Por que não consigo me conectar à minha instância do Amazon EC2?

Breve descrição

Primeiro, verifique a configuração da sua instância do EC2 e certifique-se de que a instância passe pelos status da instância e do sistema.

Se você ainda não conseguir se conectar, restaure sua conexão no SSH, EC2 Instance Connect ou Gerenciador de Sessões, um recurso do AWS Systems Manager. Ou use o Console de série do EC2 para restaurar sua conexão.

Observação: normalmente, você usa o Console de série do EC2 somente para solucionar problemas, não para executar processos padrão.

Se um método de conexão não estiver funcionando, use outro método de conexão para acessar sua instância e solucionar problemas.

Se você ainda não conseguir restaurar sua conexão, use uma instância de resgate para verificar se há erros nos logs da instância afetada.

Resolução

Observação: se você receber mensagens de erro ao executar comandos da AWS Command Line Interface (AWS CLI), consulte Solução de problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

Verifique a configuração de acesso à sua instância

Analise as regras do seu grupo de segurança

As regras do grupo de segurança de entrada devem permitir o acesso do seu endereço IP à porta 22 para Linux e à porta 3389 para Windows.

Para verificar as regras do seu grupo de segurança, execute o seguinte comando describe-security-groups da AWS CLI:

aws ec2 describe-security-groups --group-ids SG-IDs

Observação: substitua SG-IDs pelos IDs do seu grupo de segurança.

Se a porta 22 ou 3389 não estiverem na sua lista de permissões, execute o seguinte comando authorize-security-group-ingress para atualizar suas regras e permitir o acesso:

aws ec2 authorize-security-group-ingress --group-id SG-ID --protocol tcp --port 22 --cidr SOURCE-IP/32

Observação: substitua SG-ID pelo ID do seu grupo de segurança e SOURCE-IP pelo seu endereço IP de origem. Se você usa uma instância do Windows, substitua 22 por 3389. Se o endereço IP de origem for um endereço IP público, é possível usar a ferramenta checkip.amazonaws.com para identificar o endereço IP.

Analise suas ACLs da rede

Por padrão, as listas de controle de acesso à rede (ACLs da rede) permitem todo o tráfego de entrada e saída. Certifique-se de que suas ACLs da rede permitam acesso SSH de entrada à instância e acesso de saída a portas temporárias (1024-65535). Se as ACLs da rede bloquearem a porta 22 ou 3389, adicione uma nova regra para permitir o tráfego. Para endereços IP públicos, certifique-se de que a tabela de rotas tenha uma entrada que direcione o tráfego para um gateway da internet.

Verifique sua tabela de rotas

Verifique se sua tabela de rotas tem uma rota para a conexão.

Certifique-se de que sua instância passe pelas verificações de status

Para se conectar a uma instância, a instância precisa passar pelas verificações de status. Use o console do Amazon EC2 para verificar se o Status do sistema e o Status da instância estão OK. Também é possível usar as métricas do Amazon CloudWatch para verificar o status da sua instância e identificar problemas que afetam a conectividade.

Observação: é uma prática recomendada verificar a manutenção programada e outros eventos que possam afetar a conectividade da instância.

Se o Status da instância não estiver OK, reinicie sua instância. A reinicialização de uma instância normalmente resolve problemas menores. Se você ainda não conseguir se conectar ou se o Status do sistema não estiver OK, o problema pode ser a infraestrutura da AWS. Para resolver esse problema, consulte Por que minha instância Windows do EC2 está inativa com uma falha na verificação do status do sistema?

Se você ainda encontrar problemas, consulte Como soluciono problemas de falhas na verificação de status da minha instância Linux do EC2? ou Por que minha instância Windows do EC2 está inativa com uma falha na verificação do status da instância?

Solucione erros de conexão

Se sua instância passar nas verificações de status mas você receber erros de conexão, consulte os seguintes recursos:

• Como resolvo problemas de conexão SSH com minha instância Linux do Amazon EC2?
• Como soluciono problemas de conexão do RDP com a minha instância Windows do Amazon EC2?
• Como faço para solucionar erros de autenticação ao usar o RDP para me conectar a uma instância Windows do EC2?
• Solucionar problemas de conexão com a instância do Linux do Amazon EC2
• Solucionar problemas de conexão à instância do Windows do Amazon EC2

Restaure sua conexão SSH

Observação: se você perdeu seu par de chaves SSH, consulte Como faço para me conectar à minha instância do Amazon EC2 se eu perder meu par de chaves SSH após a execução da instância?

