Situaciones para el acceso a una instancia de base de datos situada en una VPC - Amazon Relational Database Service

Situaciones para el acceso a una instancia de base de datos situada en una VPC

Amazon RDS admite los siguientes escenarios para obtener acceso a una instancia de base de datos en una VPC:

Acceso a una instancia de base de datos situada en una VPC desde una instancia EC2 de la misma VPC

Un uso común de una instancia de base de datos en una VPC es compartir datos con un servidor de aplicaciones que se ejecuta en una instancia EC2 de la misma VPC. Este es el escenario de usuario que se crea cuando se utiliza AWS Elastic Beanstalk para crear una instancia EC2 y una instancia de base de datos en la misma VPC.

En el siguiente diagrama se muestra este escenario.


					Escenario de una VPC

La forma más sencilla de administrar el acceso entre instancias EC2 e instancias de bases de datos de la misma VPC es hacer lo siguiente:

  • Cree el grupo de seguridad de VPC al que pertenecerán las instancias de bases de datos. Este grupo de seguridad se puede utilizar para restringir el acceso a las instancias de bases de datos. Por ejemplo, puede crear una regla personalizada para este grupo de seguridad que permita el acceso mediante TCP utilizando el puerto que asignó a la instancia de base de datos cuando la creó, y una dirección IP que se utilizará para obtener acceso a la instancia de base de datos para fines de desarrollo u otros propósitos.

  • Cree el grupo de seguridad de VPC al que pertenecerán las instancias EC2 (clientes y servidores web). Este grupo de seguridad puede, si es necesario, permitir el acceso a la instancia EC2 desde Internet a través de la tabla de enrutamiento de la VPC. Por ejemplo, puede establecer reglas en este grupo de seguridad para permitir el acceso mediante TCP a la instancia EC2 a través del puerto 22.

  • Cree reglas personalizadas en el grupo de seguridad para las instancias de bases de datos que permitan las conexiones desde el grupo de seguridad que creó para las instancias EC2. Esto permitiría a cualquier miembro del grupo de seguridad obtener acceso a las instancias de bases de datos.

Para ver un tutorial que muestra cómo crear una VPC con subredes públicas y privadas para este escenario, consulte Tutorial: Creación de una Amazon VPC para utilizarla con una instancia de base de datos(solo IPv4).

Para crear una regla en un grupo de seguridad de VPC que permita establecer conexiones desde otro grupo de seguridad, haga lo siguiente:

  1. Inicie sesión en la AWS Management Console y abra la consola de Amazon VPC en https://console.aws.amazon.com/vpc.

  2. En el panel de navegación, elija Security Groups (Grupos de seguridad).

  3. Elija o cree el grupo de seguridad al que desea que puedan tener acceso los miembros de otro grupo de seguridad. En el escenario anterior, este es el grupo de seguridad que utiliza para las instancias de base de datos. Elija la pestaña Inbound Rules (Reglas de entrada) y, a continuación, elija Edit inbound rules (Editar reglas de entrada).

  4. En la página Edit inbound rules (Editar reglas de entrada), elija Add Rule (Agregar regla).

  5. En Tipo, elija la entrada que corresponda al puerto que utilizó al crear la instancia de base de datos, como MySQL/Aurora.

  6. En el cuadro Origen, comience a escribir el ID del grupo de seguridad, que enumera los grupos de seguridad coincidentes. Elija el grupo de seguridad cuyos miembros desea que tengan acceso a los recursos protegidos por este grupo de seguridad. En el escenario anterior, este es el grupo de seguridad que utiliza para su instancia EC2.

  7. Si es necesario, repita los pasos para el protocolo TCP creando una regla con Todo TCP en el campo Tipo y con el grupo de seguridad en el campo Origen. Si va a utilizar el protocolo UDP, cree una regla con All UDP en el campo Type y con el grupo de seguridad en el campo Source.

  8. Cuando haya terminado, elija Save rules (Guardar reglas).

La siguiente pantalla muestra una regla de entrada con un grupo de seguridad para su origen.


					Agregar un grupo de seguridad a las reglas de otro grupo de seguridad

Acceso a una instancia de base de datos situada en una VPC desde una instancia EC2 de otra VPC

Cuando una instancia de base de datos está en una VPC que no coincide con la de la instancia EC2 que se está utilizando para obtener acceso a ella, puede usar la interconexión con VPC para obtener acceso a la instancia de base de datos.

En el siguiente diagrama se muestra este escenario.


