Auf AWS habe ich eine NAT-Instanz (Linux) und einen Webserver (Windows 2019) auf einem VPC. Der Webserver funktioniert wie er soll, ich kann auch per RDP über das NAT auf den Webserver zugreifen, ohne Probleme. Das Problem ist, dass von der Webserverinstanz kein ausgehender Zugriff auf das Internet besteht; nachdem ich per RDP (als Administrator) zugegriffen habe, kann ich nicht surfen.
Grundlegende AWS-Netzwerkkonfiguration:
VPC-Netzwerk-ACL: eingehend: Alle erlaubt, ausgehend: Alle erlaubt
VPC ist mit einem Internet-Gateway verbunden
VPC: 10.0.0.0/16
öffentliches Subnetz: 10.0.2.0/24
Privates Subnetz: 10.0.1.0/24
NAT-IP: 10.0.2.40
Web-IP: 10.0.1.128
Deaktivierte Quell-/Zielprüfung auf NAT
Sicherheitsgruppe auf dem Webserver: eingehend vom NAT-Server und ausgehend, alles offen.
Sicherheitsgruppe auf NAT-Server: eingehend von 80, Web-SG und meine IP, und ausgehend alles offen.
Netzwerk auf NAT: IP-Weiterleitung ist aktiviert, und da die Webanwendung funktioniert, glaube ich nicht, dass es hier irgendwelche Probleme gibt.
sysctl -q -w net.ipv4.ip_forward=1
iptables -L -n -t nat
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
DNAT tcp -- 0.0.0.0/0 10.0.2.40 tcp dpt:443 to:10.0.1.128
DNAT tcp -- 0.0.0.0/0 10.0.2.40 tcp dpt:80 to:10.0.1.128
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
113235 7781297 MASQUERADE all -- * eth0 0.0.0.0/0 0.0.0.0/0
Ich kann über das Internet auf die von der Windows 2019-Instanz bereitgestellte Anwendung zugreifen, das Netzwerk scheint diesbezüglich zu funktionieren.
Möglicherweise benötige ich zusätzliche Einstellungen für NAT oder Windows 2019. Die einzige Konfiguration, die ich unter Windows 2019 vorgenommen habe, ist das Einrichten des IIS.
Was muss ich überprüfen und einstellen, um vom Webserver aus ausgehende Internet-Browsing-Funktionen nutzen zu können?
Antwort1
Das Problem wurde gelöst. Die private Routentabelle musste ihr Ziel auf die NAT-Instanz setzen.
Bearbeiten Sie die private Route und fügen Sie hinzu: 0.0.0.0/0 Ziel: NAT-Instanz.
Die öffentliche Route sollte auf das Internet-Gateway abzielen, sofern dies nicht bereits eingestellt ist.
Es kann auch hilfreich sein, den Portadressübersetzer auf dem NAT auszuführen. Ich glaube, meine Einstellungen haben das vor der Ausführung bereits unterstützt.
/usr/local/sbin/configure-pat.sh
Hoffe, das hilft jemandem, ich war ein paar Tage damit beschäftigt.