Amazon Virtual Private Cloud. Guía de introducción

Transcripción

1 Amazon Virtual Private Cloud Guía de introducción

2 Amazon Virtual Private Cloud: Guía de introducción Copyright 2017 Amazon Web Services, Inc. and/or its affiliates. All rights reserved. Amazon's trademarks and trade dress may not be used in connection with any product or service that is not Amazon's, in any manner that is likely to cause confusion among customers, or in any manner that disparages or discredits Amazon. All other trademarks not owned by Amazon are the property of their respective owners, who may or may not be affiliated with, connected to, or sponsored by Amazon.

3 Table of Contents Información general... 1 Introducción a Amazon VPC... 1 Paso 1: Creación de la VPC... 2 Paso 2: Creación de un grupo de seguridad... 4 Paso 3: Lanzamiento de una instancia en su VPC... 5 Paso 4: Asignación de una dirección IP elástica a su instancia... 6 Paso 5: Eliminación... 7 iii

4 Introducción a Amazon VPC Información general Una cloud virtual privada (VPC) es una red virtual muy parecida a la red tradicional que podría utilizar en su propio centro de datos, con los beneficios de emplear la infraestructura escalable de Amazon Web Services (AWS). Una vez finalizadas las tareas de este ejercicio, dispondrá de una instancia de Amazon EC2 ejecutándose en una VPC a la que podrá obtener acceso desde Internet mediante SSH (para instancias de Linux) o Escritorio remoto (para instancias de Windows). Para ver información general sobre Amazon VPC, consulte What is Amazon VPC? en la guíaguía del usuario de Amazon VPC. En el siguiente diagrama se muestra la arquitectura que creará a medida que complete el ejercicio de esta guía. El grupo de seguridad que configura y asocia con la instancia permite el tráfico únicamente a través de puertos concretos y bloquea la comunicación con la instancia en función de las reglas especificadas. El uso de una dirección IP elástica (EIP) permite acceder desde Internet a una instancia de una VPC, que por lo demás es privada, a través de un Internet gateway (por ejemplo, podría actuar como un servidor web). Introducción a Amazon VPC En este ejercicio, creará una VPC con un bloque de CIDR IPv4, una subred con un bloque de CIDR IPv4 y lanzará una instancia pública en la subred. Su instancia podrá comunicarse con Internet y podrá obtener acceso a dicha instancia desde su equipo local mediante SSH (si se trata de una instancia de Linux) o mediante el Escritorio remoto (si se trata de una instancia de Windows). En su entorno real, puede utilizar este escenario para crear un servidor web público como, por ejemplo, para alojar un blog. Note Este ejercicio tiene por objetivo ayudarle a configurar rápidamente su propia VPC no predeterminada. Si ya dispone de una VPC predeterminada y desea lanzar instancias en esta VPC (sin tener que crear o configurar una VPC nueva), consulte Lanzamiento de una instancia EC2 en su VPC predeterminada. Si desea configurar una VPC no predeterminada compatible con IPv6, consulte Introducción a IPv6 para Amazon VPC. Para completar este ejercicio, deberá realizar lo siguiente: Crear una VPC no predeterminada con una única subred pública. Las subredes le permiten agrupar instancias en función de sus necesidades operativas y de seguridad. Las subredes públicas son subredes que tienen acceso a Internet a través de un puerto de enlace a Internet. Cree un grupo de seguridad para su instancia que permita el tráfico solo a través de puertos específicos. Lance una instancia de Amazon EC2 en su subred. Asocie una dirección IP elástica a su instancia. Esto permite a la instancia obtener acceso a Internet. Antes de utilizar Amazon VPC por primera vez, debe inscribirse en Amazon Web Services (AWS). Al inscribirse, la cuenta de AWS se inscribe automáticamente en todos los servicios de AWS, incluido Amazon VPC. Si todavía no ha creado una cuenta de AWS, vaya a y, a continuación, elija Crear una cuenta gratuita. Note En este ejercicio se da por sentado que su cuenta solo es compatible con la plataforma de EC2-VPC. Si su cuenta también es compatible con la plataforma EC2-Classic más antigua, podrá realizar los pasos que se describen en este ejercicio; sin embargo, no dispondrá de VPC predeterminada en su cuenta para compararla con la VPC no predeterminada. Para obtener más información, consulte Plataformas compatibles. 1

