Por que não consigo usar um gateway NAT para acessar a Internet a partir das minhas instâncias do Amazon EC2?

Resolução

Problemas de conectividade com a Internet com gateways NAT podem ocorrer devido a problemas de configuração de sub-rede ou rotas perdidas.

Usar o Reachability Analyzer para verificar a conectividade

Para verificar se uma rota está acessível, use o Reachability Analyzer.

Primeiro, crie e analise um caminho. Em Tipo de origem, escolha Instâncias e, em seguida, selecione sua instância. Em Tipo de destino, escolha Gateways da Internet e selecione o gateway pelo qual você deseja passar como destino. Em seguida, analise os resultados para identificar se o caminho está acessível. Se estiver inacessível, analise o caminho e atualize sua configuração conforme necessário.

Verificar as configurações da sub-rede

Confirme se suas tabelas de rotas têm as seguintes configurações:

• O gateway NAT está em uma sub-rede pública com uma tabela de rotas que encaminha o tráfego da Internet para um gateway da Internet.
• Sua instância está em uma sub-rede privada com uma tabela de rotas que encaminha o tráfego da Internet para o gateway NAT.
• Não há outras entradas na tabela de rotas que roteiem todo ou parte do tráfego da Internet para outro dispositivo em vez do gateway NAT.

Certifique-se de que os grupos de segurança e as listas de controle de acesso (ACLs) de rede associados à sua instância de origem permitam tráfego de saída. A sub-rede em que você inicia o gateway NAT deve ter uma ACL de rede associada que permita o tráfego de entrada das instâncias e dos hosts da Internet. A ACL de rede também deve permitir tráfego de saída para os hosts e instâncias da Internet.

Verifique se o gateway NAT está no estado Disponível. Para visualizar o status do gateway NAT, abra o console da Amazon Virtual Private Cloud (Amazon VPC). Navegue até a página Gateways NAT e, em seguida, visualize as informações de status no painel de detalhes. Se o gateway NAT estiver em um estado de falha, um erro pode ter ocorrido durante a criação do gateway NAT. Para mais informações, consulte Falha na criação do gateway NAT.

Para ajudar você a diagnosticar conexões perdidas devido à ACL de rede ou às regras do grupo de segurança, ative os Logs de fluxo da VPC.

Se você usar o comando ping, certifique-se de executar ping em um host que tenha o protocolo de mensagens de controle da internet (ICMP) ativado. Se o host não tiver o ICMP ativado, você não receberá pacotes de resposta. Para testar se o host ativou o ICMP, execute o mesmo comando ping no terminal da linha de comandos em seu computador.

Verifique se sua instância pode executar ping em outros recursos, como outras instâncias na sub-rede privada.

Observação: certifique-se de que as regras do seu grupo de segurança permitam que você execute ping em outros recursos.

Verifique se sua conexão usa apenas um protocolo TCP, UDP ou ICMP.

Para permitir que suas instâncias acessem um site HTTPS, a ACL de rede que você associa à sub-rede do gateway NAT deve ter as seguintes regras.

Regras de entrada:

Regras de saída: