O AWS se conecta a uma instância de sub-rede privada sem passar pelo NAT

Question

Antes de mais nada, sei que isso não é algo que você deve sempre fazer, mas, por enquanto, economizaria muitas horas, se de fato fosse possível.

Eu posso fazer o seguinte:

ssh (with .pem) -> NAT -> ssh to private subnet instance -> success

Eu quero ser capaz de ignorar a parte NAT e ir direto para a instância privada.

Eu também atribuí minha instância privada a public ip , mas as tentativas de conexão são interrompidas e, eventualmente, atingem o tempo limite.

Os resultados do ssh with -vvv specified

ssh -vvv -A ec2-user@<public-IP>
OpenSSH_6.2p2, OSSLShim 0.9.8r 8 Dec 2011
debug1: Reading configuration data /etc/ssh_config
debug1: /etc/ssh_config line 20: Applying options for *
debug2: ssh_connect: needpriv 0
debug1: Connecting to <public-IP> [<public-IP>] port 22.
debug1: connect to address <public-IP> port 22: Operation timed out
ssh: connect to host <public-IP> port 22: Operation timed out

A regra ssh está presente em security group

SSH TCP 22 0.0.0.0/0

Preciso adicionar a rota à (s) tabela (s) de rota ou algo assim? Entendo que, como é privado, não deve ser acessado dessa maneira, mas é uma solução temporária para testar novos aplicativos, não há implicações de segurança atualmente, pois tudo está sendo executado com dados fictícios e as instâncias serão refeitas antes da implantação real .

Eu adicionei uma regra de grupo de segurança que permite a porta TCP 22 para conexões de entrada ssh e ainda não obtém sucesso ao tentar acessar via ip público atribuído.

Qualquer ajuda seria apreciada.

    

Answer 1

Se você quiser ssh sua instância sem NAT, ela deve ser acessada pela sua rede (onde seu laptop está). vejo assim duas soluções:

• defina um IP elástico para sua instância + gateway de internet / rota para sua sub-rede. Um IP elástico sem gateway de internet não é suficiente, pois o tráfego não será roteado adequadamente. No entanto, se você configurar um gateway da Internet, o NAT se tornará inútil
• A maneira correta de fazer isso seria usar uma solução VPN, como o openvpn (você pode encontrar uma AMI openvpn, toda configurada a partir da comunidade aws). por exemplo, consulte este thread para mais detalhes sobre VPN