5 Paso 1: Creación de la VPC Contenido Paso 1: Creación de la VPC (p. 2) Paso 2: Creación de un grupo de seguridad (p. 4) Paso 3: Lanzamiento de una instancia en su VPC (p. 5) Paso 4: Asignación de una dirección IP elástica a su instancia (p. 6) Paso 5: Eliminación (p. 7) Paso 1: Creación de la VPC En este paso, utilizará el asistente de Amazon VPC de la consola de Amazon VPC para crear una VPC. El asistente ejecuta los siguientes pasos por usted: Crea una VPC con un bloque de CIDR IPv4 /16 (una red con direcciones IP privadas). Para obtener más información acerca de la notación CIDR y del tamaño de las VPC, consulte Your VPC. Adjunta un puerto de enlace a Internet a la VPC. Para obtener más información acerca de los puertos de enlace a Internet, consulte Puertos de enlace a Internet. Crea una subred IPv4 de tamaño /24 (rango de 256 direcciones IP privadas) en la VPC. Crea una tabla de ruteo personalizada y la asocia a su subred para que el tráfico pueda fluir entre la subred y el puerto de enlace a Internet. Para obtener más información acerca de las tablas de ruteo, consulte Tablas de ruteo. El diagrama siguiente representa la arquitectura de su VPC tras completar este paso. Note Este ejercicio aborda el primer escenario del asistente para la creación de VPC. Para obtener más información acerca de otros escenarios, consulte Escenarios para Amazon VPC. Para crear una VPC con el asistente para Amazon VPC 1. Abra la consola de Amazon VPC en 2. En la barra de navegación, en la parte superior derecha, anote la región en la que va a crear la VPC. Asegúrese continuar trabajando en la misma región en el resto del ejercicio, ya que no podrá lanzar una instancia en su VPC desde una región distinta. Para obtener más información acerca de las regiones, consulte Regions and Availability Zones. 3. En el panel de navegación, elija VPC dashboard y, a continuación, elija Start VPC Wizard. Note No elija Your VPCs en el panel de navegación, ya que no podrá obtener acceso al asistente para la creación de VPC desde esta página. 4. Elija la primera opción, VPC with a Single Public Subnet y, a continuación, elija Select. 5. En la página de configuración, escriba un nombre para su VPC en el campo VPC name como, por ejemplo, my-vpc, y escriba un nombre para la subred en el campo Subnet name. Esto le ayudará a identificar la VPC y la subred en la consola de Amazon VPC tras crearlas. Para este ejercicio, puede dejar el resto de valores de configuración en la página y elegir Create VPC. (Opcional) Si lo prefiere, puede modificar los valores de configuración como se indica a continuación y elegir Create VPC. IPv4 CIDR block muestra el rango de direcciones IPv4 que utilizará para su VPC ( /16) y el campo Public subnet's IPv4 CIDR muestra el rango de direcciones IPv4 que se utilizará para 2

