¿Cómo uso el reenvío de puertos del Administrador de sesiones de Systems Manager sin un host bastión para conectarme a mi instancia de EC2 a través de RDP?

Solución

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulta Solución de problemas de AWS CLI. Además, asegúrate de utilizar la versión más reciente de la AWS CLI.

Usa el reenvío de puertos del Administrador de sesiones para conectarte a tu instancia a través de RDP cuando bloquees el acceso entrante en los grupos de seguridad. No es necesario abrir los puertos de entrada ni configurar los hosts bastión para usar el reenvío de puertos del Administrador de sesiones.

Requisitos previos:

• Has configurado la AWS CLI con los permisos necesarios para el Administrador de sesiones.
• Has instalado el complemento Administrador de sesiones que es específico de tu sistema operativo (SO) en tu máquina local.
• AWS Systems Manager administra la instancia. Para obtener más información, consulta Configuración de nodos administrados para AWS Systems Manager.
• Has instalado la versión 2.3.672.0 o posterior de AWS Systems Manager Agent (SSM Agent) y SSM Agent está en ejecución.
• Has configurado el sistema operativo de la instancia para aceptar conexiones RDP en el puerto 3389 predeterminado.

Establecimiento de la sesión de reenvío de puertos con la AWS CLI

Nota: Utiliza la AWS CLI para establecer las sesiones de reenvío del puerto del Administrador de sesiones a las instancias de Windows. No puedes establecer una sesión de reenvío de puertos con las herramientas de Amazon Web Services para PowerShell en máquinas locales de Windows con el cmdlet Start-SSMSession.

Sigue estos pasos:

1. En tu máquina local, ejecuta el siguiente comando para establecer un túnel desde el puerto 55678 de tu equipo hasta el puerto 3389 de tu instancia:

   aws ssm start-session --target example-instanceid --document-name AWS-StartPortForwardingSession --parameters "example-localPortNumber=55678,example-ec2instance-portNumber=3389"

   Nota: Sustituye los valores del ejemplo por tus valores.
   Si la conexión se realiza correctamente, aparece el siguiente mensaje:
   «Iniciando sesión con SessionId: xxxxx-01234567891011abcPort 55678 abierto para sessionId xxxxx-01234567891011abc
   Esperando conexiones...»
2. Usa un cliente RDP local para conectarte a localhost:55678 para que el Administrador de sesiones pueda reenviar el tráfico al puerto 3389 remoto de tu instancia.
   Si la conexión se realiza correctamente, aparece el siguiente mensaje:
   "Se ha aceptado la conexión para la sesión xxx-01234567891011abc

Finalizar la sesión de reenvío de puertos

Sigue estos pasos:

1. Cierra la sesión de RDP.
2. En la AWS CLI, pulsa Ctrl + C para finalizar la sesión de reenvío de puertos. O bien, utiliza la consola de AWS Systems Manager para finalizar la sesión.
   Si la sesión finaliza correctamente, aparece el siguiente mensaje:
   "Se ha recibido un señal de terminación; saliendo. Saliendo de la sesión con el ID de sesión: xxxxx-01234567891011abc».

Solución de problemas de conexión

Si la sesión de reenvío de puertos no se conecta, realiza las siguientes acciones en función del error que recibas.

AccessDeniedException

Comprueba que el usuario que inicia la sesión tiene los permisos necesarios para el Administrador de sesiones.

TargetNotConnected

Comprueba que has configurado completamente el nodo de destino para el Administrador de sesiones y que el nodo aparezca como en línea en la consola del Administrador de flotas de Systems Manager.

Este error también se produce al iniciar una sesión en un nodo administrado que se encuentra en otra cuenta o región de AWS. Para obtener más información, consulta El nodo administrado no está disponible o no está configurado para el Administrador de sesiones.

No se ha encontrado el complemento Administrador de sesiones

Comprueba que has instalado el complemento Administrador de sesiones en tu máquina local. Para obtener más información, consulta Instalación del complemento Administrador de sesiones para la AWS CLI.

El cliente RDP no se puede conectar

Si la sesión se conecta correctamente pero el cliente RDP no puede conectarse, comprueba si has cambiado el puerto RDP predeterminado de la instancia. Sustituye el valor del parámetro portNumber por tu valor. Para obtener más información, consulta Comprobación del agente de escucha RDP en el sitio web de Microsoft.

Información relacionada

Solución de problemas del Administrador de sesiones