Centro de Conhecimento DevOps
Centro de Conhecimento DevOps

Como Diagnosticar e Resolver Problemas Comuns de Conectividade de Instâncias EC2

Este guia abrangente ajuda você a solucionar e resolver problemas comuns de conectividade de rede de instâncias Amazon EC2. Aprenda passo a passo como diagnosticar problemas examinando Grupos de Segurança, NACLs, Tabelas de Roteamento, Gateways de Internet, Gateways NAT e peering de VPC. Inclui exemplos práticos e melhores práticas para garantir que suas instâncias EC2 estejam sempre acessíveis e se comunicando de forma eficaz.

34 visualizações

Diagnóstico e Resolução de Problemas Comuns de Conectividade de Instâncias EC2

Conectar-se às suas instâncias Amazon Elastic Compute Cloud (EC2) é uma tarefa fundamental para gerenciar sua infraestrutura de nuvem. No entanto, problemas de conectividade de rede podem surgir, impedindo que você acesse suas instâncias ou que as instâncias se comuniquem entre si ou com recursos externos. Este guia fornece uma abordagem sistemática para diagnosticar e resolver problemas comuns de conectividade EC2, cobrindo componentes de rede essenciais e possíveis configurações incorretas.

Compreender esses possíveis obstáculos é crucial para manter um ambiente AWS saudável e acessível. Ao seguir as etapas descritas abaixo, você pode identificar eficientemente a origem dos problemas de conectividade e implementar as correções necessárias, garantindo que suas instâncias EC2 sejam alcançáveis e se comuniquem conforme o esperado.

Causas Comuns de Problemas de Conectividade EC2

Problemas de conectividade podem originar-se de várias camadas da pilha de rede AWS. Identificar a causa raiz geralmente envolve a verificação de uma combinação desses elementos:

  • Grupos de Segurança: Estes agem como firewalls virtuais para suas instâncias, controlando o tráfego de entrada e saída no nível da instância.
  • Listas de Controle de Acesso à Rede (NACLs): As NACLs operam no nível da sub-rede e fornecem uma camada adicional de filtragem sem estado para o tráfego que entra e sai das sub-redes.
  • Tabelas de Rota: Essas tabelas direcionam o tráfego de rede dentro da sua Nuvem Privada Virtual (VPC), especificando para onde o tráfego de rede é direcionado.
  • Estado da Instância e Configuração de Rede: Problemas com a própria instância EC2, como ela estar parada ou ter configurações de interface de rede incorretas.
  • Gateway de Internet (IGW) / NAT Gateway: Para instâncias que precisam de acesso à internet, a configuração do IGW (para sub-redes públicas) ou do NAT Gateway (para sub-redes privadas) é crítica.
  • VPC Peering / Transit Gateway: Se estiver conectando entre VPCs, esses serviços de conectividade entre VPCs precisam ser configurados corretamente.

Diagnóstico e Resolução Passo a Passo

Vamos mergulhar nas etapas práticas para solucionar problemas comuns de conectividade.

1. Verifique o Estado da Instância e a Alcançabilidade Básica da Rede

Antes de mergulhar em configurações de rede complexas, certifique-se de que a própria instância está em um estado saudável e possui configurações básicas de rede:

  • Verificações de Status da Instância: No console EC2, selecione sua instância e verifique a guia "Verificações de Status". Certifique-se de que tanto as "Verificações de Status do Sistema" quanto as "Verificações de Status da Instância" estejam passando. Se não estiverem, investigue os problemas subjacentes do sistema ou da instância.
  • IP Público / IP Privado: Confirme se sua instância possui o Endereço IP Público esperado (se estiver em uma sub-rede pública e exigir acesso à internet) ou o Endereço IP Privado.
  • Resolução de DNS: Tente pingar um recurso externo por seu endereço IP e, em seguida, por seu nome de host. Se a resolução de nome de host falhar, mas o ping por endereço IP funcionar, você pode ter um problema de configuração de DNS dentro da sua VPC.

2. Examine os Grupos de Segurança

Os grupos de segurança são firewalls com estado que controlam o tráfego de e para suas instâncias EC2. Eles são uma fonte muito comum de problemas de conectividade.