6 Paso 1: Creación de la VPC la subred ( /24). Si no desea utilizar los rangos de CIDR predeterminados, puede especificar los suyos propios. Para obtener más información, consulte VPC y subredes. La lista Availability Zone permite seleccionar la zona de disponibilidad en la que se va a crear la subred. Puede dejar el valor No Preference para permitir a AWS elegir una zona de disponibilidad. Para obtener más información, consulte Regions and Availability Zones. En la sección Service endpoints, podrá seleccionar una subred para crear un punto de conexión de la VPC a Amazon S3 en la misma región. Para obtener más información, consulte Puntos de conexión de la VPC. La opción Enable DNS hostnames, cuando se establece en Yes, garantiza que las instancias que se lancen en su VPC recibirán un nombre de host DNS. Para obtener más información, consulte Utilización de DNS con su VPC. La opción Hardware tenancy permite seleccionar si las instancias lanzadas en su VPC se ejecutan en hardware compartido o dedicado. La selección de tenencia dedicada implica costos adicionales. Para obtener más información acerca de la tenencia de hardware, consulte Dedicated Instances en la Guía del usuario de Amazon EC2 para instancias de Linux. 6. En una ventana de estado se muestra el trabajo en curso. Cuando haya terminado el trabajo, elija OK para cerrar la ventana de estado. 7. La página Your VPCs muestra la VPC predeterminada y la VPC que acaba de crear. La VPC que acaba de crear es una VPC no predeterminada. Por lo tanto, la columna Default VPC muestra No. Visualización de información acerca de su VPC Una vez creada la VPC, podrá ver información acerca de la subred, el puerto de enlace a Internet y las tablas de ruteo. La VPC que ha creado tiene dos tablas de ruteo: una tabla de ruteo principal predeterminada para todas las VPC y una tabla de ruteo personalizada que se creó con el asistente. La tabla de ruteo personalizada se asocia a su subred, lo que significa que las rutas de dicha tabla determina el modo en que fluye el tráfico de la subred. Si añade una nueva subred a su VPC, utiliza la tabla de ruteo principal de forma predeterminada. Para ver la información de sus VPC 1. Abra la consola de Amazon VPC en 2. En el panel de navegación, elija Your VPCs. Anote el nombre y el ID de la VPC que creó (consulte las columnas Name y VPC ID). Utilizará esta información más adelante para identificar los componentes asociados a su VPC. 3. En el panel de navegación, elija Subnets. La consola muestra la subred que se creó cuando creó su VPC. Puede identificar la subred por su nombre mediante la columna Name, o bien puede utilizar la información de VPC que obtuvo en el paso anterior y consultar la columna VPC. 4. En el panel de navegación, elija Internet Gateways. Encontrará el puerto de enlace a Internet vinculado a su VPC consultando la columna VPC, que muestra el ID y el nombre de la VPC (si corresponde). 5. En el panel de navegación, elija Route Tables. La VPC tiene asociadas dos tablas de ruteo. Seleccione la tabla de ruteo personalizada (la columna Main muestra el valor No) y, a continuación, elija la pestaña Routes para mostrar la información de ruta en el panel de detalles: La primera fila de la tabla se corresponde con la ruta local, que permite que las instancias en la VPC se comuniquen. Esta ruta está presente en todas las tablas de ruteo y, por lo tanto, no se puede quitar. La segunda fila muestra la ruta que el asistente de Amazon VPC ha añadido para habilitar el flujo del tráfico con destino a una dirección IPv4 externa a la VPC ( /0) desde la subred al puerto de enlace a Internet. 6. Seleccione la tabla de ruteo principal. Esta tabla de ruteo principal solamente tiene una ruta local. 3

7 Paso 2: Creación de un grupo de seguridad Paso 2: Creación de un grupo de seguridad Un grupo de seguridad actúa como un firewall virtual para controlar el tráfico a las instancias que tiene asociadas. Para utilizar un grupo de seguridad, tiene que añadir las reglas entrantes que controlan el tráfico entrante a la instancia y las reglas salientes que controlan el tráfico saliente desde su instancia. Para asociar un grupo de seguridad a una instancia, debe especificar el grupo de seguridad al lanzar la instancia. Si añade y elimina reglas desde el grupo de seguridad, aplicamos automáticamente esos cambios a las instancias asociadas con el grupo de seguridad. La VPC incluye un grupo de seguridad predeterminado. Las instancias no asociadas a ningún otro grupo de seguridad durante el lanzamiento se asociarán al grupo de seguridad predeterminado. En este ejercicio, creará un nuevo grupo de seguridad, WebServerSG, y especificará dicho grupo de seguridad al lanzar una instancia en su VPC. Temas Reglas para el grupo de seguridad WebServerSG (p. 4) Creación del grupo de seguridad WebServerSG (p. 4) Reglas para el grupo de seguridad WebServerSG La tabla siguiente describe las reglas entrantes y salientes del grupo de seguridad WebServerSG. Usted mismo agregará las reglas entrantes. La regla saliente es una regla predeterminada que permite todas las comunicaciones salientes. Por ello, no es necesario añadir esta regla. Entrada IP de origen Protocolo Rango de puerto Comentarios /0 TCP 80 Permite el acceso HTTP entrante de cualquier dirección IPv /0 TCP 443 Permite el acceso HTTPS entrante de cualquier dirección IPv4. Rango de direcciones IPv4 públicas de la red doméstica Rango de direcciones IPv4 públicas de la red doméstica TCP 22 Permite el acceso SSH entrante desde su red doméstica a una instancia de Linux/UNIX. TCP 3389 Permite el acceso RDP entrante desde su red doméstica a una instancia de Windows. Salida IP de destino Protocol Rango de puerto Comentarios /0 Todo Todos Regla saliente predeterminada que permite todas las comunicaciones IPv4 salientes. Creación del grupo de seguridad WebServerSG Puede crear su grupo de seguridad mediante la consola de Amazon VPC. 4

