¿Cómo soluciono los problemas de conectividad desde Internet a las instancias de Amazon EC2 en mi VPC?

Breve descripción

Los problemas de conexión desde Internet a las instancias de Amazon EC2 suelen estar relacionados con los siguientes ajustes de configuración:

• Grupo de seguridad
• Lista de control de acceso (ACL) a la red
• Tabla de enrutamiento
• AWS Network Firewall
• Sistema operativo (SO)

Resolución

Antes de empezar, confirme que su instancia EC2 ha superado las comprobaciones de estado del sistema y de la instancia.

Si está usando Network Firewall, vea ¿Cómo puedo solucionar problemas con Network Firewall cuando una regla no funciona según lo esperado?

Compruebe los grupos de seguridad

Confirme que el grupo de seguridad asociado a la interfaz de red elástica de la instancia permita las conexiones desde los puertos requeridos. Porque los grupos de seguridad tienen un estado, no es necesario configurar las reglas de salida de los grupos de seguridad.

Importante: En un entorno de producción, permita que solo una dirección IP específica o un rango de direcciones accedan a su instancia. Con fines de prueba, especifique la dirección IP personalizada 0.0.0.0/0 para permitir que todas las direcciones IP usen SSH o RDP para acceder a su instancia.

Por ejemplo, si está usando SSH para conectarse a la instancia desde Internet, agregue una regla en el puerto 22. Asegúrese de que la regla permita que la dirección IP de origen acceda a la instancia. Para permitir que cualquier persona se conecte, agregue una regla para permitir el puerto 80 para la dirección IP 0.0.0.0/0.

Compruebe las ACL de red

Compruebe las ACL de red para ver los siguientes ajustes de configuración:

• Las ACL de red asociadas a la subred de la VPC deben permitir el tráfico a través de los puertos necesarios. Para más información, vea Controlar el tráfico a las subredes mediante ACL de red y Agregar y eliminar reglas.
• Permita el tráfico entrante y saliente. Las ACL de red no tienen estado. Las respuestas al tráfico entrante permitido están sujetas a las reglas para el tráfico saliente. Las respuestas al tráfico saliente permitido están sujetas a las reglas para el tráfico entrante.
• Asegúrese de que los puertos efímeros sean los únicos puertos abiertos a las ACL de red salientes. Se recomienda permitir solo los puertos que verdaderamente necesita.

**Importante:**Si aún no está seguro de qué es lo que bloquea el acceso del tráfico a tu instancia, active los registros de flujo de VPC. Los registros de flujo capturan el tráfico de direcciones IP que fluye a través de la VPC. Si ve tráfico rechazado en sus registros de flujo, vuelva a comprobar los grupos de seguridad y la configuración de ACL de red.

Comprobar las tablas de enrutamiento

Para comprobar si hay una puerta de enlace de Internet conectada a su VPC, siga los siguientes pasos:

1. Abra la consola de Amazon VPC.
2. En el panel de navegación, en la sección Nube virtual privada, elija Puertas de enlace de Internet.
3. Busque la puerta de enlace de Internet que está conectada a su VPC. También puede buscar su ID de VPC adjunta, por ejemplo, vpc-xxxxxxxx.
4. Anote el identificador de la puerta de enlace de Internet, por ejemplo, igw-xxxxxxxx.

Si ya hay una puerta de enlace de Internet conectada a su VPC, luego complete los siguientes pasos::

1. Compruebe las tablas de enrutamiento de su VPC para ver una ruta a su puerta de enlace de Internet. Busque una entrada de enrutamiento cuyo Objetivo sea el ID de la puerta de enlace de Internet que está conectada a su VPC y cuyo Destino sea 0.0.0.0/0.
2. Si la ruta no existe, entoncesagregue una entrada de enrutamiento con la puerta de enlace de Internet como Objetivo y 0.0.0.0/0 como Destino.
3. Asegúrese de que la tabla de enrutamiento de subred también tenga una entrada de enrutamiento a la puerta de enlace de Internet. Si esta entrada no existe, significa que la instancia está en una subred privada y no se puede acceder a ella desde Internet.

Nota: Confirme que las tablas de enrutamiento a nivel del sistema operativo permiten el tráfico de Internet. Dependiendo de su configuración, use el comando route -n para las instancias de Linux o el comando netstat -rn para las instancias de Linux o Windows.

Comprobar direcciones IP

• Confirme que se ha asignado una dirección IP pública a su instancia de VPC o que hay una dirección IP de Elastic adjunta a la interfaz de red de la instancia. Si no se ha asignado una dirección IP pública o una dirección IP de Elastic, entonces asigne una.
  Nota: Para más información, vea Direccionamiento IP para sus VPC y subredes y Trabaje con direcciones IP de Elastic.
• Asegúrese de que el software a nivel del sistema operativo o los firewalls de la instancia permitan el tráfico a través de los puertos necesarios.

Información relacionada

¿Por qué mis instancias de EC2 no pueden acceder a Internet mediante una puerta de enlace NAT?

Privacidad del tráfico entre redes en Amazon VPC