Na AWS, tenho uma instância NAT (Linux) e um servidor Web (Windows 2019) em uma VPC. O servidor web funciona como deveria, também posso fazer RDP para o servidor web via nat, sem problemas. O problema é que não há acesso de saída à Internet a partir da instância do Webserver; depois do RDP (como administrador), não consigo navegar.
Configuração básica da rede AWS:
ACL da rede VPC: entrada: todos permitidos, saída: todos permitidos
VPC está associado a um gateway de Internet
VPC: 10.0.0.0/16
sub-rede pública: 10.0.2.0/24
Sub-rede privada: 10.0.1.0/24
IP NAT: 10.0.2.40
IP da WEB: 10.0.1.128
Verificação de origem/destino desativada no NAT
grupo de segurança no servidor web: entrada do servidor nat e saída Tudo aberto.
grupo de segurança no servidor nat: entrada de 80, web sg e meu IP e saída Todos abertos.
Rede em NAT: o encaminhamento de IP está habilitado e, como o aplicativo da web funciona, não acredito que haja algum problema aqui.
sysctl -q -w net.ipv4.ip_forward=1
iptables -L -n -t nat
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
DNAT tcp -- 0.0.0.0/0 10.0.2.40 tcp dpt:443 to:10.0.1.128
DNAT tcp -- 0.0.0.0/0 10.0.2.40 tcp dpt:80 to:10.0.1.128
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
113235 7781297 MASQUERADE all -- * eth0 0.0.0.0/0 0.0.0.0/0
Posso acessar o aplicativo atendido pela instância do Windows 2019 via internet, a rede parece funcionar nesse aspecto.
Posso precisar de configurações adicionais no NAT ou no Windows 2019, a única configuração que fiz no Windows 2019 foi a configuração do IIS.
O que preciso verificar e configurar para ter capacidade de navegação de saída na Internet a partir do servidor web?
Responder1
Resolveu o problema. A tabela de rotas privadas precisava definir seu destino para a instância NAT.
Edite a rota privada, adicione: 0.0.0.0/0 alvo: instância NAT.
A rota pública deve ter como alvo o gateway da Internet, se ainda não estiver configurada para isso.
Também pode ajudar executar o tradutor de endereço de porta no NAT, acredito que minhas configurações já suportavam isso antes da execução.
/usr/local/sbin/configure-pat.sh
Espero que isso ajude alguém, isso me manteve ocupado por alguns dias.