8 Paso 3: Lanzamiento de una instancia en su VPC Para crear el grupo de seguridad WebServerSG y añadir reglas 1. Abra la consola de Amazon VPC en 2. En el panel de navegación, elija Security Groups. 3. Elija Create Security Group. 4. En el campo Group name, escriba WebServerSG como nombre del grupo de seguridad y proporcione una descripción. De manera opcional, puede utilizar el campo Name tag para crear una etiqueta para el grupo de seguridad con una clave de Name y un valor especificado. 5. Seleccione el ID de su VPC del menú VPC y, a continuación, elija Yes, Create. 6. Seleccione el grupo de seguridad WebServerSG que acaba de crear (podrá ver su nombre en la columna Group Name). 7. En la pestaña Inbound Rules, elija Edit y añada las reglas del tráfico entrante como se indica a continuación. Luego elija Save cuando haya terminado: a. Seleccione HTTP en la lista Type y escriba /0 en el campo Source. b. Elija Add another rule, seleccione HTTPS en la lista Type y escriba /0 en el campo Source. c. Elija Add another rule. Si va a lanzar una instancia de Linux, seleccione SSH en la lista Type, o bien, si va a lanzar una instancia de Windows, seleccione RDP en la lista Type. Escriba el rango de direcciones IP públicas de la red en el campo Source. Si no conoce este rango de direcciones, puede utilizar /0 para este ejercicio. Important Si utiliza /0, permite que todas las direcciones IP tengan acceso a su instancia mediante SSH o RDP. Esto es aceptable para este pequeño ejercicio, pero constituye una práctica peligrosa en entornos de producción. En entornos de producción, se autorizaría el acceso a la instancia únicamente a una dirección IP o a un rango de direcciones IP específico. Paso 3: Lanzamiento de una instancia en su VPC Cuando se lanza una instancia EC2 en una VPC, debe especificar la subred en la que desea lanzar la instancia. En este caso, lanzará una instancia en la subred pública de la VPC que ha creado. Utilizará el asistente para el lanzamiento de Amazon EC2 en la consola de Amazon EC2 para lanzar su instancia. El diagrama siguiente representa la arquitectura de su VPC tras completar este paso. Para lanzar una instancia EC2 en una VPC 1. Abra la consola de Amazon EC2 en 2. En la barra de navegación, en la parte superior derecha, asegúrese de seleccionar la misma región en la que creó su VPC y su grupo de seguridad. 3. En el panel, elija Launch Instance. 4. En la primera página del asistente, elija la AMI que desea utilizar. Para este ejercicio, se recomienda elegir una AMI de Amazon Linux o una AMI de Windows. 5. En la página Choose an Instance Type, puede seleccionar la configuración de hardware y el tamaño de la instancia que se va a lanzar. De forma predeterminada, el asistente selecciona el primer tipo de instancia disponible en función de la AMI que seleccionó. Puede dejar la selección predeterminada y, a continuación, elegir Next: Configure Instance Details. 5

