Como soluciono problemas de conectividade da Internet com instâncias do Amazon EC2 em minha VPC?

Breve descrição

Os problemas de conexão da Internet com as instâncias do Amazon EC2 geralmente estão relacionados às seguintes configurações:

• Grupo de segurança
• Lista de controle de acesso à rede
• Tabela de rotas
• AWS Network Firewall
• Sistema operacional (OS)

Solução

Antes de começar, confirme se sua instância do EC2 passa pelas verificações de status do sistema e pelas verificações de status da instância.

Se você estiver usando o Firewall de Rede, consulte Como solucionar problemas com o Firewall de Rede quando uma regra não está funcionando conforme o esperado?

Verifique os grupos de segurança

Confirme se o grupo de segurança associado à interface de rede elástica da instância permite conexões a partir das portas necessárias. Como os grupos de segurança têm estado, você não precisa configurar as regras de saída do grupo de segurança.

Importante: em um ambiente de produção, permita que somente um endereço IP específico ou um intervalo de endereços acesse sua instância. Para fins de teste, especifique o endereço IP personalizado 0.0.0.0/0 para permitir que todos os endereços IP usem SSH ou RDP para acessar sua instância.

Por exemplo, se você estiver usando SSH para se conectar à instância pela Internet, adicione uma regra na porta 22. Certifique-se de que a regra permita que o endereço IP de origem acesse a instância. Para permitir que qualquer pessoa se conecte, adicione uma regra para permitir a porta 80 para o endereço IP 0.0.0.0/0.

Verifique as ACLs de rede

Verifique suas ACLs de rede para ver as seguintes configurações:

• As ACLs de rede associadas à sua sub-rede VPC devem permitir o tráfego pelas portas necessárias. Para obter mais informações, consulte Controlar o tráfego para sub-redes usando ACLs de rede e Regras de adição e exclusão.
• Permita tráfego de entrada e saída. As ACLs de rede não têm estado. As respostas ao tráfego de entrada permitido estão sujeitas às regras do tráfego de saída. As respostas ao tráfego de saída permitido estão sujeitas às regras do tráfego de entrada.
• Certifique-se de que as portas efêmeras sejam as únicas portas abertas para ACLs de rede de saída. É uma prática recomendada permitir somente as portas de que você precisa.

Importante: Se você ainda não tiver certeza do que está bloqueando o acesso do tráfego à sua instância, ative os VPC Flow Logs. Os logs de Flow capturam o tráfego de endereços IP que flui pela sua VPC. Se houver tráfego rejeitado em seus logs de fluxo, verifique os grupos de segurança e as configurações de ACL de rede novamente.

Verifique as tabelas de rotas

Para verificar se um gateway da Internet está conectado à sua VPC, conclua as seguintes etapas:

1. Abra o console da Amazon VPC.
2. No painel de navegação, na seção Virtual Private Cloud, escolha Gateways da internet.
3. Pesquise o gateway da Internet que está conectado à sua VPC. Você também pode pesquisar sua ID de VPC anexada, por exemplo, vpc-xxxxxxxx.
4. Anote a ID do gateway da Internet, por exemplo, igw-xxxxxxxx.

Se um gateway da Internet já estiver conectado à sua VPC, conclua as seguintes etapas:

1. Verifique as tabela de rotas da sua VPC para ver se há uma rota para seu gateway da internet. Procure uma entrada de rota cujo Target seja o ID do gateway da Internet anexado à sua VPC e cujo Destination seja **0.0.0.0/0 **.
2. Se a rota não existir, adicione uma entrada de rota com o gateway da Internet como Target e 0.0.0.0/0 como Destination.
3. Certifique-se de que a tabela de rotas de sub-rede também tenha uma entrada de rota para o gateway da internet. Se essa entrada não existir, a instância está em uma sub-rede privada e está inacessível pela Internet.

Observação: confirme se as tabelas de rotas no nível do sistema operacional permitem o tráfego da Internet. Dependendo da sua configuração, use o comando route -n para instâncias Linux ou o comando ** netstat -rn** para instâncias Linux ou Windows.

Verifique os endereços IP

• Confirme se um endereço IP público está atribuído à sua instância de VPC ou se um endereço IP elástico está anexado à interface de rede da instância. Se um endereço IP público ou endereço IP elástico não estiver atribuído, atribua um.
  Observação: para obter mais informações, consulte Endereçamento IP para suas VPCs e sub-redes e Trabalhe com endereços IP elásticos.
• Certifique-se de que o software ou os firewalls no nível do sistema operacional da instância permitam o tráfego pelas portas necessárias.

Informações relacionadas

Por que minhas instâncias do EC2 não conseguem acessar a Internet usando um gateway NAT?

Privacidade do tráfego entre redes no Amazon VPC