware de VPN presente en su red. Puede modificar la VPC para añadir o quitar los rangos IP secundarios y las gateways, o añadir más subredes a los rangos IP.

Las cuatro opciones son:

  1. Amazon VPC con una única subred pública
  2. Amazon VPC con subredes públicas y privadas
  3. Amazon VPC con subredes públicas y privadas, y acceso a AWS VPN de sitio a sitio
  4. Amazon VPC con una única subred privada y acceso a AWS Site-to-Site VPN

Los puntos de conexión de VPC permiten conectar de manera privada una VPC con servicios alojados en AWS sin contar con una puerta de enlace de Internet, un dispositivo NAT, una VPN o proxis de firewall. Los puntos de enlace son dispositivos virtuales de alta disponibilidad que pueden ajustar su escala horizontalmente y hacen posible la comunicación entre instancias de una VPC y los servicios de AWS. Amazon VPC ofrece dos tipos de puntos de enlace diferentes: puntos de enlace tipo interfaz y puntos de enlace tipo gateway.

Los puntos de enlace tipo gateway están disponibles únicamente para los servicios de AWS, incluidos S3 y DynamoDB. Estos puntos de enlace añadirán una entrada a la tabla de ruteo que seleccionó y direccionarán el tráfico a los dispositivos compatibles a través de la red privada de Amazon.

Los puntos de enlace tipo interfaz suministran conectividad privada a servicios con tecnología de PrivateLink, ya sean servicios de AWS, sus propios servicios o soluciones SaaS, y admiten conectividad a través de Direct Connect. Próximamente, estos puntos de enlace admitirán más soluciones SaaS y de AWS. Consulte los precios de VPC para obtener el precio de los tipos de puntos de conexión de tipo interfaz.

Facturación

Abrir todo

No se cobran cargos adicionales por crear y utilizar lo que es la VPC en sí. Los cargos por uso de otros servicios de Amazon Web Services, incluidos Amazon EC2, se aplican según las tarifas publicadas para dichos recursos, incluidos los cargos por transferencia de datos. Si conecta la VPC al centro de datos corporativo por medio de la conexión opcional de VPN de hardware, los precios corresponden a las horas de conexión de VPN (la cantidad de tiempo que se tiene una conexión de VPN en estado "disponible"). Las horas de carga de datos parciales se cobran como horas completas. Los datos transferidos mediante conexiones de VPN se cobrarán según las tarifas estándar de transferencia de datos de AWS. Para consultar la información de precios de VPC-VPN, visite la sección de precios de la página del producto Amazon VPC.

Los cargos por uso de otros servicios de Amazon Web Services, incluidos Amazon EC2, se aplican según las tarifas publicadas para dichos recursos. No se cobran gastos por transferencia de datos cuando se obtiene acceso a Amazon Web Services, como Amazon S3, a través de la gateway de Internet de su VPC.

Si obtiene acceso a los recursos de AWS a través de la conexión de VPN, se le aplicarán cargos por transferencia de datos de Internet.

Conectividad

Abrir todo

Puede conectar su Amazon VPC a:

  • Internet (a través de una gateway de Internet)
  • El centro de datos de su empresa mediante una conexión de VPN de sitio a sitio (a través de la gateway privada virtual)
  • Internet y el centro de datos de su empresa (con una gateway de Internet y una gateway privada virtual)
  • Otros servicios de AWS (mediante la gateway de Internet, NAT, gateway privada virtual o puntos de enlace de VPC)
  • Otras Amazon VPC (conexiones de emparejamiento de VPC)

Amazon VPC permite crear una puerta de enlace de Internet. Esta gateway permite que las instancias de Amazon EC2 en la VPC accedan directamente a Internet. También puede usar una puerta de enlace de Internet de salida únicamente, que es una puerta de enlace con estado para brindar acceso de salida solo para el tráfico IPv6 desde la VPC a Internet.

No. Una puerta de enlace de Internet se escala horizontalmente, es redundante y tiene alta disponibilidad. No existen limitaciones de ancho de banda.

Puede usar direcciones IP públicas, incluidas direcciones IP elásticas (EIP) y direcciones únicas globales IPv6 (GUA), para brindar a las instancias en la VPC la capacidad de establecer directamente una comunicación saliente a Internet y recibir tráfico entrante no solicitado de Internet (por ejemplo, servidores web). También puede usar las soluciones de la siguiente pregunta.

Cualquier dirección IP asignada a una instancia o un servicio alojado en una VPC a la que se puede acceder a través de Internet se considera una dirección IP pública. Solo las direcciones IPv4 públicas, incluidas las direcciones IP elásticas (EIP) y la GUA IPv6, pueden enrutarse en Internet. Para hacerlo, antes deberá conectar la VPC a Internet y luego actualizar la tabla de enrutamiento para que sea accesible desde o hacia Internet.

