Permitindo acesso de uma sub-rede privada EC2 à Internet - Amazon AWS

Question

Eu tenho um VPC "VPC com sub-redes públicas e privadas" criado por meio do assistente do VPC, que deve incluir o NAT para as VPCs de sub-rede privada, mas não está funcionando. Eles são incapazes de navegar na Internet, resolver nomes de internet e pingar IPs da Internet.

Este é um conf padrão estoque, estou muito certo disso, então não tenho certeza porque não está funcionando. Talvez houvesse algo adicional que eu deveria fazer que eu não sei?

Obrigado,

Xavier.

    

Answer 1

com vpc padrão, o amazon dhcp fornece às instâncias um ip privado, que não pode ser roteado para fora do gateway de internet aws (esse dispositivo se parece com o IGW-xxxxxxx via console). Portanto, a menos que as instâncias aws sejam encaminhadas para a Internet através do gateway de túnel ipsec (parecido com o VGW-xxxxxx), há duas maneiras de permitir a conectividade com a Internet.

1) forneça instâncias de vpc public ip elásticas, assegure uma rota padrão para o gateway de internet amazon e adicione uma rota para sua lan privada ao gateway de terminação ipsec

2) configure uma segunda instância com o masquerading do iptables e, em seguida, tenha a rota padrão para esse dispositivo, enquanto mantém a rota de lan privada para o ponto de terminação ipsec (de volta ao seu offic)

com # 1, se as instâncias tiverem eip público, então poderá ser conectado pela internet, se você não for cuidadoso com grupos de segurança.

com # 2, todo o tráfego é limitado pela instância masquarading, que é um ponto de falha. (usando o gateway de internet amazons, tenho certeza que eles usam VRRP / HSRP / CARP / ETC, portanto, seu HA). também, embora isso não tenha acontecido comigo pessoalmente, o ip privado da caixa de mascaramento poderia mudar, e assim você precisaria atualizar as informações de concessão do dhcp, e então forçar / esperar para renovar as concessões de instâncias .