2.1. Regras de Entrada

Se você não consegue se conectar à sua instância (por exemplo, via SSH ou RDP):

  • Verifique o Grupo de Segurança associado à sua instância EC2.
  • Verifique as Regras de Entrada: Certifique-se de que haja uma regra de entrada permitindo tráfego na porta necessária (por exemplo, porta 22 para SSH, porta 3389 para RDP) do seu endereço IP de origem ou de um intervalo de IP confiável (por exemplo, 0.0.0.0/0 para qualquer lugar, mas tenha cuidado com isso). Para desenvolvimento ou testes, usar seu endereço IP específico (<seu_ip>/32) é uma prática mais segura.
  • Exemplo: Para permitir acesso SSH do seu endereço IP:
    Tipo: SSH Protocolo: TCP Intervalo de porta: 22 Origem: <seu_ip>/32

2.2. Regras de Saída

Se sua instância não consegue alcançar recursos externos (por exemplo, baixar pacotes, conectar-se a outros serviços AWS):

  • Verifique o Grupo de Segurança associado à sua instância EC2.
  • Verifique as Regras de Saída: Por padrão, os grupos de segurança permitem todo o tráfego de saída. Se regras de saída personalizadas foram criadas, certifique-se de que elas permitem o tráfego necessário para suas portas e IPs de destino.
  • Exemplo: Para permitir todo o tráfego de saída:
    Tipo: Todo o tráfego Protocolo: Todos Intervalo de porta: Todos Destino: 0.0.0.0/0

3. Investigue Listas de Controle de Acesso à Rede (NACLs)

As NACLs são firewalls sem estado que operam no nível da sub-rede. Elas filtram o tráfego antes que ele atinja o grupo de segurança ou a instância.

  • Identifique a NACL associada à sub-rede da sua instância.
  • Verifique as Regras de Entrada: As NACLs são avaliadas em ordem por número de regra. Certifique-se de que haja uma regra de entrada que permita tráfego na porta necessária a partir do IP de origem.
  • Verifique as Regras de Saída: Da mesma forma, verifique se as regras de saída permitem tráfego para o destino.
  • Natureza Sem Estado: Lembre-se de que as NACLs são sem estado. Isso significa que você precisa definir regras de entrada e saída para que o tráfego flua em ambas as direções. Por exemplo, se você permite SSH de entrada (porta 22), você também deve permitir tráfego de saída em portas efêmeras (geralmente 1024-65535) para que a resposta retorne.
  • Numeração de Regras: Números de regra menores são avaliados primeiro. Use regras de negação explícitas (por exemplo, regra 100 para negar tráfego específico) e regras de permissão (por exemplo, regra 200 para permitir tráfego mais amplo) com cuidado.

4. Revise as Tabelas de Rota

As tabelas de rota determinam para onde o tráfego de rede é direcionado a partir de suas sub-redes. Roteamento incorreto pode impedir que o tráfego chegue ao seu destino.

  • Encontre a Tabela de Rota associada à sub-rede da sua instância.
  • Verifique se há uma Rota Padrão: Para instâncias em uma sub-rede pública acessarem a internet, deve haver uma rota 0.0.0.0/0 apontando para um Gateway de Internet (IGW).
    Destino | Alvo ----------------|-------- 10.0.0.0/16 | local 0.0.0.0/0 | igw-xxxxxxxxxxxxxxxxx
  • Sub-redes Privadas e NAT Gateways: Para instâncias em uma sub-rede privada acessarem a internet, a tabela de rotas dessa sub-rede precisa de uma rota 0.0.0.0/0 apontando para um NAT Gateway ou NAT Instance.
    Destino | Alvo ----------------|-------- 10.0.0.0/16 | local 0.0.0.0/0 | nat-xxxxxxxxxxxxxxxxx
  • VPC Peering / VPN: Se sua instância precisa se comunicar com recursos em outra VPC ou on-premises, certifique-se de que as rotas apropriadas para esses blocos CIDR existam e apontem para a conexão de peering ou gateway VPN correta.

5. Solucione Problemas de Conectividade do Gateway de Internet (IGW) e NAT Gateway

  • Gateway de Internet (IGW):

    • Certifique-se de que o IGW foi criado e anexado à sua VPC.
    • Verifique se a tabela de rotas da sua sub-rede pública possui uma rota 0.0.0.0/0 apontando para o IGW.
    • Confirme se sua instância possui um endereço IP público ou um endereço IP Elástico atribuído.
    • As regras de grupo de segurança e NACL devem permitir tráfego de/para 0.0.0.0/0 para acesso à internet.

