¿Cómo adjunto instancias de EC2 de backend con direcciones IP privadas a mi equilibrador de carga con acceso a Internet en ELB?

Descripción corta

Para adjuntar instancias de Amazon EC2 de backend en subredes privadas, crea subredes públicas en las mismas zonas de disponibilidad. Luego, asocia las subredes públicas al equilibrador de carga.

Nota: El equilibrador de carga establece una conexión con su destino de forma privada. Para descargar software o parches de seguridad de Internet, usa una regla de puerta de enlace de NAT en la tabla de enrutamiento de la instancia de destino para permitir el acceso a Internet.

Resolución

Antes de empezar, identifica la zona de disponibilidad de cada instancia de EC2 que vayas a registrar en el equilibrador de carga.

Cómo crear subredes públicas para las instancias de EC2 de backend

Para crear subredes públicas para las instancias de EC2 de backend, sigue estos pasos:

1. Crea una subred pública en cada zona de disponibilidad en la que estén ubicadas las instancias de backend. Si tienes más de una subred privada en la misma zona de disponibilidad, crea solo una subred pública para esa zona de disponibilidad.
2. Confirma que cada subred pública tenga un bloque de CIDR con una máscara de bits de al menos /27 (por ejemplo, 10.0.0.0/27).
3. Confirma que cada subred tenga al menos ocho direcciones IP libres.
   Por ejemplo, una subred pública (subred del equilibrador de carga de aplicación) necesita un bloque de CIDR con una máscara de bits de al menos /27:
   Subred pública en la zona de disponibilidad A: 10.0.0.0/24
   Subred privada en la zona de disponibilidad A: 10.1.0.0/24
   Subred pública en la zona de disponibilidad B: 10.2.0.0/24
   Subred privada en la zona de disponibilidad B: 10.3.0.0/24

Cómo configurar el equilibrador de carga

Para configurar el equilibrador de carga, sigue estos pasos:

1. Abre la consola de Amazon EC2.
2. En el panel de navegación, en Equilibrio de carga, selecciona Equilibradores de carga. A continuación, selecciona tu equilibrador de carga.
3. Asocia las subredes públicas al equilibrador de carga. Para más información, consulta:
   Configuración del equilibrador de carga y el agente de escucha para el equilibrador de carga de aplicación
   Configuración del equilibrador de carga y el agente de escucha para el equilibrador de carga de red
   Configuración de subredes para el equilibrador de carga clásico
4. Registra las instancias de backend con tu equilibrador de carga. Para más información, consulta:
   Registro de los objetivos con el equilibrador de carga de aplicación
   Registro de los objetivos para el equilibrador de carga de red
   Registro de instancias con el equilibrador de carga clásico

Configuración del grupo de seguridad y la ACL de la red del equilibrador de carga

Revisa la configuración del grupo de seguridad para los equilibradores de carga de aplicación o equilibradores de carga clásicos. Comprueba lo siguiente:

• El equilibrador de carga tiene puertos de agente de escucha abiertos y grupos de seguridad que permiten el acceso a los puertos.
• El grupo de seguridad de la instancia permite el tráfico en los puertos de agente de escucha y de comprobación de estado de la instancia desde el equilibrador de carga.
• El grupo de seguridad del equilibrador de carga permite el tráfico entrante del cliente.
• El grupo de seguridad del equilibrador de carga permite el tráfico saliente a las instancias y al puerto de comprobación de estado.

Agrega una regla en el grupo de seguridad de la instancia para permitir el tráfico del grupo de seguridad asignado al equilibrador de carga. Por ejemplo, tienes los siguientes parámetros:

• El grupo de seguridad del equilibrador de carga es sg-1234567a
• Regla de entrada: HTTP TCP 80 0.0.0.0/0
• El grupo de seguridad de la instancia es sg-a7654321
• Regla de entrada: HTTP TCP 80 sg-1234567a

En este ejemplo, la regla tiene un aspecto similar al siguiente:

• Tipo: HTTP
• Protocolo: TCP
• Intervalo de puertos: 80
• Origen: sg-1234567a

Revisa las reglas de la lista de control de acceso de la red (ACL) asociadas a las subredes que usa el equilibrador de carga. Las reglas se aplican tanto a los equilibradores de carga de aplicación como a los equilibradores de carga clásicos.

Si utilizas equilibradores de carga de red, consulta Solución de problemas del equilibrador de carga de red y Grupos de seguridad objetivo para obtener más información sobre la configuración. Confirma que el grupo de seguridad de la instancia de backend permita el tráfico al puerto del grupo objetivo desde:

• Direcciones IP de clientes (cuando los objetivos se especifican mediante el ID de la instancia)
• Nodos del equilibrador de carga (cuando los objetivos se especifican mediante la dirección IP)

Información relacionada

Cómo funciona Elastic Load Balancing

Grupos de seguridad de Amazon EC2 para las instancias de EC2