Las instancias sin direcciones IP públicas pueden obtener acceso a Internet de dos maneras distintas:

  1. Las instancias sin direcciones IP públicas pueden direccionar el tráfico mediante una gateway de NAT o una instancia NAT para obtener acceso a Internet. Estas instancias utilizan la dirección IP pública de la gateway de NAT o la instancia NAT para atravesar Internet. La gateway de NAT o la instancia NAT deja pasar las comunicaciones de salida, pero no permite que las máquinas de Internet inicien una conexión con las instancias con dirección privada.
  2. Para las VPC que tienen una conexión de VPN de hardware o Direct Connect, las instancias pueden direccionar su tráfico de Internet por la gateway privada virtual hasta su centro de datos. Desde ahí, pueden obtener acceso a Internet por medio de los puntos de salida existentes y a través de los dispositivos de seguridad y monitorización que tenga instalados en la red.

Sí. Puede utilizar una VPN por software de terceros para crear una conexión de VPN de acceso remoto o de sitio a sitio con su VPC por medio de la puerta de enlace de Internet.

No. Cuando se utilizan direcciones IP públicas, todas las comunicaciones entre instancias y servicios alojados en AWS utilizan la red privada de AWS. Los paquetes que se originan en la red de AWS con un destino en la red de AWS permanecen en la red global de AWS, excepto el tráfico hacia o desde las regiones de AWS China.

Todos los datos que fluyen en la red global de AWS y que interconectan nuestros centros de datos y regiones se cifran de manera automática en la capa física antes dejar nuestras instalaciones protegidas. También existen capas adicionales de cifrado. Por ejemplo, todo el tráfico de las interconexiones entre regiones de las VPC y las conexiones de seguridad de la capa de transporte (TLS) del cliente o entre servicios. 

Una conexión de AWS Site-to-Site VPN conecta la VPC con el centro de datos. Amazon admite conexiones de VPN de seguridad de protocolo de Internet (IPSec). Los datos que se transfieren entre su VPC y su centro de datos se direccionan a través de una conexión de VPN cifrada para ayudar a mantener la confidencialidad y la integridad de los datos en tránsito. No se necesita una puerta de enlace de Internet para establecer una conexión de AWS Site-to-Site VPN.

Direccionamiento IP

Abrir todo

Puede usar cualquier rango de direcciones IPv4, incluido RFC 1918 o los rangos de IP de direccionamiento público para el bloque de CIDR principal. Para los bloques de CIDR secundarios, se aplican determinadas restricciones. El acceso a los bloques IP de direccionamiento público es posible únicamente a través de la gateway privada virtual y no es posible por Internet a través de la gateway de Internet. AWS no anuncia en Internet los bloques de direcciones IP que son propiedad del cliente. Puede asignar hasta 5 bloques de CIDR de GUA IPv6 proporcionados por Amazon o BYOIP a una VPC si llama a la API correspondiente o mediante la consola de administración de AWS.

Puede asignar un único rango de direcciones IP con enrutamiento entre dominios sin clases (CIDR) como el bloque de CIDR principal cuando cree una VPC y puede agregar hasta cuatro (4) bloques de CIDR secundarios después de crear la VPC. El usuario dirige las subredes de una VPC desde estos rangos de CIDR. Tenga en cuenta que, aunque puede crear varias VPC con rangos de direcciones IP superpuestas, esto impedirá la conexión de dichas VPC a una red doméstica común por medio de la conexión VPN de hardware. Por este motivo, recomendamos utilizar rangos de direcciones IP que no se superpongan. Puede asignar hasta 5 bloques de CIDR de GUA IPv6 proporcionados por Amazon o BYOIP a su VPC.

A las VPC predeterminadas se les asigna un rango CIDR de 172.31.0.0/16. Las subredes predeterminadas dentro de una VPC predeterminada se asignan a bloques de red /20 dentro de un rango CIDR de VPC. 

Sí, puede traer sus direcciones IPv4 públicas y direcciones GUA IPv6 a AWS VPC y asignarlas estáticamente a subredes e instancias EC2. Para acceder a estas direcciones a través de Internet, tendrá que publicarlas en Internet a partir de su red en las instalaciones. También deberá direccionar el tráfico a través de estas direcciones entre su VPC y la red local con conexión AWS DX o AWS VPN. Puede direccionar el tráfico desde su VPC con la gateway privada virtual. De manera similar, puede direccionar el tráfico desde su red en las instalaciones de vuelta a su VPC con sus routers.

Actualmente, Amazon VPC admite cinco (5) rangos de direcciones IP, una (1) principal y cuatro (4) secundarias para IPv4. Cada uno de estos rangos puede tener un tamaño de entre /28 (en notación CIDR) y /16. Los rangos de direcciones IP de su VPC no deben superponerse con los rangos de direcciones IP de la red existente.