  • NAT Gateway:

    • Certifique-se de que o NAT Gateway foi criado e está em uma sub-rede pública.
    • Verifique se o NAT Gateway possui um Endereço IP Elástico associado a ele.
    • Confirme se a tabela de rotas da sua sub-rede privada possui uma rota 0.0.0.0/0 apontando para o NAT Gateway.
    • As regras de grupo de segurança e NACL devem permitir tráfego da sua sub-rede privada para o NAT Gateway e saída para a internet.

6. VPC Peering e Transit Gateway

Se você estiver enfrentando problemas de conectividade entre VPCs:

  • VPC Peering:
    • Certifique-se de que a conexão de peering esteja ativa e aceita por ambas as VPCs.
    • Verifique se as tabelas de rotas em ambas as VPCs possuem rotas adicionadas para permitir tráfego para os blocos CIDR da VPC pareada.
    • Certifique-se de que os Grupos de Segurança e NACLs em ambas as VPCs permitem tráfego entre os intervalos de IP necessários.
  • Transit Gateway:
    • Confirme se o Transit Gateway foi criado e as VPCs relevantes estão anexadas a ele.
    • Verifique as tabelas de rotas do Transit Gateway para garantir que elas roteiam corretamente o tráfego entre os anexos de VPC.
    • Verifique se as tabelas de rotas dentro de cada VPC também possuem rotas apontando para o Transit Gateway para tráfego destinado a outras VPCs.
    • Os Grupos de Segurança e NACLs dentro de cada VPC devem permitir o tráfego entre VPCs.

7. Usando Ferramentas de Alcançabilidade de Rede da AWS

A AWS fornece ferramentas para ajudar a diagnosticar problemas de rede:

  • VPC Reachability Analyzer: Esta ferramenta permite analisar a alcançabilidade entre dois endpoints dentro da sua VPC ou entre VPCs. Você pode simular o fluxo de tráfego e identificar falhas de caminho devido a Grupos de Segurança, NACLs, Tabelas de Rota ou outras configurações de rede. Você pode encontrá-la no console VPC em "Alcançabilidade de Rede".
  • VPC Flow Logs: Embora não diagnostiquem diretamente falhas de conexão, os VPC Flow Logs capturam informações sobre o tráfego IP de/para as interfaces de rede em sua VPC. A análise desses logs pode revelar padrões de tráfego bloqueado ou inesperado, ajudando você a identificar configurações incorretas em Grupos de Segurança ou NACLs.

8. Outros Problemas Potenciais

  • Interface de Rede Elástica (ENI): Certifique-se de que a ENI esteja anexada à instância e configurada corretamente.
  • Associação da Tabela de Rota da Sub-rede: Verifique se a sub-rede está corretamente associada à sua tabela de rotas pretendida.
  • Configuração de DNS: Se estiver usando DNS personalizado, certifique-se de que ele esteja resolvendo corretamente. Para o DNS padrão da VPC, verifique se a resolução de DNS está habilitada para sua VPC.
  • Servidores Proxy: Se sua instância estiver configurada para usar um proxy, certifique-se de que o próprio proxy esteja acessível e configurado corretamente.

Melhores Práticas para Prevenir Problemas de Conectividade

  • Menor Privilégio: Configure Grupos de Segurança e NACLs com as permissões mínimas necessárias. Evite usar 0.0.0.0/0 para portas sensíveis, a menos que seja absolutamente necessário e protegido por outros meios.
  • Marcação (Tagging): Marque consistentemente seus recursos de rede (VPCs, sub-redes, grupos de segurança, tabelas de rotas) para identificar facilmente seu propósito e as instâncias associadas.
  • Documentação: Mantenha documentação clara sobre sua topologia de rede, esquemas de endereçamento IP e regras de segurança.
  • Auditorias Regulares: Revise periodicamente suas regras de Grupo de Segurança e NACL para garantir que ainda sejam relevantes e seguras.
  • Aproveite as Ferramentas AWS: Familiarize-se com o VPC Reachability Analyzer e os VPC Flow Logs para monitoramento proativo e solução de problemas.

Conclusão

Diagnosticar problemas de conectividade de instâncias EC2 requer uma abordagem metódica, verificando sistematicamente cada camada da pilha de rede AWS. Ao compreender e verificar Grupos de Segurança, NACLs, Tabelas de Rota e configurações de gateway, você pode identificar e resolver efetivamente a maioria dos problemas comuns de conectividade. O uso de ferramentas como o VPC Reachability Analyzer e VPC Flow Logs pode otimizar ainda mais o processo de solução de problemas e ajudar a manter um ambiente de nuvem robusto e acessível.