¿Cómo soluciono los problemas de conectividad desde Internet a las instancias de Amazon EC2 en mi VPC?

Breve descripción

Los problemas de conexión desde Internet a las instancias de Amazon EC2 suelen estar relacionados con los siguientes ajustes de configuración:

• Grupo de seguridad
• Lista de control de acceso (ACL) a la red
• Tabla de enrutamiento
• AWS Network Firewall
• Sistema operativo (SO)

Resolución

Antes de empezar, confirma que tu instancia de EC2 haya superado las comprobaciones de estado del sistema y de la instancia.

Si estás usando Network Firewall, consulta ¿Cómo puedo solucionar problemas con Network Firewall cuando una regla no funciona según lo esperado?

Comprobación de los grupos de seguridad

Confirma que el grupo de seguridad asociado a la interfaz de red elástica de la instancia permita las conexiones desde los puertos requeridos. Porque los grupos de seguridad tienen un estado, no es necesario configurar las reglas de salida de los grupos de seguridad.

Importante: En un entorno de producción, permite que solo una dirección IP específica o un rango de direcciones accedan a tu instancia. Con fines de prueba, especifica la dirección IP personalizada 0.0.0.0/0 para permitir que todas las direcciones IP usen SSH o RDP para acceder a tu instancia.

Por ejemplo, si estás usando SSH para conectarte a la instancia desde Internet, añade una regla en el puerto 22. Asegúrate de que la regla permita que la dirección IP de origen acceda a la instancia. Para permitir que cualquier persona se conecte, añade una regla para permitir el puerto 80 para la dirección IP 0.0.0.0/0.

Comprobación de las ACL de red

Comprueba las ACL de red para ver los siguientes ajustes de configuración:

• Las ACL de red asociadas a la subred de la VPC deben permitir el tráfico a través de los puertos necesarios. Para más información, consulta Controlar el tráfico a las subredes mediante ACL de red y Agregar y eliminar reglas.
• Permite el tráfico entrante y saliente. Las ACL de red no tienen estado. Las respuestas al tráfico entrante permitido están sujetas a las reglas para el tráfico saliente. Las respuestas al tráfico saliente permitido están sujetas a las reglas para el tráfico entrante.
• Asegúrate de que los puertos efímeros sean los únicos puertos abiertos a las ACL de red salientes. Se recomienda permitir solo los puertos que verdaderamente necesitas.

**Importante:**Si aún no estás seguro de qué es lo que bloquea el acceso del tráfico a tu instancia, activa los registros de flujo de VPC. Los registros de flujo capturan el tráfico de direcciones IP que fluye a través de la VPC. Si ves tráfico rechazado en tus registros de flujo, vuelve a comprobar los grupos de seguridad y la configuración de ACL de red.

Comprobar las tablas de enrutamiento

Para comprobar si hay una puerta de enlace de Internet conectada a tu VPC, sigue los siguientes pasos:

1. Abre la consola de Amazon VPC.
2. En el panel de navegación, en la sección Nube virtual privada, elige Puertas de enlace de Internet.
3. Busca la puerta de enlace de Internet que está conectada a tu VPC. También puedes buscar tu ID de VPC adjunta, por ejemplo, vpc-xxxxxxxx.
4. Anota el identificador de la puerta de enlace de Internet, por ejemplo, igw-xxxxxxxx.

Si ya hay una puerta de enlace de Internet conectada a tu VPC, completa los siguientes pasos::

1. Comprueba las tablas de enrutamiento de tu VPC para ver una ruta a tu puerta de enlace de Internet. Busca una entrada de enrutamiento cuyo Objetivo sea el ID de la puerta de enlace de Internet que está conectada a tu VPC y cuyo Destino sea 0.0.0.0/0.
2. Si la ruta no existe, añade una entrada de enrutamiento con la puerta de enlace de Internet como Objetivo y 0.0.0.0/0 como Destino.
3. Asegúrate de que la tabla de enrutamiento de subred también tenga una entrada de enrutamiento a la puerta de enlace de Internet. Si esta entrada no existe, significa que la instancia está en una subred privada y no se puede acceder a ella desde Internet.

Nota: Confirma que las tablas de enrutamiento a nivel del sistema operativo permiten el tráfico de Internet. Dependiendo de tu configuración, usa el comando route -n para las instancias de Linux o el comando netstat -rn para las instancias de Linux o Windows.

Comprobar direcciones IP

• Confirma que se ha asignado una dirección IP pública a tu instancia de VPC o que hay una dirección IP elástica adjunta a la interfaz de red de la instancia. Si no se ha asignado una dirección IP pública o una dirección IP de Elastic, entonces asigna una.
  Nota: Para más información, consulta Direccionamiento IP para sus VPC y subredes y Trabaje con direcciones IP de Elastic.
• Asegúrate de que el software a nivel del sistema operativo o los firewalls de la instancia permitan el tráfico a través de los puertos necesarios.

Información relacionada

¿Por qué no puedo usar una puerta de enlace de NAT para acceder a Internet desde mis instancias de EC2?

Privacidad del tráfico entre redes en Amazon VPC