Connettiti alle tue istanze utilizzando EC2 Instance Connect Endpoint

EC2 Instance Connect Endpoint ti consente di connetterti in modo sicuro a un'istanza da Internet, senza utilizzare un bastion host o richiedere che il tuo cloud privato virtuale (VPC) disponga di una connettività Internet diretta.

Vantaggi

• Puoi connetterti alle tue istanze senza richiedere che le istanze abbiano un indirizzo pubblico. IPv4 AWS costi per tutti gli IPv4 indirizzi pubblici, inclusi gli IPv4 indirizzi pubblici associati alle istanze in esecuzione e gli indirizzi IP elastici. Per ulteriori informazioni, consulta la scheda IPv4 Indirizzo pubblico nella pagina dei prezzi di Amazon VPC.

• Puoi connetterti alle tue istanze da Internet senza che il tuo VPC disponga di una connettività Internet diretta attraverso un gateway Internet.

• Puoi controllare l'accesso alla creazione e all'uso degli endpoint EC2 Instance Connect per connetterti alle istanze utilizzando le policy e le autorizzazioni IAM.

• Tutti i tentativi di connessione alle tue istanze, riusciti o meno, vengono registrati in. CloudTrail

Prezzi

Non sono previsti costi aggiuntivi per l'utilizzo degli endpoint EC2 Instance Connect. Se si utilizza un endpoint EC2 Instance Connect per connettersi a un'istanza in una zona di disponibilità diversa, è previsto un costo aggiuntivo per il trasferimento dei dati tra le zone di disponibilità.

Indice

• Come funziona

• Considerazioni

• Autorizzazioni

• Gruppi di sicurezza

• Creare un endpoint EC2 Instance Connect

• Connessione a un'istanza

• Connessioni di log

• Eliminare un endpoint EC2 Instance Connect

• Ruolo collegato al servizio

• Quote

Come funziona

EC2 Instance Connect Endpoint è un proxy TCP con riconoscimento dell'identità. L' EC2 Instance Connect Endpoint Service stabilisce un tunnel privato dal computer all'endpoint utilizzando le credenziali per l'entità IAM. Il traffico viene autenticato e autorizzato prima di raggiungere il tuo VPC.

Puoi configurare regole aggiuntive per il gruppo di sicurezza per limitare il traffico in entrata sulle tue istanze. Ad esempio, puoi utilizzare le regole in entrata per consentire il traffico sulle porte di gestione solo dall'endpoint EC2 Instance Connect.

Puoi configurare le regole della tabella di routing per consentire all'endpoint di connettersi a qualsiasi istanza in qualsiasi sottorete del VPC.

Il diagramma seguente mostra come un utente può connettersi alle proprie istanze da Internet utilizzando un endpoint Instance EC2 Connect. Innanzitutto, crea un endpoint EC2 Instance Connect nella sottorete A. Creiamo un'interfaccia di rete per l'endpoint nella sottorete, che funge da punto di ingresso per il traffico destinato alle tue istanze nel VPC. Se la tabella di routing per la sottorete B consente il traffico dalla sottorete A, puoi utilizzare l'endpoint per raggiungere le istanze nella sottorete B.

Considerazioni

Prima di iniziare, prendi in considerazioni le seguenti informazioni.

• EC2 Instance Connect Endpoint è destinato specificamente ai casi d'uso del traffico di gestione, non ai trasferimenti di dati ad alto volume. I trasferimenti di grandi volumi di dati sono limitati.

• L'istanza deve avere un IPv4 indirizzo (privato o pubblico). EC2 Instance Connect Endpoint non supporta la connessione a istanze tramite IPv6 indirizzi.

• (Istanze Linux) Se usi la tua coppia di chiavi, puoi usare qualsiasi AMI Linux. Altrimenti, sull'istanza deve essere installato EC2 Instance Connect. Per informazioni su cosa AMIs include EC2 Instance Connect e su come installarlo su altri supporti AMIs, vedereEC2 Instance Connect.

• È possibile assegnare un gruppo di sicurezza a un endpoint EC2 Instance Connect al momento della creazione. In caso contrario, utilizziamo il gruppo di sicurezza predefinito per il VPC. Il gruppo di sicurezza per un endpoint EC2 Instance Connect deve consentire il traffico in uscita verso le istanze di destinazione. Per ulteriori informazioni, consulta Gruppi di sicurezza per EC2 Instance Connect Endpoint.

• È possibile configurare un endpoint EC2 Instance Connect per preservare gli indirizzi IP di origine dei client durante l'instradamento delle richieste verso le istanze. In caso contrario, l'indirizzo IP dell'interfaccia di rete diventa l'indirizzo IP client per tutto il traffico in entrata.

  • Se si attiva la conservazione degli IP dei client, i gruppi di sicurezza per le istanze devono consentire il traffico proveniente dai client. Inoltre, le istanze devono trovarsi nello stesso VPC dell'endpoint EC2 Instance Connect.

  • Se si disattiva la conservazione degli IP dei client, i gruppi di sicurezza per le istanze devono consentire il traffico proveniente dal PVC. Questa è l'impostazione predefinita.

  • I seguenti tipi di istanza non supportano la conservazione degli IP dei client: C1,,, G1 CG1 CG2, M1, M2 HI1, M3 e T1. Se attivi la conservazione dell'IP del client e tenti di connetterti a un'istanza con uno di questi tipi di EC2 istanza utilizzando Instance Connect Endpoint, la connessione non riesce.

  • La conservazione dell'IP client non è supportata quando il traffico viene indirizzato attraverso un gateway di transito.

• Quando crei un endpoint EC2 Instance Connect, viene creato automaticamente un ruolo collegato ai servizi per il EC2 servizio Amazon in AWS Identity and Access Management (IAM). Amazon EC2 utilizza il ruolo collegato ai servizi per fornire le interfacce di rete nel tuo account, necessarie per la creazione degli endpoint Instance EC2 Connect. Per ulteriori informazioni, consulta Ruolo collegato al servizio per Instance EC2 Connect Endpoint.

• È possibile creare solo 1 endpoint EC2 Instance Connect per VPC e per sottorete. Per ulteriori informazioni, consulta Quotas, EC2 ad esempio Connect Endpoint. Se devi creare un altro endpoint EC2 Instance Connect in una zona di disponibilità diversa all'interno dello stesso VPC, devi prima eliminare l'endpoint EC2 Instance Connect esistente. In caso contrario, riceverai un errore di quota.

• Ogni endpoint EC2 Instance Connect può supportare fino a 20 connessioni simultanee.

• La durata massima per una connessione TCP stabilita e 1 ora (3.600 secondi). Puoi specificare la durata massima consentita in una policy IAM, che può essere fino a 3.600 secondi. Per ulteriori informazioni, consulta Autorizzazioni per utilizzare EC2 Instance Connect Endpoint per connettersi alle istanze.