Para IPv6, la VPC tiene un tamaño fijo de /56 (en notación CIDR). Una VPC puede tener bloques de CIDR de IPv4 e IPv6 asociados a ella.

Sí. Puede ampliar su VPC existente mediante la incorporación de cuatro (4) rangos de IP IPv4 (CIDR) a la VPC. Puede reducir la VPC mediante la eliminación de los bloques de CIDR secundarios que agregó a esta.   De igual modo, puede agregar hasta cinco (5) rangos de IP IPv6 (CIDR) a la VPC.  Puede reducir la VPC mediante la eliminación de dichos rangos adicionales.

En estos momentos, puede crear 200 subredes por VPC. Si quiere crear más, envíe un caso al centro de soporte.

El tamaño mínimo de una subred es /28 (o 14 direcciones IP) para IPv4. Las subredes no pueden ser mayores que la VPC en la que se crean.

Para IPv6, el tamaño de subred está definido para que sea /64. Solo un bloque de CIDR de IPv6 se puede asignar a una subred.

Amazon se reserva las cuatro (4) primeras direcciones IP y la última (1) dirección IP de cada subred para las redes de IP.

Cuando lanza una instancia de Amazon EC2 dentro de una subred que no es solo IPv6, puede especificar opcionalmente la dirección IPv4 privada principal para la instancia. Si no especifica la dirección IPv4 privada principal, AWS la direcciona automáticamente desde el rango de direcciones IPv4 que asigna a esa subred. Puede asignar direcciones IPv4 privadas secundarias cuando lanza una instancia, cuando crea una interfaz de red elástica o en cualquier momento después de que se haya lanzado la instancia o se haya creado la interfaz. En caso de que lance una instancia de Amazon EC2 dentro de una subred solo de IPv6, AWS la direcciona automáticamente desde el CIDR de GUA IPv6 proporcionado por Amazon de esa subred. La GUA de IPv6 de la instancia permanecerá privada a menos que los haga accesibles desde/hacia Internet con el grupo de seguridad, NACL y la configuración de tabla de enrutamiento correctos.

Para una instancia lanzada en una subred IPv4 o de doble pila, la dirección IPv4 privada principal se retiene durante la vida útil de la instancia o la interfaz. Las direcciones IPv4 privadas secundarias se pueden asignar, desasignar o mover entre interfaces o instancias en cualquier momento. Para una instancia lanzada en una subred de solo IPv6, la GUA IPv6 asignada, que también es la primera dirección IP en la interfaz de red principal de la instancia, se puede modificar al asociar una nueva GUA IPv6 y eliminar la GUA IPv6 existente en cualquier momento.

No. Una dirección IPv4 asignada a una instancia en ejecución solo puede ser utilizada nuevamente por otra instancia una vez que la instancia en ejecución original esté en un estado “terminated” (terminado). Sin embargo, la GUA de IPv6 asignada a una instancia en ejecución puede ser utilizada nuevamente por otra instancia después de que se elimine de la primera instancia.

No. Puede especificar la dirección IP de una instancia cada vez que lance la instancia.

Puede asignar cualquier dirección IP a su instancia siempre que esta:

  • Forme parte del rango de direcciones IP de la subred asociada
  • No esté reservada por Amazon para fines de redes de IP
  • No esté asignada actualmente a otra interfaz

Sí. Puede asignar una o varias direcciones IP privadas secundarias a una interfaz de red elástica o a una instancia EC2 en Amazon VPC. El número de estas direcciones que puede asignar depende del tipo de instancia. Consulte la Guía del usuario de EC2 para obtener información adicional acerca del número de direcciones IP privadas secundarias que se pueden asignar por cada tipo de instancia.

Sí, pero solo se podrá obtener acceso a las direcciones IP elásticas desde Internet (no a través de la conexión de VPN). Cada dirección EIP debe asociarse a una única dirección IP privada en la instancia. Las direcciones EIP deberán utilizarse exclusivamente en instancias de subredes configuradas para direccionar el tráfico directamente a la gateway de Internet. Las EIP no se pueden utilizar con instancias de subredes configuradas para utilizar una instancia NAT con el fin de obtener acceso a Internet. Se aplica únicamente a IPv4. Actualmente, las VPC de Amazon no son compatibles con las EIP para IPv6.

Bring Your Own IP

Abrir todo

Traiga su propia IP (BYOIP) permite a los clientes migrar la totalidad o parte de su espacio de direcciones IPv4 o IPv6 de direccionamiento público existentes a AWS para poder usarlo con los recursos de AWS. Los clientes seguirán poseyendo el rango IP. Los clientes pueden crear IP elásticas a partir del espacio de IPv4 que incorporan a AWS y usarlas con instancias de EC2, puertas de enlace NAT y Network Load Balancers. Los clientes también pueden asociar hasta 5 CIDR a una VPC desde el espacio IPv6 que incorporan a AWS. Los clientes continuarán teniendo acceso a las IP suministradas por Amazon y pueden elegir entre usar IP elásticas propias (BYOIP), suministradas por Amazon o ambas.