Analise suas configurações de nome de usuário e endereço IP

Certifique-se de usar o nome de usuário correto em sua instância. Em seguida, conecte-se à instância a partir de um endereço IP público.

Observação: se você se conectar a partir de um endereço IP privado, certifique-se de ter uma conexão de rede ativa com a instância de destino.

Verifique o status do servidor SSH

Para verificar o status do servidor SSH, use o Gerenciador de Sessões, o EC2 Instance Connect ou o Console de série do EC2 para se conectar à instância.

Execute o comando a seguir para verificar o status do serviço SSH com base na sua distribuição:

Sistemas que usam systemd:

sudo systemctl status sshd

Sistemas Ubuntu ou Debian:

sudo systemctl status ssh

Sistemas legados, como o CentOS 6:

sudo service sshd status

Se o status do serviço SSH for Interrompido, execute o seguinte comando para iniciar o serviço com base na sua distribuição:

Sistemas que usam systemd:

sudo systemctl start sshd

Sistemas Ubuntu ou Debian:

systemctl start ssh

Sistemas legados, como o CentOS 6:

sudo service sshd start

Analise as permissões do seu arquivo de chave privada

Certifique-se de que seu arquivo de chave privada tenha a permissão de leitura necessária.

Teste a conectividade da rede

Para testar a conectividade com a porta 22, execute um dos seguintes comandos do seu cliente:

nc -zv Host 22

-ou-

telnet Host 22

Observação: substitua Host pelo seu endereço IP ou pelo nome de domínio totalmente qualificado (fully qualified domain name, FQDN).

Em seguida, execute o comando a seguir para usar a conexão SSH à sua instância no modo detalhado:

ssh -i key_pair.pem user@Host -vvv

Observação: substitua Host pelo seu endereço IP ou pelo FQDN.

Para solucionar problemas de conexão, consulte Como soluciono os erros de "Connection refused" ou "Connection timed out" ao tentar me conectar à minha instância do EC2 usando SSH? e Solucionar problemas de conexão com a instância do Linux do Amazon EC2.

Restaure sua conexão do EC2 Instance Connect

Primeiro, use o SSH, o Gerenciador de Sessões ou o Console de série do EC2 para se conectar à sua instância e garantir que você tenha instalado o EC2 Instance Connect. Em seguida, use o EC2 Instance Connect para se conectar à instância.

Se você tiver problemas ao usar o EC2 Instance Connect, certifique-se de permitir o tráfego SSH de entrada na porta 22 para o nome da lista de prefixos com.amazonaws.region.ec2-instance-connect. Verifique se sua política de usuário do AWS Identity and Access Management (AWS IAM) inclui a ação ec2-instance-connect:SendSSHPublicKey.

Se você ainda tiver problemas, consulte Como soluciono problemas ao usar o EC2 Connect para me conectar à minha instância do EC2?

Use o Console de série do EC2 para restaurar a conexão

Pré-requisito: configure o acesso ao Console de série do EC2.

Para usar o Console de série do EC2 para se conectar à sua instância, é possível usar o console do Amazon EC2 ou o SSH. Para obter mais informações, consulte Como faço para acessar o console de série do EC2 de uma instância inacessível do Linux?

Depois de se conectar, solucione problemas de inicialização, configuração de rede ou outros problemas em sua instância.

Se você tiver problemas ao usar o Console de série do EC2, certifique-se de que sua política do IAM inclua a ação ec2-instance-connect:SendSerialConsoleSSHPublicKey.

Restaure sua conexão com o Gerenciador de Sessões

O Gerenciador de Sessões gerencia a autenticação somente por meio de perfis e permissões do IAM, e não por meio de chaves SSH. Antes de usar o Gerenciador de Sessões, certifique-se de cumprir os pré-requisitos do Gerenciador de Sessões. Em seguida, use o Gerenciador de Sessões para se conectar à sua instância.

Se você tiver problemas ao usar o Gerenciador de Sessões, realize as seguintes ações.

Verifique seus perfis do IAM

Confirme se a instância tem um perfil do IAM com a política AmazonSSMManagedInstanceCore anexada.

Ou certifique-se de que o perfil tenha as seguintes permissões necessárias:

• ssmmessages:CreateControlChannel
• ssmmessages:CreateDataChannel
• ssmmessages:OpenControlChannel
• ssmmessages:OpenDataChannel

É possível adicionar as permissões necessárias do Gerenciador de Sessões a um perfil já criado.

Observação: se você usa a Configuração padrão de gerenciamento de host para gerenciar suas instâncias, não será preciso criar um perfil de instância do IAM para gerenciar instâncias.

