AWS ： 通过 NAT 网关从公有子网 EC2 实例通过 SSH 到私有子网 EC2 实例未发生

Question

我已经设置了下面的VPC配置，但SSH到该实例目前没有发生：

• 创建新VPC
• 创建了公用和专用子网
• 将ec2实例启动到公共子网，更新了互联网网关的路由表
• 已将ec2实例启动到专用子网
• 将一个natgateway与EIP中的公用子网关联
• 已使用natgateway更新专用子网的路由表

从公共实例到私有实例的SSH不会发生在密钥对上。你能告诉我我错过了什么吗？

Answer 1

当涉及到一个EC2实例与VPC内的另一EC2实例通信时，NAT网关没有任何作用确保专用子网实例所属的安全组允许来自公用子网实例所在的安全组的SSH协议此外，与专用子网关联的NACL应允许来自公用子网实例所属CIDR块的入站和出站SSH流量。

Answer 2

我怀疑您缺少一个允许两个子网上的实例之间的 SSH 流量的安全组。

默认情况下，AWS是安全的——您需要显式地允许流量、角色等。

因此，在这种情况下，最简单的做法是创建一个跨越VPC的CIDR块的安全组，并将其分配给两个实例。

编辑：我刚刚注意到你说你将NAT网关添加到公有子网 - 我想你的意思是私有的。

本指南涵盖了一个类似的场景-公共web子网和专用数据库子网，并讨论了您需要的所有路由ACL。

此外，当您说ssh与keypair没有发生连接时，您是在连接，还是连接超时了？

Answer 3

>

公有子网中的 NAT 网关允许来自私有子网的实例通过互联网网关访问互联网以进行软件更新等。

NAT网关在进入实例时不起任何作用。

• 在EC2实例所在的公共和私有子网上附加默认NACL（允许所有入站和出站）。
• 为公共（比如Pub-SG）和私有子网（Prv-SG）创建2个安全组。
• 允许SSH来自Pub-SG上的任何地方/特定ip。
• 在Prv-SG上，出于更好的安全考虑，允许从Pub-SGSSH作为源。
• 如果两个实例使用相同的密钥对启动，则使用SSH-Agent Forwarding您可以通过公共实例连接私有实例。