¿Cómo puedo solucionar los problemas de conectividad de mis puntos de conexión de interfaz de Amazon VPC?

Breve descripción

Para solucionar los problemas de conectividad de los puntos de conexión de Amazon VPC de interfaz, compruebe lo siguiente:

• Resolución de nombres DNS
• Política de punto de conexión
• Grupo de seguridad del punto de conexión de Amazon VPC
• Listas de control de acceso de la red (ACL de la red) de la subred
• Configuración de enrutamiento
• Resultados del Analizador de accesibilidad
• Conectividad con los puntos de conexión de Amazon VPC de interfaz

Solución

Resolución de nombres DNS

Cuando los nombres DNS privados están activados, se pueden ejecutar llamadas a la API de AWS para los puntos de conexión del servicio. Estas llamadas se resuelven en las direcciones IP privadas de los puntos de conexión de interfaz. Si los nombres DNS privados no están activados, especifique el nombre DNS regional o zonal del punto de conexión de Amazon VPC para ejecutar las llamadas a la API.

Para confirmar la resolución de DNS del nombre del punto de conexión de Amazon VPC de interfaz al que desea conectarse, utilice los comandos dig o nslookup.

Para obtener más información, consulte ¿Por qué no puedo resolver los nombres de dominio de servicio para un punto de conexión de VPC de interfaz?

Política de punto de conexión

La política de punto de conexión predeterminada concede total acceso al servicio. Si utiliza una política personalizada, asegúrese de tener los permisos necesarios para permitir el acceso con el fin de realizar las acciones necesarias. Para obtener más información, consulte Uso de políticas de punto de conexión para controlar el acceso a puntos de conexión de VPC.

Grupo de seguridad del punto de conexión de Amazon VPC

Los grupos de seguridad se pueden asociar a puntos de conexión de Amazon VPC de interfaz para controlar el acceso. Asegúrese de que las reglas de entrada del grupo de seguridad permitan la comunicación con los puertos y el protocolo en función de los puertos en los que el servicio acepte conexiones.

Nota: Si crea un punto de conexión de interfaz y no se selecciona ningún grupo de seguridad, se utilizará el grupo de seguridad predeterminado.

ACL de red de la subred

Compruebe que las ACL de red de la subred permitan conexiones entrantes y salientes a las interfaces de red elástica del punto de conexión de interfaz. Asegúrese de que las conexiones estén permitidas desde las redes de origen cuando se conecte desde fuera de Amazon VPC.

Para obtener más información, consulte How do I configure security groups and network ACLs when creating a VPC interface endpoint for endpoint services?

Configuración de enrutamiento

Los puntos de conexión de Amazon VPC de interfaz se pueden utilizar para acceder a servicios de forma privada desde AWS o desde una red local. Cuando se establece conexión desde la misma Amazon VPC que el punto de conexión de interfaz, la ruta local se encarga del enrutamiento en las tablas de enrutamiento de subred. Por lo tanto, no se necesitan configuraciones de enrutamiento adicionales.

Si se conecta al punto de conexión desde fuera de Amazon VPC, asegúrese de que se pueda establecer la conectividad. Confirme la conectividad entre una o varias redes de origen y las subredes de interfaz de red elástica del punto de conexión de VPC de interfaz.

Resultados del Analizador de accesibilidad

Utilice el Analizador de accesibilidad para solucionar los problemas de conectividad entre el origen y el punto de conexión de interfaz. Para obtener más información, consulte ¿Cómo utilizo el Analizador de accesibilidad de Amazon VPC para solucionar problemas de conectividad con un recurso de Amazon VPC?

Conectividad con los puntos de conexión de Amazon VPC de interfaz

Para comprobar si se puede utilizar un punto de conexión de interfaz para alcanzar un servicio, utilice herramientas de conectividad de red en los puertos adecuados.

Si el DNS privado está activado, ejecute el siguiente comando:

telnet ec2.us-east-1.amazonaws.com 443

Nota: Sustituya <example-private-IP-interface-endpoint-ENI> por la dirección IP privada de la interfaz de red elástica del punto de conexión de interfaz.

telnet <example-private-IP-interface-endpoint-ENI> 443

Si el DNS privado está desactivado, ejecute el siguiente comando:

Nota: Sustituya <example-vpc-endpoint-region> por el nombre DNS regional o zonal del punto de conexión de interfaz.

telnet <example-vpc-endpoint-region>.amazonaws.com 443

Información relacionada

¿Por qué no puedo conectarme a un servicio de punto de conexión desde el punto de conexión de mi interfaz en una instancia de Amazon VPC?