Incorporar direcciones IP propias a AWS puede resultar ventajoso por los siguientes motivos:
Reputación de IP: muchos clientes consideran la reputación de sus IP un recurso estratégico y desean usar dichas IP en AWS con sus recursos. Por ejemplo, los clientes que conservan servicios como MTA de email saliente y cuentan con IP de alta reputación ahora pueden incorporar su espacio de IP y conservar su tasa de éxito de envío.

Lista blanca de clientes: BYOIP también permite a los clientes mover cargas de trabajo que dependen de listas blancas de direcciones IP a AWS sin necesidad de restablecer las listas blancas con nuevas direcciones IP.

Dependencias codificadas de forma rígida: varios clientes tienen IP codificadas de forma rígida en dispositivos o han incorporado dependencias de arquitectura en sus IP. BYOIP permite a los clientes realizar migraciones a AWS sin dificultades.

Regulación y conformidad: muchos clientes se ven obligados a usar determinadas IP por motivos vinculados con normativas y conformidad. Eso también se resuelve con BYOIP.

Política de redes IPv6 en las instalaciones: muchos clientes pueden direccionar solamente su IPv6 en su red en las instalaciones. Estos clientes están desbloqueados por BYOIP, ya que pueden asignar su propio rango IPv6 a la VPC y elegir si quieren direccionar a su red en las instalaciones mediante Internet o Direct Connect.

Cuando lanza una EIP de BYOIP, esta regresa al grupo de IP de BYOIP a partir del cual se asignó.

Consulte la documentación para obtener más información sobre la disponibilidad de BYOIP.

Sí. Puede usar el prefijo de BYOIP con cualquier cantidad de VPC en la misma cuenta.

Puede incorporar un máximo de cinco rangos IP a su cuenta.

A través de BYOIP, el prefijo más específico de IPv4 que puede incorporar es un prefijo IPv4 /24 y un prefijo IPv6 /56. Si pretende hacer público el prefijo IPv6 en Internet, el prefijo más específico es un prefijo IPv6 /48.

Puede usar los prefijos registrados ARIN, RIPE y APNIC.

Momentáneamente, no aceptamos prefijos reasignados o redistribuidos. Los rangos IP deben ser un tipo de red de asignación o distribución directa.

Sí. Puede hacerlo al desaprovisionar el prefijo BYOIP de la región actual y después aprovisionándolo en la nueva región.

IP Address Manager

Abrir todo

Administrador de direcciones IP (IPAM) de Amazon VPC es un servicio administrado que facilita la planificación, el seguimiento y la supervisión de las direcciones IP para las cargas de trabajo de AWS. Con IPAM, puede organizar fácilmente las direcciones IP en función de las necesidades de enrutamiento y seguridad, así como establecer normas empresariales sencillas para regir las asignaciones de direcciones IP. También puede automatizar la asignación de direcciones IP a las VPC, con lo que se elimina la necesidad de utilizar aplicaciones de planificación de direcciones IP basadas en hojas de cálculo o de creación propia, que pueden ser difíciles de mantener y pueden requerir mucho tiempo. IPAM proporciona una visión operativa unificada, que se puede utilizar como su única fuente de verdad, lo que le permite realizar de forma más eficiente las actividades rutinarias de administración de direcciones IP, como el seguimiento de la utilización de IP, la resolución de problemas y la auditoría, de forma mucho más rápida.

Debería utilizar IPAM para que la administración de direcciones IP sea más eficiente. Los mecanismos existentes que aprovechan hojas de cálculo o herramientas caseras requieren trabajo manual y son propensos a errores. Con IPAM, por ejemplo, podrá desplegar aplicaciones más rápidamente, ya que sus desarrolladores no tendrán que esperar a que el equipo central de administración de direcciones IP las asigne. También puede detectar direcciones IP solapadas y solucionarlas antes de que se produzca un corte en la red. Además, puede crear alarmas para que IPAM le notifique si los grupos de direcciones están a punto de agotarse o si los recursos no cumplen las reglas de asignación establecidas en un grupo. Estas son algunas de las muchas razones por las que debería utilizar IPAM.

AWS IPAM proporciona las siguientes características:
 

  • Asignación de direcciones IP para redes a escala: IPAM puede automatizar las asignaciones de direcciones IP en cientos de cuentas y VPC basadas en reglas empresariales configurables.
     