9 Paso 4: Asignación de una dirección IP elástica a su instancia 6. En la página Configure Instance Details, seleccione la VPC que creó en la lista Network y seleccione la subred desde la lista Subnet. Deje el resto de los valores predeterminados y omita las páginas siguientes del asistente hasta llegar a la página Add Tags. 7. En la página Add Tags, podrá asignar a su instancia la etiqueta Name. Por ejemplo, Name=MyWebServer. Esto le ayudará a identificar la instancia en la consola de Amazon EC2 tras lanzarla. Elija Next: Configure Security Group cuando haya terminado. 8. En la página Configure Security Group, el asistente define automáticamente el grupo de seguridad x del asistente de lanzamiento para que pueda conectarse a la instancia. En su lugar, elija la opción Select an existing security group, seleccione el grupo WebServerSG que creó previamente y, a continuación, elija Review and Launch. 9. En la página Review Instance Launch, compruebe los detalles de la instancia y, a continuación, elija Launch. 10. En el cuadro de diálogo Select an existing key pair or create a new key pair, puede elegir un par de claves existente o crear uno nuevo. Si decide crear un nuevo par de claves, asegúrese de descargar el archivo y almacenarlo en una ubicación segura. Necesitará el contenido de la clave privada para conectarse a la instancia después de lanzarla. Para lanzar la instancia, active la casilla de verificación de confirmación y, a continuación, elija Launch Instances. 11. En la página de confirmación, elija View Instances para ver su instancia en la página Instances. Seleccione su instancia y consulte sus detalles en la pestaña Description. El campo Private IPs muestra la dirección IP privada asignada a su instancia desde el rango de direcciones IP de su subred. Para obtener más información acerca de las opciones disponibles en el asistente para el lanzamiento de Amazon EC2, consulte Launching an Instance en la Guía del usuario de Amazon EC2 para instancias de Linux. Paso 4: Asignación de una dirección IP elástica a su instancia En el paso anterior lanzó su instancia en una subred pública: una subred con una ruta a un puerto de enlace a Internet. Sin embargo, la instancia de su subred también necesita una dirección IPv4 pública para poder comunicarse con Internet. De forma predeterminada, las instancias de VPC no predeterminadas no tienen asignada ninguna dirección IPv4 pública. En este paso, asignará una dirección IP elástica a su cuenta para, a continuación, asociarla a su instancia. Para obtener más información acerca de las direcciones IP elásticas, consulte Direcciones IP elásticas. El diagrama siguiente representa la arquitectura de su VPC tras completar este paso. Para indicar y asignar una dirección IP elástica 1. Abra la consola de Amazon VPC en 2. En el panel de navegación, elija Elastic IPs. 3. Elija Allocate New Address y, a continuación, seleccione Yes, Allocate. Note Si su cuenta es compatible con EC2-Classic, seleccione primero EC2-VPC en la lista Network platform. 4. Seleccione la dirección IP elástica de la lista, elija Actions y, a continuación, elija Associate Address. 5. En el cuadro de diálogo, elija Instance en la lista Associate with y, a continuación, seleccione su instancia de la lista Instance. Elija Yes, Associate cuando haya terminado. 6

10 Paso 5: Eliminación Tras completar este procedimiento, ya será posible obtener acceso a su instancia desde Internet. Es posible conectarse a su instancia a través de su dirección IP elástica desde su red doméstica mediante SSH o a través del Escritorio remoto. Para obtener más información acerca de cómo conectarse a una instancia de Linux, consulte Connecting to Your Linux Instance en la Guía del usuario de Amazon EC2 para instancias de Linux. Para obtener más información acerca de cómo conectarse a una instancia de Windows, consulte Connect to Your Windows Instance Using RDP en la Guía del usuario de Amazon EC2 para instancias de Windows. Con esto se completa el ejercicio. Puede optar por seguir utilizando su instancia en su VPC, o bien, si no necesita la instancia, puede terminarla y liberar su dirección IP elástica para evitar incurrir en gastos adicionales. También puede eliminar su VPC. Tenga en cuenta que no se le cobrará por las VPC y los componentes de VPC creados en este ejercicio (como, por ejemplo, las subredes o las tablas de ruteo). Paso 5: Eliminación Antes de poder eliminar una VPC, debe finalizar las instancias que se estén ejecutando en esta. Si elimina una VPC con la consola de VPC, también se eliminarán los recursos asociados a la VPC como, por ejemplo, las subredes, los grupos de seguridad, las ACL de red, los conjuntos de opciones de DHCP, las tablas de ruteo y los puertos de enlace a Internet. Para terminar su instancia, liberar su dirección IP elástica y eliminar su VPC 1. Abra la consola de Amazon EC2 en 2. En el panel de navegación, seleccione Instances. 3. Seleccione su instancia, elija Actions, seleccione Instance State y, a continuación, elija Terminate. 4. En el cuadro de diálogo, expanda la sección Release attached Elastic IPs y active la casilla de verificación que encontrará junto a la dirección IP elástica. Elija Yes, Terminate. 5. Abra la consola de Amazon VPC en 6. En el panel de navegación, elija Your VPCs. 7. Seleccione la VPC; elija Actions y luego elija Delete VPC. 8. Cuando se le indique que confirme, seleccione Yes, Delete. 7