Como soluciono problemas de conectividade da internet com instâncias do Amazon EC2 em minha VPC?

Breve descrição

Os problemas de conexão da internet com as instâncias do Amazon EC2 geralmente estão relacionados às seguintes configurações:

• Grupo de segurança
• Lista de controle de acesso (ACL) à rede
• Tabela de rotas
• AWS Network Firewall
• Sistema operacional (SO)

Resolução

Antes de começar, confirme se sua instância do EC2 é aprovada pelas verificações de status do sistema e pelas verificações de status da instância.

Se você estiver usando o Network Firewall, consulte How do I troubleshoot issues with Network Firewall when a rule isn't working as expected? (Como solucionar problemas com o Network Firewall quando uma regra não está funcionando conforme o esperado?)

Verifique os grupos de segurança

Confirme se o grupo de segurança associado à interface de rede elástica da instância permite conexões a partir das portas necessárias. Como os grupos de segurança têm estado, você não precisa configurar as regras de saída do grupo de segurança.

Importante: em um ambiente de produção, permita que somente um endereço IP específico ou um intervalo de endereços acesse sua instância. Para fins de teste, especifique o endereço IP personalizado 0.0.0.0/0 para permitir que todos os endereços IP usem SSH ou RDP para acessar sua instância.

Por exemplo, se você estiver usando SSH para se conectar à instância pela internet, adicione uma regra na porta 22. Certifique-se de que a regra permita que o endereço IP de origem acesse a instância. Para permitir que qualquer pessoa se conecte, adicione uma regra para permitir a porta 80 para o endereço IP 0.0.0.0/0.

Verifique as ACLs de rede

Verifique suas ACLs de rede para ver as seguintes configurações:

• As ACLs de rede associadas à sua sub-rede da VPC devem permitir o tráfego pelas portas necessárias. Para obter mais informações, consulte Controlar o tráfego da sub-rede com listas de controle de acesso à rede e Adicionar e excluir regras.
• Permita tráfego de entrada e saída. As ACLs de rede não têm estado. As respostas ao tráfego de entrada permitido estão sujeitas às regras do tráfego de saída. As respostas ao tráfego de saída permitido estão sujeitas às regras do tráfego de entrada.
• Certifique-se de que as portas temporárias sejam as únicas portas abertas para ACLs de rede de saída. É uma prática recomendada permitir somente as portas de que você precisa.

Importante: se você ainda não tiver certeza do que está bloqueando o acesso do tráfego à sua instância, ative os logs de fluxo da VPC. Os logs de fluxo capturam o tráfego de endereços IP que flui pela sua VPC. Se houver tráfego rejeitado em seus logs de fluxo, verifique seus grupos de segurança e as configurações da ACL da rede novamente.

Verifique as tabelas de rotas

Para verificar se um gateway da internet está conectado à sua VPC, conclua as seguintes etapas:

1. Abra o console da Amazon VPC.
2. No painel de navegação, na seção Virtual Private Cloud, clique em Gateways da internet.
3. Pesquise o gateway da internet que está anexado à sua VPC. Também é possível pesquisar o ID da sua VPC anexada, por exemplo, vpc-xxxxxxxx.
4. Anote o ID do gateway da internet, por exemplo, igw-xxxxxxxx.

Se um gateway da internet já estiver anexado à sua VPC, conclua as seguintes etapas:

1. Verifique as tabelas de rotas da sua VPC para ver se há uma rota para seu gateway da internet. Procure uma entrada de rota cujo Target seja o ID do gateway da internet anexado à sua VPC e cujo Destination seja 0.0.0.0/0.
2. Se a rota não existir, adicione uma entrada de rota com o gateway da internet como Target e 0.0.0.0/0 como Destination.
3. Certifique-se de que a tabela de rotas de sub-rede também tenha uma entrada de rota para o gateway da internet. Se essa entrada não existir, a instância está em uma sub-rede privada e está inacessível pela internet.

Observação: confirme se as tabelas de rotas no nível do sistema operacional permitem o tráfego da internet. Dependendo da sua configuração, use o comando route -n para instâncias Linux ou o comando netstat -rn para instâncias Linux ou Windows.

Verifique os endereços IP

• Confirme se um endereço IP público está atribuído à sua instância da VPC ou se um endereço IP elástico está anexado à interface de rede da instância. Se um endereço IP público ou endereço IP elástico não estiver atribuído, atribua um.
  Observação: para obter mais informações, consulte Endereçamento IP para suas VPCs e sub-redes e Associar endereços de IP elásticos a recursos em sua VPC.
• Certifique-se de que o software ou os firewalls no nível do sistema operacional da instância permitam o tráfego pelas portas necessárias.

Informações relacionadas

Por que não consigo usar um gateway NAT para acessar a Internet a partir das minhas instâncias do Amazon EC2?

Garantir a privacidade do tráfego entre redes na Amazon VPC