  • Supervisión del uso de IP a través de su red: IPAM puede supervisar las direcciones IP y le permite recibir alertas cuando detecta posibles problemas, como el agotamiento de direcciones IP que puede paralizar el crecimiento de la red o el solapamiento de direcciones IP que puede dar lugar a un enrutamiento erróneo.
     
  • Solución de problemas en la red: IPAM puede ayudarle a identificar rápidamente si los problemas de conectividad se deben a una mala configuración de las direcciones IP o a otros problemas.
     
  • Auditoría de direcciones IP: IPAM retiene automáticamente los datos de supervisiones de las direcciones IP (hasta un máximo de tres años). Puede utilizar estos datos históricos para realizar análisis y auditorías retrospectivos de su red.

A continuación, se enumeran los componentes clave de IPAM:

  • Un ámbito es el contenedor de más alto nivel dentro de IPAM. Un IPAM contiene dos ámbitos por defecto. Cada ámbito representa el espacio IP de una única red. El ámbito privado está destinado a todos los espacios privados. El ámbito público está destinado a todo el espacio público. Los ámbitos permiten reutilizar direcciones IP en varias redes no conectadas sin que se produzcan solapamientos o conflictos de direcciones IP. Dentro de un ámbito, se crean los grupos de IPAM.
     
  • Un grupo es una colección de rangos de direcciones IP contiguos (o CIDR). Los grupos de IPAM le permiten organizar sus direcciones IP en función de sus necesidades de enrutamiento y seguridad. Puede tener varios grupos dentro de un grupo de nivel superior. Por ejemplo, si tiene necesidades de enrutamiento y seguridad distintas para las aplicaciones de desarrollo y de producción, puede crear un grupo para cada una. Dentro de los grupos de IPAM, se asignan CIDR a los recursos de AWS.
  • Una atribución es una asignación CIDR de un grupo de IPAM a otro recurso o grupo de IPAM. Cuando se crea una VPC y se elige un grupo de IPAM para el CIDR de la VPC, el CIDR se asigna desde el CIDR aprovisionado al grupo de IPAM. Puede supervisar y administrar la asignación con IPAM.

Sí. IPAM admite direcciones BYOIPv4 y BYOIPv6. BYOIP es una característica de EC2 que le permite traer direcciones IP de su propiedad a AWS. Con IPAM, puede aprovisionar y compartir directamente sus bloques de direcciones IP entre cuentas y organizaciones. Los clientes actuales de BYOIP que utilizan IPv4 pueden migrar sus grupos a IPAM para simplificar la gestión de IP.

No, los bloques de CIDR IPv6 contiguos proporcionados por Amazon solo se admiten actualmente en IPAM.

Puede compartir grupos de IPAM con otras cuentas de su organización de AWS utilizando AWS Resource Access Manager (RAM). También puede compartir grupos de IPAM con cuentas fuera de su organización de AWS principal. Por ejemplo, estas cuentas pueden representar otra línea de negocio de su empresa o un servicio administrado presentado por un socio en su nombre, en otra organización de AWS.

Seguridad y filtros

Abrir todo

Sí. Si la VPC está conectada a Internet, sus instancias pueden comunicarse con Amazon S3. Puede utilizar el punto de enlace de la VPC para S3, que se asegura de que todo el tráfico permanezca dentro de la red de Amazon y le permite aplicar políticas de acceso adicionales a su tráfico de Amazon S3. Puede utilizar la gateway de Internet para habilitar el acceso a Internet desde su VPC y que las instancias de la VPC puedan comunicarse con Amazon S3. También puede indicar que todo el tráfico hacia Amazon S3 atraviese Direct Connect o la conexión de VPN, salga del centro de datos y luego vuelva a entrar en la red pública de AWS.

Puede crear un registro de flujo para una VPC, una subred o una interfaz de red. Si se crea un registro de flujo para una subred o VPC, se supervisa cada interfaz de red de esa subred o VPC. Al crear una suscripción de registro de flujo, puede elegir los campos de metadatos que desea capturar, el intervalo de agregación máximo y el destino de registro preferido. También puede elegir capturar todo el tráfico o solo el tráfico aceptado o rechazado. Puede utilizar herramientas como CloudWatch Log Insights o CloudWatch Contributor Insights para analizar los registros de flujo de su VPC entregados a CloudWatch Logs. Puede utilizar herramientas como Amazon Athena o AWS QuickSight para consultar y visualizar los logs de flujo de su VPC entregados a Amazon S3. También puede crear una aplicación descendente personalizada para analizar sus registros o utilizar soluciones de socios como Splunk, Datadog, Sumo Logic, Cisco StealthWatch, Checkpoint CloudGuard, New Relic, etc.

Los datos del registro de flujo se recogen fuera de la ruta de su tráfico de red y, por lo tanto, no afectan al rendimiento o la latencia de la red. Puede crear o eliminar registros de flujo sin riesgo de afectar el rendimiento de la red.