Se você atualizar as permissões, separe e reanexe o perfil do IAM. Aguarde alguns minutos e, em seguida, inicie o AWS Systems Manager Agent (SSM Agent) ou inicie a instância.

Solucione problemas de status do SSM Agent

Verifique se instalou o SSM Agent na instância.

Use o SSH, o Console de série do EC2 ou o EC2 Instance Connect para se conectar à sua instância. Execute o comando a seguir para verificar o status do SSM Agent com base na sua distribuição:

Sistemas que usam systemd:

sudo systemctl status amazon-ssm-agent

Sistemas Debian ou Ubuntu:

sudo systemctl status snap.amazon-ssm-agent.amazon-ssm-agent.service

Se o status do agente estiver Interrompido, execute o comando a seguir para iniciá-lo, com base na sua distribuição.

Sistemas que usam systemd:

sudo systemctl start amazon-ssm-agent

Sistemas Debian ou Ubuntu:

sudo systemctl start snap.amazon-ssm-agent.amazon-ssm-agent.service

Para verificar se o SSM Agent está em execução, verifique o log do sistema.

É uma prática recomendada usar a versão mais recente do SSM Agent. Para verificar se você tem a versão mais recente, consulte amazon-ssm-agent/RELEASENOTES no site do GitHub. Se você não tiver a versão mais recente, instale um SSM Agent atualizado com base no seu sistema operacional (SO).

Para solucionar outros problemas, verifique se há erros nos logs de /var/log/amazon/ssm/amazon-ssm-agent.log. Ou consulte Solução de problemas do SSM Agent.

Verifique a conectividade da rede

Certifique-se de que suas ACLs da rede e grupos de segurança permitam uma conexão de saída com o endpoint do AWS Systems Manager na porta 443.

Se sua instância não aparecer no Gerenciador de Sessões, consulte Por que o Systems Manager não está mostrando minha instância do Amazon EC2 como uma instância gerenciada?

Para instâncias privadas, crie endpoints de nuvem privada virtual (VPC). Em Nome do serviço, selecione com.amazonaws.REGION.ssm e com.amazonaws.REGION.ssmmessages.

Observação: substitua REGION pela sua região da AWS.

O grupo de segurança que você anexa aos endpoints da VPC deve permitir tráfego de entrada na porta 443.

Para obter mais informações, consulte Unable to connect to endpoint (Não é possível se conectar ao endpoint).

Verifique se há pré-requisitos ausentes

Use o SSH, o Console de série do EC2 ou o EC2 Instance Connect para se conectar à sua instância e, em seguida, execute o seguinte comando para solucionar problemas de disponibilidade de nó gerenciado:

sudo ssm-cli get-diagnostics --output table

Verifique na saída os pré-requisitos do Gerenciador de Sessões que estão faltando.

Ou execute um runbook do Systems Manager para verificar automaticamente os pré-requisitos ausentes. Execute AWSSupport-TroubleshootManagedInstance para verificar sua configuração de VPC, incluindo regras de grupos de segurança, endpoints da VPC, regras de ACL da rede, tabelas de rotas e perfis do IAM. Execute AWSSupport-TroubleshootSessionManager para verificar se você cumpre os pré-requisitos do Gerenciador de Sessões.

Verifique os logs do console da instância

Se não for possível usar os métodos anteriores para se conectar à sua instância, execute o seguinte script user data para restaurar a conexão do Gerenciador de Sessões:

Content-Type: multipart/mixed; boundary="//"MIME-Version: 1.0
--//
Content-Type: text/cloud-config; charset="us-ascii"
MIME-Version: 1.0
Content-Transfer-Encoding: 7bit
Content-Disposition: attachment; filename="cloud-config.txt"
#cloud-config
cloud_final_modules:
- [scripts-user, always]
--//
Content-Type: text/x-shellscript; charset="us-ascii"
MIME-Version: 1.0
Content-Transfer-Encoding: 7bit
Content-Disposition: attachment; filename="userdata.txt"

#!/bin/bash

sudo ssm-cli get-diagnostics --output table >> /dev/console
# or
sudo ssm-cli get-diagnostics --output table >> /dev/ttyS0

Em seguida, verifique a saída do console da instância para identificar a etapa de conexão que apresenta falha. Depois de solucionar a etapa de falha, use o Gerenciador de Sessões para testar a conexão.

Se você ainda não conseguir se conectar, use uma instância de resgate para solucionar problemas de inicialização.

Informações relacionadas

Solucionar problemas com instâncias do Amazon EC2