Communication entre instances VPC AWS via IP publique

Question

Nous avons deux instances AWS (instance A et instance B) qui s'exécutent dans le même VPC. Il existe un service Internet sur l'instance A qui est restreint (via un groupe de sécurité) à un sous-ensemble d'adresses IP. L'instance A a une entrée DNS, ce qui permet d'accéder au service via someservice.example.org. Lorsque vous essayez d'accéder au service depuis l'instance B, cela fonctionne correctement si nous utilisons l'adresse IP interne du VPC, mais nous ne pouvons pas obtenir la configuration de groupe de sécurité correcte pour autoriser cet accès d'instance via le DNS public.

Nous avons ajouté le groupe de sécurité VPC 'par défaut' à l'instance A, mais nous ne pouvons toujours pas accéder directement à ce service. Nous avons également le même problème en essayant de configurer l'accès à l'instance A à partir d'autres VPC.

Je sais que nous pouvons créer un DNS privé pour le VPC qui pourrait résoudre le problème lorsque nous sommes dans le même VPC mais cela ne contourne pas le problème lors de l'exécution dans un autre VPC.

Answer 1

Cela ressemble à un problème de résolution DNS. Si vous utilisez Route53 pour DNS, le moyen le plus simple de résoudre ce problème est de créer une zone DNS Route53 privée pour votre VPC et d'ajouter quelque chose comme: CNAME 'someservice.example.org' qui pointe vers l'adresse IP interne de l'instance. Notez que vous voulez vraiment utiliser l'adresse IP privée interne chaque fois que cela est possible. Il conservera le trafic réseau dans votre VPC, ce qui sera beaucoup plus rapide et plus sécurisé. Il peut également être moins cher pour vous, au moins si les instances se trouvent également dans la même zone de disponibilité. Vous pouvez en savoir plus sur le EC2 pricing page dans la section Transfert de données.

Notez également que vous ne pouvez pas ouvrir le groupe de sécurité pour autoriser uniquement les instances de votre groupe VPC/sécurité à accéder à quelque chose via l'adresse IP publique. C'est parce que le trafic entrant sur l'IP publique est vu comme venant «d'Internet», pas de votre VPC. Vous devrez accorder l'accès aux serveurs via leurs adresses IP publiques au lieu de leurs groupes de sécurité.

Vous mentionnez également l'utilisation d'un deuxième VPC, mais ce serait un problème distinct qui pourrait être adressé via VPC Peering.