Replicación de tráfico de VPC

Abrir todo

La replicación de tráfico de Amazon VPC facilita a los clientes la tarea de duplicar tráfico de red con destino y origen en una instancia de Amazon EC2 y de reenviarlo a dispositivos de monitorización y seguridad fuera de banda para casos de uso como inspección de contenido, monitorización de amenazas y resolución de problemas. Estos dispositivos se pueden implementar en una instancia EC2 individual o en una flota de instancias detrás de un balanceador de carga de red (NLB) con un agente de escucha de protocolo de datagramas de usuario (UDP).

Los clientes pueden utilizar herramientas de código abierto o elegir una de las múltiples soluciones de monitorización disponibles en AWS Marketplace. La replicación de tráfico permite a los clientes transmitir tráfico replicado a cualquier agente o recopilador de paquetes de red o herramienta de análisis, sin necesidad de instalar agentes de proveedores específicos.

Amazon VPC y EC2

Abrir todo

Sí.

Sí, el nombre de host de la instancia se puede utilizar como nombres de host DNS. Para las instancias lanzadas en una subred de pila doble o solo IPv4, el nombre basado en IP siempre se resuelve en la dirección IPv4 privada en la interfaz de red principal de la instancia y esto no se puede desactivar. Además, el nombre basado en recursos se puede configurar para que se resuelva en la dirección IPv4 privada en la interfaz de red principal, en la primera GUA de IPv6 en la interfaz de red principal, o en ambas. Para las instancias lanzadas en una subred de solo IPv6, el nombre basado en recursos se configurará para resolverse en la primera GUA de IPv6 en la interfaz de red principal. 

VPC predeterminadas

Abrir todo

Una VPC predeterminada es una red virtual aislada de forma lógica en la nube de AWS que se crea automáticamente para su cuenta de AWS la primera vez que aprovisiona los recursos de Amazon EC2. Al lanzar una instancia sin especificar un ID de subred, la instancia se lanzará en su VPC predeterminada.

Cuando lanza recursos en una VPC predeterminada, puede beneficiarse de las funcionalidades de redes avanzadas de Amazon VPC (EC2-VPC) con la facilidad de uso de Amazon EC2 (EC2-Classic). Obtiene características como el cambio del grupo de seguridad sobre la marcha, el filtrado de salida del grupo de seguridad, varias direcciones IP y varias interfaces de red sin tener que crear explícitamente una VPC y lanzar instancias en la VPC.

Si su cuenta de AWS se creó después del 18 de marzo de 2013, es posible que pueda lanzar recursos en una VPC predeterminada. Consulte este anuncio en el foro para determinar las regiones habilitadas para el conjunto de características de la VPC predeterminada. Además, las cuentas creadas antes de las fechas mostradas pueden utilizar VPC predeterminadas en cualquier región habilitada para la VPC predeterminada en la que no haya lanzado previamente instancias EC2 o aprovisionado recursos de Amazon Elastic Load Balancing, Amazon RDS, Amazon ElastiCache o Amazon Redshift.

No. Puede utilizar la consola de administración de AWS, la interfaz de línea de comandos (CLI) de AWS EC2 o la API de Amazon EC2 para lanzar y administrar las instancias EC2 y otros recursos de AWS en la VPC predeterminada. AWS creará automáticamente una VPC y una subred predeterminadas en cada zona de disponibilidad de la región de AWS. La VPC predeterminada se conecta a una gateway de Internet y las instancias reciben automáticamente direcciones IP públicas, como EC2-Classic.

Consulte las diferencias entre EC2-Classic y EC2-VPC en la Guía del usuario de EC2.

Sí. Para lanzar en subredes no predeterminadas, puede dirigir los lanzamientos con la consola o mediante la opción --subnet desde la CLI, la API o el SDK.

Se crea una subred predeterminada para cada zona de disponibilidad en su VPC predeterminada.

Por ahora no.

Sí, puede eliminar una VPC predeterminada. Una vez eliminada, puede crear una nueva VPC predeterminada directamente desde la consola de VPC o mediante la CLI. De esta manera, se creará una nueva VPC predeterminada en la región. Este proceso no recupera la VPC anterior que se eliminó.

Sí, pero solo podemos activar una VPC predeterminada en una cuenta existente si no dispone de recursos de EC2-Classic en esa región. Además, debe finalizar todos los recursos de Elastic Load Balancer, Amazon RDS, Amazon ElastiCache y Amazon Redshift no aprovisionados por la VPC en esa región. Tras la configuración de la cuenta para una VPC predeterminada, todos los lanzamientos de recursos futuros, incluidas las instancias lanzadas a través de Auto Scaling, se colocarán en la VPC predeterminada. Para solicitar que su cuenta existente se configure con una VPC predeterminada, vaya a Account and Billing (Cuenta y facturación) -> Service: Account (Servicio: cuenta) -> Category: Convert EC2 Classic to VPC (Categoría: convertir EC2 Classic a VPC) y realice una solicitud. Revisaremos su solicitud, sus servicios de AWS existentes y la presencia de EC2-Classic. A continuación, lo guiaremos en los siguientes pasos.

