AWS: миграция RTFM 2.5 – настройка NAT на Bastion EC2 как замена NAT Gateway

Для доступа в Интернет из приватной сети AWS предоставляет две возможности – NAT Gateway и NAT инстансы.

Сравнение между ними можно почитать тут>>>. Насколько я в курсе – NAT инстансы от AWS появились раньше, а NAT Gateway для VPC – году в 2015. До этого – требовалась ручная настройка NAT на своём инстансе в публичной сети.

Собственно – это и будет задачей на сегодня. Основная цель – уменьшить расходы на инфраструктуру, ибо NAT GW тоже стоит денег.

Дальше выполним:

1. создадим вручную VPC с двумя подсетями и инстансами в них
2. настроим NAT трансляцию на инстансе в публичной сети
3. настроим таблицу маршрутизации для приватной сети на инстанс в публичной сети

Ещё надо будет написать Ansible роль для Bastion хоста для настройки NAT на нём и обновить CloudFormation шаблон для стека RTFM – убрать NAT Gateway и обновить таблицу маршрутизации.

Создание VPC, подсетей, инстансов

VPC

Быстренько делаем всё через веб-консоль.

Создаём VPC:

Subnets

Создаём две подсети в этой VPC – публичную и приватную:

Internet Gateway

Создаём Internet Gateway для доступа VPC к интернету:

Подключаем этот IGW к VPC:

Route Tables

Создаём две таблицы маршрутизации – для публичной и приватной подсетей.

Public Route Table

Таблица для публичной подсети:

Подключаем её к публичной подсети:

Во вкладке Routes добавляем маршрут 0.0.0.0/0 через созданный ранее IGW:

Private Route Table

Аналогично – создаём таблицу для приватной посети, но пока не меняем в ней маршруты – обновим после создания EC2 инстанса, который будет работать в роли NAT-шлюза:

Подключаем её к private subnet:

EC2 инстансы

Запускем два EC2. Один – в публичной сети, он и будет нашим NAT-шлюзом, второй – в приватной подсети.

Первый инстанс:

VPC – nat-test, подсеть – public, присвоить публичный IP – enable:

Второй интстанс – та же VPC, но приватная подсеть, Public IP disable:

В настройках Security Group – разрешаем доступ только из SG публичного инстанса:

Для сетевого интерфейса nat-gw инстанса – отключаем проверку Source/Destination, что бы он мог играть роль NAT-gateway:

Возвращаемся к таблице маршрутизации приватной посети, и задаём маршрут 0.0.0.0/0 через nat-gw инстанс:

Переходим к Security Group nat-gw инстанса, и задаём два правила – 22 отовсюду, и весь трафик для security group инстанса в приватной сети:

Т.е, у нас есть две группы безопасности:

1. nat-test-sg – SG для NAT-инстанса, которая разрешает:
   • SSH из сети 0.0.0.0/0
   • весь трафик из SG nat-test-sg-priv
2. nat-test-sg-priv – SSH из сети nat-test-sg

Понятно, что если будут сервисы типа NGINX на сервере в публичной сети – то добавляем  порты 80 и 443 в группу nat-test-sg, и если какая-то MySQL на инстансе в приватной сети – то добавляем 3306 для доступа из nat-test-sg.

Тут всё готово.

Настройка NAT на EC2

Логинимся на EC2 в публичной сети:

Проверяем интернет на нём:

Копируем на него ключ и логинимся на инстанс в приватной подсети:

Проверяем доступ в интернет – должен сфейлится, т.к. NAT ещё не настроен:

ОК, всё хорошо – доступа нет. Возвращаемся на nat-gw, проверяем таблицу nat в IPTABLES:

Настраиваем NAT:

Проверяем правила таблицы ещё раз:

Снова переходим на приватный инстанс – проверяем ещё раз:

Всё работает.

NAT on startup

Последний штрих – добавить включение NAT при рестарте NAT-инстанса.

Создаём каталог для правил IPTABLES:

Сохраняем правила:

Находим исполняемый файл iptables-restore:

Создаём systemd-сервис iptables:

Указываем:

[Unit]
Description=Packet Filtering Framework
Before=network-pre.target
Wants=network-pre.target

[Service]
Type=oneshot
ExecStart=/sbin/iptables-restore /etc/iptables/iptables.rules
ExecReload=/sbin/iptables-restore /etc/iptables/iptables.rules
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target

Проверяем:

Добавляем в автозапуск:

Обновляем /etc/sysctl.conf, добавляем forwading постоянно:

...
# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.ip_forward=1
...

Сохраняем, перезагружаем машину:

После перезагрузки проверяем статус IPTABLES:

Правила:

И доступ в интернет с инстанса в приватной сети:

Всё работает.

P.S. не забываем удалить все тестовые ресурсы 🙂