Nie można połączyć się z instancją EC2 w VPC (Amazon AWS)

46

Podjąłem następujące kroki:

Utworzono VPC (z jedną publiczną podsiecią)
Dodano instancję EC2 do VPC
Przydzielono elastyczny adres IP
Powiązano elastyczny adres IP z instancją
Utworzono grupę zabezpieczeń i przypisano ją do instancji
Zmodyfikowano reguły bezpieczeństwa, aby umożliwić przychodzące echo ICMP i TCP na porcie 22

Zrobiłem to wszystko i nadal nie mogę pingować ani ssh do instancji. Jeśli wykonam te same kroki bez bitów VPC, mogę to skonfigurować bez problemu. Jakiego kroku mi brakuje?

amazon-ec2 amazon-web-services amazon-vpc

— Ryan Lynch
źródło

2

Czy przypisałeś bramę i trasę do podsieci VPC?

— zorlem,

Jeśli przejdę do bram internetowych, do VPC jest przypisana brama. Jak sprawdzić, czy wyznaczono trasę?

— Ryan Lynch,

Czy trasa jest tablicą tras?

— Ryan Lynch,

2

tak, musisz przypisać „bramę internetową” do publicznej tablicy routingu.

— zorlem,

1

Doskonale, dzięki stary. Jeśli podasz to w formie odpowiedzi, zaakceptuję. Czy w swojej odpowiedzi mógłbyś również określić, co dokładnie umieścić w tabeli tras? Podaję 0.0.0.0/0 i cel jako bramę internetową, ale to nie brzmi dobrze.

— Ryan Lynch

75

Aby komunikować się poza VPC, każda inna niż domyślna podsieć potrzebuje tabeli routingu i powiązanej z nią bramy internetowej (domyślne podsieci domyślnie otrzymują bramę zewnętrzną i tabelę routingu).

W zależności od sposobu utworzenia publicznej podsieci w VPC może być konieczne jawne dodanie ich dodatkowo. Twoja konfiguracja VPC brzmi tak, jakby pasowała do Scenariusza 1 - prywatna chmura (VPC) z pojedynczą publiczną podsiecią i brama internetowa umożliwiająca komunikację przez Internet z dokumentacji AWS VPC.

Musisz dodać bramę internetową do swojego VPC i wewnątrz tabeli routingu podsieci publicznej przypisać0.0.0.0/0 (domyślną trasę), aby przejść do przypisanej bramy internetowej. W dokumentacji znajduje się ładna ilustracja dokładnej topologii sieci.

Aby uzyskać więcej informacji, możesz sprawdzić dokumentację AWS VPC Internet Gateway . Niestety jest trochę niechlujny i nieoczywisty gotcha.

Aby uzyskać więcej informacji na temat problemów z połączeniem, zobacz także: Rozwiązywanie problemów z łączeniem się z instancją .

— zorlem
źródło

2

Oprócz przypisania domyślnej trasy dla bramy internetowej musiałem również powiązać podsieć z tablicą routingu. Ale kiedy zrobiłem te dwie rzeczy, zacząłem działać. Dzięki.

— Sam Kenny

4

Zarządzanie VPC> Tabela tras> [Trasy]> Dodaj, 0.0.0.0/0, menu rozwijane, aby wybrać bramę internetową

— Scott R. Frost

Wyrzucę to, aby internet mógł uczyć się na moim błędzie. Jeśli twoja droga do bramy internetowej ma miejsce docelowe 0.0.0.0/32, to nie będzie działać. Trasę należy zmienić na 0.0.0.0/0, jak określono w odpowiedzi Zorlema.

— Douglas odbył się

4

Nie jestem pewien, czy dokładnie tak jest, ale właśnie utworzyłem VPC z podsieciami publicznymi i prywatnymi i zauważyłem, że istnieje domyślna grupa zabezpieczeń, która ma adres źródłowy jako taką samą nazwę grupy zabezpieczeń. Skuteczne nie ma dostępu. Musiałem zmienić to źródło na Anywhere i zaczęło działać.

— dil
źródło

Witam, testuję również ten scenariusz 2. Wystąpienie publiczne i prywatne w podsieci publicznej i prywatnej. Chodzi o to, że nie rozumiem, w jaki sposób prywatna instancja może mieć dostęp do Internetu i aktualizować oprogramowanie.

— The One

Dzięki, to był mój problem, zakładałem, że oznacza to, że wszystkie instancje w VPC miały dostęp

— Santthosh,

3

Zauważyłem, że (myślę) należy uważać na strefę dostępności, w której tworzona jest instancja. Podsieć, interfejs sieciowy i instancja muszą znajdować się w tej samej strefie dostępności, w przeciwnym razie nie będzie możliwości połączenia się z publicznym adresem IP dla tego przypadku

Mogę się mylić - ale nie sądzę, aby to zrozumieć, kosztowało mnie to 12 godzin pracy.

Mam nadzieję, że to pomaga komuś innemu.

— malarz
źródło

To jest poprawne. Scenariusz 1, jak wspomniano w odpowiedzi, polega na tym, że tworzysz /16VPC, a następnie tworzysz /24w każdym AZ, w którym chcesz pracować

— Machavity,

1

Powinieneś przydzielić ENI i przypisać Elastyczny adres IP do tego ENI. Powinieneś także przypisać ten ENI do swojego VPC. Tabela tras również musi być poprawna, aby poprawnie przekazywać pakiety zewnętrzne do twojego VPC.

— Lucas Freitas
źródło

Uważam, że dodanie ENI jest potrzebne, jeśli chcesz dodatkowych interfejsów sieciowych w swoich instancjach, domyślnie są one wyposażone w jedną kartę sieciową.

— zorlem,

0

Ponieważ SSH jest protokołem stanowym, musisz upewnić się, że masz w sieci ACL następującą regułę WYJŚCIE:

Rule #  Type            Protocol        Port Range      Destination     Allow / Deny
100     Custom TCP Rule TCP (6)         49152-65535     0.0.0.0/0       ALLOW

— Khalid Anwar
źródło