EC2 Classic

Abrir todo

EC2-Classic es una red plana que lanzamos con EC2 en el verano de 2006. Con EC2-Classic, sus instancias se ejecutan en una única red plana que comparte con otros clientes. Con el tiempo, inspirados por las necesidades cambiantes de nuestros clientes, lanzamos Amazon Virtual Private Cloud (VPC) en 2009 para permitirle ejecutar instancias en una nube virtual privada que está aislada de forma lógica de su cuenta de AWS. En la actualidad, aunque la mayoría de nuestros clientes utilizan Amazon VPC, tenemos algunos clientes que todavía utilizan EC2-Classic.

Vamos a retirar Amazon EC2-Classic el 15 de agosto de 2022 y es necesario que migre cualquier instancia EC2 y otros recursos de AWS que se ejecuten en EC2-Classic a Amazon VPC antes de esta fecha. La siguiente sección proporciona más información sobre la retirada de EC2-Class, así como herramientas y recursos para ayudar durante la migración.

Este cambio solo le afecta si tiene habilitado EC2-Classic en su cuenta en cualquiera de las regiones de AWS. Puede utilizar la consola o el comando describe-account-attributes para verificar si se ha habilitado EC2-Classic en una región de AWS. Consulte este documento para obtener más detalles.

Si no tiene ningún recurso de AWS activo que se ejecute en EC2-Classic en alguna región, desactive EC2-Classic en su cuenta para esa región. La desactivación de EC2-Classic en una región le permite lanzar allí la VPC predeterminada. Para ello, vaya a AWS Support Center en console.aws.amazon.com/support, elija “Crear caso” y luego “Soporte de facturación y cuenta”, para “Tipo elija” “Cuenta”, para “Categoría” elija “Convertir EC2 Classic a VPC”, rellene los demás datos según sea necesario, y elija “Enviar”.

Desactivaremos automáticamente EC2-Classic de su cuenta el 30 de octubre de 2021 en cualquier región de AWS en la que no haya tenido ningún recurso de AWS (instancias EC2, base de datos relacional de Amazon, AWS Elastic Beanstalk, Amazon Redshift, AWS Data Pipeline, Amazon EMR, AWS OpsWorks) en EC2-Classic desde el 1 de enero de 2021.

Por otro lado, si tiene recursos de AWS que se ejecutan en EC2-Classic, planifique la migración a Amazon VPC lo antes posible. No podrá lanzar ninguna instancia o servicio de AWS en la plataforma de EC2-Classic después del 15 de agosto de 2022. Las cargas de trabajo o servicios en estado de ejecución perderán gradualmente el acceso a todos los servicios de AWS en EC2-Classic a medida que los retiremos a partir del 16 de agosto de 2022.

Puede encontrar las guías de migración de los recursos de AWS en la pregunta siguiente.

Amazon VPC le ofrece un control completo sobre su entorno de red virtual en AWS, aislado de forma lógica de su cuenta de AWS. En el entorno de EC2-Classic, las cargas de trabajo comparten una única red plana con otros clientes. El entorno de Amazon VPC ofrece muchas otras ventajas sobre el entorno de EC2-Classic, como la posibilidad de seleccionar su propio espacio de dirección IP, la configuración de subredes públicas y privadas y la administración de tablas de enrutamiento y gateways de red. Los servicios e instancias disponibles actualmente en EC2-Classic cuentan con servicios comparables en el entorno de Amazon VPC. Amazon VPC también ofrece una generación de instancias mucho más amplia y reciente que EC2-Classic. Obtenga más información sobre Amazon VPC en este enlace.

Interfaces de redes elásticas

Abrir todo

Las interfaces de red solo se pueden conectar a instancias que residan en la misma zona de disponibilidad.

Las interfaces de la red solo se pueden conectar a instancias en las VCP de la misma cuenta.

Interconexiones

Abrir todo

Sí. Las interconexiones se pueden crear con VPC en diferentes regiones. Las interconexiones entre VPC ubicadas en distintas regiones están disponibles en todo el mundo en todas las regiones comerciales (excepto China).

No. El tráfico entre instancias en VPC interconectadas aún es privado y está aislado, de forma similar al tráfico entre dos instancias en la misma VPC, que también es privado y está aislado.

AWS usa la infraestructura existente de una VPC para crear una interconexión de VPC; no es ni una gateway ni una conexión de VPN y tampoco se basa en una pieza independiente del hardware físico. No hay un único punto de error para la comunicación ni un cuello de botella de ancho de banda.

