Почему я не могу получить доступ к Интернету из своей частной подсети в AWS VPC?

Я использовал мастер настройки VPC для создания VPC типа № 2 (общедоступная и частная подсеть). Я создаю джамп-бокс в общедоступной и сервер в частной подсети. Я могу подключиться по SSH к ящику перехода, а оттуда — к серверу, работающему в частной подсети. Однако, когда я нахожусь на сервере в частной подсети, я не могу выйти в Интернет или запустить yum. Что мне не хватает? Все, что я читаю, говорит о том, что я должен быть готов и иметь возможность начать доступ в Интернет из частной подсети, не делая ничего особенного для таблиц маршрутизации.


amazon-web-services vpc subnet
person mlbiam    schedule 22.11.2014    source источник

Ответы (2)


arrow_upward
2
arrow_downward

Причин может быть много из-за различных ошибок конфигурации, но наиболее распространенная проблема заключается в том, что вы пренебрегаете интернет-шлюзом для вашего VPC.

По умолчанию экземпляры, которые вы запускаете в виртуальном частном облаке (VPC), не могут обмениваться данными с Интернетом. Вы можете включить доступ к Интернету из вашего VPC, подключив интернет-шлюз к VPC, убедившись, что ваши экземпляры имеют общедоступный IP-адрес, создав пользовательскую таблицу маршрутов и обновив правила группы безопасности.

http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_Internet_Gateway.html

person E.J. Brennan    schedule 22.11.2014
comment
Есть интернет-шлюз, он был создан при запуске мастера - person mlbiam; 23.11.2014

arrow_upward
1
arrow_downward

Возможно, вы создали новую группу безопасности для «частного сервера» во время запуска?

Если это так, вы бы обнаружили, что по умолчанию группа безопасности для вашего экземпляра NAT EC2 (созданная мастером) не разрешала бы трафик из «группы безопасности частного сервера» (изначально группа безопасности экземпляра NAT разрешала только входящий трафик из группы безопасности экземпляра NAT).

Чтобы разрешить «частному серверу» доступ в Интернет, необходимо явно добавить «группу безопасности частного сервера» в правила для входящих подключений группы безопасности экземпляра NAT.

Например:

Частный сервер 1 Экземпляр EC2

  • VPC = "МойVPCID"
  • Группа безопасности = "группа безопасности частного сервера"

Экземпляр NAT EC2

  • VPC = "МойVPCID"
  • Security Group = "default"
    • Inbound: All from "default" <-- there by default
    • Входящие: все из "группы безопасности частного сервера" ‹-- добавить это правило

Конечно, вы также должны убедиться, что у вас есть:

  • интернет-шлюз в таблице маршрутов, используемой подсетью, используемой экземпляром NAT (должен быть создан мастером)
  • маршрут к экземпляру NAT в таблице маршрутов, используемой подсетью, используемой «частным сервером» (должен был быть создан Мастером)
person Paul J    schedule 23.12.2015