				Acceso a una instancia de base de datos situada en una VPC desde una instancia EC2 de otra VPC

Una interconexión de VPC es una conexión de redes entre dos VPC que permite direccionar el tráfico entre ellas mediante direcciones IP privadas. Las instancias de ambas VPC se pueden comunicar entre sí siempre que se encuentren en la misma red. Puede crear una conexión de emparejamiento de VPC entre sus propias VPC, con una VPC de otra cuenta de AWS o con una VPC de otra Región de AWS. Para obtener más información sobre las interconexiones de VPC, consulte Interconexión con VPC en la Guía de usuario de Amazon Virtual Private Cloud.

Acceso a una instancia de base de datos en una VPC desde una aplicación cliente a través de Internet

Para acceder a una instancia de base de datos en una VPC desde una aplicación cliente a través de Internet, configure una VPC con una subred pública única y una gateway de Internet para permitir la comunicación a través de Internet.

En el siguiente diagrama se muestra este escenario.


					Acceso a una instancia de base de datos en una VPC desde una aplicación cliente a través de Internet

Recomendamos la siguiente configuración:

  • Una VPC de tamaño /16 (por ejemplo, CIDR: 10.0.0.0/16). Este tamaño proporciona 65 536 direcciones IP privadas.

  • Una subred de tamaño /24 (por ejemplo, CIDR: 10.0.0.0/24). Este tamaño proporciona 256 direcciones IP privadas.

  • Una instancia de base de datos de Amazon RDS que está asociada a la VPC y a la subred. Amazon RDS asigna una dirección IP de la subred a la instancia de base de datos.

  • Una gateway de Internet que conecte la VPC a Internet y a otros productos de AWS.

  • Un grupo de seguridad asociado a la instancia de base de datos. Las reglas de entrada del grupo de seguridad permiten a la aplicación cliente obtener acceso a la instancia de base de datos.

Para obtener información acerca de la creación de una instancia de base de datos en una VPC, consulte Creación de una instancia de base de datos en una VPC.

Una instancia de base de datos en una VPC a la que se accede mediante una red privada

Si su instancia de base de datos no es accesible públicamente, tiene las siguientes opciones para acceder a ella desde una red privada:

El siguiente diagrama muestra un escenario con una conexión de Site-to-site VPN AWS.


					Una instancia de base de datos en una VPC a la que se accede mediante una red privada

Para obtener más información, consulte Privacidad del tráfico entre redes.

Es posible la comunicación entre una instancia de base de datos de Amazon RDS que se encuentra en una VPC y una instancia EC2 que no está en una Amazon VPC utilizando ClassicLink. Cuando utiliza ClassicLink, una aplicación de la instancia EC2 puede conectarse a la instancia de base de datos mediante el punto de enlace de la instancia de base de datos. ClassicLink está disponible sin ningún costo adicional.

importante

Si su instancia EC2 se creó después de 2013, probablemente esté en una VPC.

En el siguiente diagrama se muestra este escenario.


					Acceso a una instancia de base de datos situada en una VPC desde una instancia EC2 que no está en una VPC

ClassicLink permite conectar una instancia EC2 a una base de datos lógicamente aislada en la que se define el rango de direcciones IP y se controlan las listas de control de acceso (ACL) para administrar el tráfico de red. No es necesario utilizar direcciones IP públicas ni túneles para comunicarse con la instancia de base de datos de la VPC. Esta disposición proporciona un mayor desempeño y una menor latencia de conectividad para las comunicaciones entre instancias.

Para activar ClassicLink entre una instancia de base de datos de una VPC y una instancia EC2 que no esté en una VPC

  1. Inicie sesión en la AWS Management Console y abra la consola de Amazon VPC en https://console.aws.amazon.com/vpc.

  2. En el panel de navegación, elija Your VPCs (Sus VPC).

  3. Elija la VPC utilizada por la instancia de base de datos.

  4. En Actions, elija Enable ClassicLink. En el cuadro de diálogo de confirmación, elija Yes, Enable (Sí, habilitar).

  5. En la consola EC2, elija la instancia EC2 que desea conectar a la instancia de base de datos de la VPC.

  6. En Actions, elija ClassicLink y, a continuación, elija Link to VPC.

  7. En la página Link to VPC, elija el grupo de seguridad que desea utilizar y, a continuación, seleccione Link to VPC.

nota

Las características de ClassicLink solo están visibles en las consolas de las cuentas y regiones que admiten EC2-Classic. Para obtener más información, consulte ClassicLink en la Guía del usuario de Amazon EC2 para instancias de Linux.