Las interconexiones de VPC entre regiones funcionan con la misma tecnología de escala horizontal, redundante y de alta disponibilidad con la que cuenta la VPC actualmente. El tráfico de las interconexiones de VPC entre regiones se transmite mediante la red central de AWS, que cuenta con redundancia incorporada y asignación dinámica de ancho de banda. No hay ningún punto de error para la comunicación.

Si se interrumpe una interconexión entre regiones, el tráfico no se direccionará mediante Internet.

El tráfico se cifra con algoritmos AEAD (cifrado autenticado con datos asociados) modernos. La administración y correspondencia de claves están a cargo de AWS.

Preguntas adicionales

Abrir todo

Sí. Haga clic aquí para obtener más información sobre el soporte de AWS.

Controles de cifrado de VPC

Abrir todo

Utiliza tanto el cifrado de la capa de aplicación como las capacidades de cifrado integradas del hardware de AWS Nitro System para garantizar la aplicación del cifrado.

Debe utilizar:

  • Registros de flujo de VPC con el campo encryption-status
  • Panel de consola
  • Comando GetVpcResourcesBlockingEncryptionEnforcement

No, debe crear nuevos registros de flujo y agregar el campo encryption-status de forma manual. También se recomienda agregar los campos traffic-path y flow-direction.

No, primero debe:

  • Activar el modo Supervisor
  • Identificar los recursos no conformes
  • Modificar o crear exclusiones para los recursos que no cumplen con los requisitos
  • A continuación, cambie al modo Obligatorio

Siga estos pasos:

  • Revise los registros de flujo y el cumplimiento de los recursos
  • Planifique las migraciones de recursos necesarias
  • Configure las exclusiones necesarias al cambiar al modo Obligatorio

Sí, excepto en el caso de que haya establecido la conexión de emparejamiento de VPC entre dos VPC sin exclusiones. En este caso, debe eliminar la conexión de emparejamiento de VPC entre las dos VPC y, a continuación, pasar al modo Supervisor.

Utilice el comando GetVpcResourcesBlockingEncryptionEnforcement para identificar cualquier recurso que pudiera bloquear la aplicación. Como alternativa, puede usar la consola para buscar recursos que no estén cifrados.

0: no encriptado
1: cifrado con nitro
2: aplicación cifrada
3: tanto nitro como la aplicación cifrados
(-): Desconocido/controles de cifrado de VPC desactivados

Para cifrar el tráfico entre las VPC que tienen activados los controles de cifrado, puede usar conexiones de emparejamiento de VPC o Transit Gateway. Al usar Transit Gateway, debe activar la compatibilidad con el cifrado de forma explícita mediante la consola o el comando modify-transit-gateway. No hay cargos adicionales por activar el cifrado en Transit Gateway, pero se aplican cargos estándar por los controles de cifrado de VPC para todas las VPC asociadas a Transit Gateway (independientemente de si activa los controles de cifrado en estas VPC).

Utilice el comando “modify-transit-gateway” o actívelo a través de la consola de AWS. Debe activar el soporte de cifrado en una Transit Gateway de forma explícita para cifrar el tráfico entre las VPC que tienen controles de cifrado activados.

La activación del cifrado en la TGW existente no interrumpe los flujos de tráfico existentes y la migración de las conexiones de la VPC a las rutas cifradas se realizará de forma automática y fluida. Puede activar la compatibilidad con cifrado en una puerta de enlace de tránsito para cifrar el tráfico entre las VPC. El tráfico entre dos VPC en modo Obligatorio (sin exclusiones) se cifra de extremo a extremo mediante la TGW. El cifrado en Transit Gateway también le permite conectar dos VPC que se encuentran en diferentes modos de control de cifrado.

Sí, el tráfico permanecerá cifrado hasta que llegue a la asociación de la TGW en la VPC en la que no es obligatorio el cifrado. El tráfico permanece cifrado desde el origen hasta la asociación de la TGW en la VPC de destino, independientemente del estado de cifrado de la VPC de destino.

Active el cifrado en la TGW mientras mantiene las conexiones existentes; la transición se gestiona de manera automática. La activación del cifrado en TGW no interrumpe los flujos de tráfico existentes.

Sí, TGW admite la migración incremental al gestionar el tráfico cifrado y no cifrado durante la transición.

No. Private Link con controles de cifrado de VPC solo es compatible con los servicios de AWS. Los puntos de conexión de VPC a servicios que no sean de AWS no pueden permanecer en las VPC en las que desee aplicar el cifrado. Tendrá que eliminar esos puntos de conexión antes de pasar al modo Obligatorio en la VPC. Las VPC que se ejecutan en el modo Obligar se pueden conectar con conexiones de emparejamiento de VPC o Transit Gateway para garantizar el cifrado de extremo a extremo.