¿Cómo puedo solucionar los problemas cuando uso EC2 Connect para conectarme a mi instancia de EC2?

Descripción breve

A continuación se enumeran los motivos habituales por los que puede ver un error al usar EC2 Instance Connect para conectarse a su instancia:

• EC2 Instance Connect no admite la distribución del sistema operativo (SO).
• El paquete de EC2 Instance Connect no está instalado en la instancia.
• Faltan políticas o permisos de AWS Identity and Access Management (IAM) o son incorrectos.
• Los grupos de seguridad asociados a la instancia no muestran las direcciones IP del servicio Instance Connect de EC2.
• El acceso a la red o la configuración son incorrectos.

Para determinar la causa del error de conexión, puedes utilizar el runbook de Automatización de AWS Systems Manager AWSSupport-TroubleshootEC2InstanceConnect. Para obtener información sobre los flujos de trabajo de automatización, consulta Flujos de trabajo de automatización de AWS Support (SAW) y Configuración de Automation.

También puedes solucionar manualmente los problemas de la instancia de EC2.

Resolución

Requisito previo: Si tu instancia no tiene una dirección IP pública, debes establecer una conectividad de red privada con tu nube virtual privada (VPC). Para establecer la conectividad de red privada con tu VPC, utiliza AWS Direct Connect, AWS Site-to-Site VPN o el emparejamiento de VPC. Si la instancia no tiene una dirección IPv4 pública y la VPC no tiene una configuración de conectividad de red privada, utiliza un punto de enlace de EC2 Instance Connect.

Nota: Si has activado la consola serie de EC2 para instancias de Linux, puedes utilizarla para solucionar problemas con los tipos de instancias basadas en Nitro. Si no puedes acceder a tu instancia y no has configurado el acceso a la consola serie, consulta Configurar el acceso a la consola serie de EC2.

Uso del runbook para solucionar problemas de tu instancia de EC2

Antes de iniciar el runbook AWSSupport-TroubleshootEC2InstanceConnect, asegúrate de que tu usuario o rol de IAM tenga los permisos necesarios. Para obtener más información, consulta la sección Required IAM permissions (Permisos de IAM necesarios) de AWSSupport-TroubleshootEC2InstanceConnect.

Para ejecutar el runbook, sigue estos pasos:

1. Abre la consola de Systems Manager.
2. En el panel de navegación, selecciona Recursos compartidos y, a continuación, selecciona Documentos.
3. Selecciona Documentos de automatización.
4. En el campo de búsqueda, escribe AWSSupport-TroubleshootEC2InstanceConnect y, a continuación, selecciona el documento.
5. Selecciona Ejecutar automatización.
6. Introduce los siguientes valores para los parámetros de entrada:
   En InstanceId, introduce el ID de la instancia a la que no puedes conectarte.
   (Opcional) En AutomationAssumeRole, introduce el ARN del rol de IAM que permite a Automatización de Systems Manager realizar las acciones en tu nombre. Si no especificas un rol, Automatización de Systems Manager utilizará los permisos del usuario que ejecuta el runbook.
   En Nombre de usuario, introduce el nombre de usuario que utilizas para conectarte a la instancia. Este parámetro determina si se concede el acceso de IAM al usuario.
   En EC2InstanceConnectRoleOrUser, introduce el ARN de la identidad de IAM que se usa para que EC2 Instance Connect introduzca las claves en la instancia.
   (Opcional) En SSHPort, introduce el puerto SSH que está configurado en la instancia. El valor predeterminado es 22 y el número de puerto debe estar comprendido entre 1 y 65535.
   (Opcional) En SourceNetworkType, introduce el tipo de red que usas para conectarte a la instancia.
   (Opcional) En SourceIpCIDR, introduce el intervalo de enrutamiento entre dominios sin clases (CIDR) que incluye la dirección IP del dispositivo que utilizas para conectarte a EC2 Instance Connect. Si este campo está vacío, el runbook no puede determinar si las reglas del grupo de seguridad y de la lista de control de acceso (ACL) de la red de la instancia permiten el tráfico SSH.
7. Selecciona Ejecutar.
8. Revisa los resultados detallados en la sección Resultados.

Solución manual de los problemas de tu instancia de EC2

Para solucionar problemas al conectarte a la instancia de EC2, confirma las siguientes configuraciones:

• EC2 Instance Connect es compatible con la distribución de Linux de la instancia.
• Has instalado el paquete de EC2 Instance Connect en la instancia compatible.
• El usuario de IAM que quiere utilizar EC2 Instance Connect tiene permiso para enviar la clave pública a la instancia.
• Las reglas del grupo de seguridad de la instancia se enumeren las direcciones IP de EC2 Instance Connect.
• Tienes acceso de red a la instancia.

Uso de conexiones SSH basadas en navegador

Las conexiones SSH basadas en navegador requieren que las reglas de entrada del grupo de seguridad de la instancia permitan que EC2 Instance Connect acceda a SSH en el puerto TCP 22.

EC2 Instance Connect usa intervalos de direcciones IP específicos para las conexiones SSH basadas en navegador para la instancia. Los intervalos de direcciones IP de AWS difieren entre las regiones de AWS. Para encontrar el intervalo de direcciones IP para EC2 Instance Connect en una región específica, ejecuta los comandos siguientes.

Nota: En los comandos siguientes, sustituye us-east-1 por la región de AWS en la que se encuentra la instancia. Asegúrate de que la instancia esté en una región admitida por EC2 Instance Connect.

Windows

Usa Windows PowerShell para ejecutar el siguiente comando:

PS C:\> Get-AWSPublicIpAddressRange -Region us-east-1 -ServiceKey EC2_INSTANCE_CONNECT | select IpPrefix

Linux

Usa curl y jq para ejecutar el siguiente comando:

$ curl -s https://ip-ranges.amazonaws.com/ip-ranges.json | jq -r '.prefixes[] | select(.region=="us-east-1") | select(.service=="EC2_INSTANCE_CONNECT") | .ip_prefix'

Actualiza las reglas de entrada del grupo de seguridad para permitir el acceso al puerto TCP 22 desde el intervalo de direcciones IP que devuelven los comandos anteriores.

Uso de la conexión de la CLI para EC2 Instance Connect

Actualiza las reglas de entrada del grupo de seguridad para permitir el acceso al puerto TCP 22 desde tu dirección IP.

Información relacionada

Ejecución de una operación automatizada con la tecnología de Automatización de Systems Manager

Conectarse a la instancia de Linux con EC2 Instance Connect

¿Cómo puedo conectarme a mi instancia de Amazon EC2 si he perdido mi par de claves SSH tras el lanzamiento inicial?

¿Cómo puedo solucionar los problemas de conexión a mi instancia Linux de Amazon EC2 mediante SSH?