¿Cómo configuro los grupos de seguridad y las ACL de red cuando creo un punto de enlace de interfaz de Amazon VPC para los servicios de punto de enlace?

Resolución

Cuando creas un punto de enlace de la interfaz de Amazon VPC con un servicio de punto de enlace, Amazon VPC crea una interfaz de red elástica en la subred que especificas. El punto de enlace de la interfaz recibe la ACL de red de la subred asociada. También debes asociar un grupo de seguridad al punto de enlace de la interfaz para controlar el tráfico entrante.

Cuando asocias un equilibrador de carga de red a un servicio de punto de enlace, el equilibrador de carga de red reenvía las solicitudes al destino registrado. El equilibrador de carga de red reenvía las solicitudes como si una dirección IP registrara el destino. En este caso, las direcciones IP de origen son las direcciones IP privadas de los nodos del equilibrador de carga.

Si tienes acceso al servicio de punto de enlace de Amazon VPC, comprueba las siguientes configuraciones:

• Las reglas del grupo de seguridad entrante de los destinos del equilibrador de carga de red permiten el tráfico desde la dirección IP privada de los nodos del equilibrador de carga de red. Para obtener más información, consulta Consideraciones.
• Las reglas de ACL de red de los destinos del equilibrador de carga de red permiten el tráfico desde la dirección IP privada de los nodos del equilibrador de carga de red.

Búsqueda de la ACL de red asociada a tu punto de enlace de interfaz

Sigue estos pasos:

1. Abre la consola de Amazon VPC.
2. Selecciona Puntos de enlace y, a continuación, selecciona el ID de tu punto de enlace.
3. Selecciona la vista Subredes.
4. Selecciona las subredes asociadas.
5. En la sección Subredes, anota la ACL de red asociada a las subredes.

Búsqueda del grupo de seguridad que has asociado al punto de enlace de la interfaz

Sigue estos pasos:

1. Abre la consola de Amazon VPC.
2. Selecciona Puntos de enlace y, a continuación, selecciona el ID de tu punto de enlace.
3. Selecciona la vista Grupos de seguridad.
4. Anota los ID de los grupos de seguridad asociados.

Actualización del grupo de seguridad asociado a tu equilibrador de carga de red

Puedes controlar si el tráfico de AWS PrivateLink está sujeto a las reglas de entrada. Si activas las reglas de entrada en el tráfico de PrivateLink, el origen del tráfico es la dirección IP privada del cliente, no la interfaz del punto de enlace.

Si no quieres usar reglas de entrada en el tráfico que PrivateLink envía al equilibrador de carga, configura el equilibrador de carga. Para obtener más información, consulta Actualización de los grupos de seguridad de tu equilibrador de carga de red.

Configuración del grupo de seguridad asociado al punto de enlace de la interfaz

Nota: Los grupos de seguridad tienen estado. Cuando se define una regla en una dirección, se permite automáticamente el tráfico en la otra dirección.

Cuando configures la regla de entrada, introduce el mismo puerto que el de tu servicio de punto de enlace en Rango de puertos. En Origen, introduce la dirección IP o la red del cliente que inicia el proceso.

Nota: No es necesario crear una regla de salida en el grupo de seguridad asociado al punto de enlace de la interfaz.

Repite estos pasos en cada grupo de seguridad asociado al punto de enlace de la interfaz.

Configuración de la ACL de red asociada al punto de enlace de la interfaz

Nota: Las ACL de red no tienen estado. Debes definir reglas para el tráfico entrante y saliente.

Sigue estos pasos:

1. Agrega reglas a la ACL de tu red.
2. Para la regla de entrada, utiliza las siguientes configuraciones para permitir el tráfico del cliente:
   En Rango de puertos, introduce el mismo puerto que tu servicio de punto de enlace.
   En Origen, introduce la dirección IP o la red del cliente.
3. En la regla de salida, utiliza las siguientes configuraciones para permitir el tráfico de retorno desde el punto de enlace de la interfaz:
   En Rango de puertos, introduce 1024-65535.
   En Destino, introduce la dirección IP o la red del cliente.

Si has especificado diferentes ACL de red para cada subred, repite los pasos para cada ACL de red asociada al punto de enlace de la interfaz.

Nota: Al configurar el grupo de seguridad del cliente de origen, verifica que las reglas de salida permitan la conectividad a las direcciones IP privadas del punto de enlace de la interfaz. No necesitas verificar las reglas de entrada del grupo de seguridad del cliente. En la ACL de red del cliente de origen, utiliza las siguientes configuraciones:

• En la regla de entrada, introduce el rango de puertos efímeros 1024-65535 en Rango de puertos. En Origen, introduce la dirección IP privada del punto de enlace de la interfaz.
• En la regla de salida, introduce el mismo puerto que tu servicio de punto de enlace en Rango de puertos. En Destino, introduce la dirección IP privada del punto de enlace de la interfaz.

Información relacionada

¿Cómo soluciono los problemas de conectividad entre un punto de enlace de Amazon VPC de interfaz y un servicio de punto de enlace gestionado por el cliente?

¿Por qué no puedo conectarme a un servicio cuando el grupo de seguridad y la ACL de red permiten el tráfico entrante?