AWS: миграция RTFM 2.5 — настройка NAT на Bastion EC2 как замена NAT Gateway

Для доступа в Интернет из приватной сети AWS предоставляет две возможности — NAT Gateway и NAT инстансы.

Сравнение между ними можно почитать тут>>>. Насколько я в курсе — NAT инстансы от AWS появились раньше, а NAT Gateway для VPC — году в 2015. До этого — требовалась ручная настройка NAT на своём инстансе в публичной сети.

Собственно — это и будет задачей на сегодня. Основная цель — уменьшить расходы на инфраструктуру, ибо NAT GW тоже стоит денег.

Дальше выполним:

1. создадим вручную VPC с двумя подсетями и инстансами в них
2. настроим NAT трансляцию на инстансе в публичной сети
3. настроим таблицу маршрутизации для приватной сети на инстанс в публичной сети

Ещё надо будет написать Ansible роль для Bastion хоста для настройки NAT на нём и обновить CloudFormation шаблон для стека RTFM — убрать NAT Gateway и обновить таблицу маршрутизации.

Создание VPC, подсетей, инстансов

VPC

Быстренько делаем всё через веб-консоль.

Создаём VPC:

Subnets

Создаём две подсети в этой VPC — публичную и приватную:

Internet Gateway

Создаём Internet Gateway для доступа VPC к интернету:

Подключаем этот IGW к VPC:

Route Tables

Создаём две таблицы маршрутизации — для публичной и приватной подсетей.

Public Route Table

Таблица для публичной подсети:

Подключаем её к публичной подсети:

Во вкладке Routes добавляем маршрут 0.0.0.0/0 через созданный ранее IGW:

Private Route Table

Аналогично — создаём таблицу для приватной посети, но пока не меняем в ней маршруты — обновим после создания EC2 инстанса, который будет работать в роли NAT-шлюза:

Подключаем её к private subnet:

EC2 инстансы

Запускем два EC2. Один — в публичной сети, он и будет нашим NAT-шлюзом, второй — в приватной подсети.

Первый инстанс:

VPC — nat-test, подсеть — public, присвоить публичный IP — enable:

Второй интстанс — та же VPC, но приватная подсеть, Public IP disable:

В настройках Security Group — разрешаем доступ только из SG публичного инстанса:

Для сетевого интерфейса nat-gw инстанса — отключаем проверку Source/Destination, что бы он мог играть роль NAT-gateway:

Возвращаемся к таблице маршрутизации приватной посети, и задаём маршрут 0.0.0.0/0 через nat-gw инстанс:

Переходим к Security Group nat-gw инстанса, и задаём два правила — 22 отовсюду, и весь трафик для security group инстанса в приватной сети:

Т.е, у нас есть две группы безопасности:

1. nat-test-sg — SG для NAT-инстанса, которая разрешает:
   • SSH из сети 0.0.0.0/0
   • весь трафик из SG nat-test-sg-priv
2. nat-test-sg-priv — SSH из сети nat-test-sg

Понятно, что если будут сервисы типа NGINX на сервере в публичной сети — то добавляем  порты 80 и 443 в группу nat-test-sg, и если какая-то MySQL на инстансе в приватной сети — то добавляем 3306 для доступа из nat-test-sg.

Тут всё готово.

Настройка NAT на EC2

Логинимся на EC2 в публичной сети:

Проверяем интернет на нём:

Копируем на него ключ и логинимся на инстанс в приватной подсети:

Проверяем доступ в интернет — должен сфейлится, т.к. NAT ещё не настроен:

ОК, всё хорошо — доступа нет. Возвращаемся на nat-gw, проверяем таблицу nat в IPTABLES:

Настраиваем NAT:

Проверяем правила таблицы ещё раз:

Снова переходим на приватный инстанс — проверяем ещё раз:

Всё работает.

NAT on startup

Последний штрих — добавить включение NAT при рестарте NAT-инстанса.

Создаём каталог для правил IPTABLES:

Сохраняем правила:

Находим исполняемый файл iptables-restore:

Создаём systemd-сервис iptables:

Указываем:

[Unit]
Description=Packet Filtering Framework
Before=network-pre.target
Wants=network-pre.target

[Service]
Type=oneshot
ExecStart=/sbin/iptables-restore /etc/iptables/iptables.rules
ExecReload=/sbin/iptables-restore /etc/iptables/iptables.rules
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target

Проверяем:

Добавляем в автозапуск:

Обновляем /etc/sysctl.conf, добавляем forwading постоянно:

...
# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.ip_forward=1
...

Сохраняем, перезагружаем машину:

После перезагрузки проверяем статус IPTABLES:

Правила:

И доступ в интернет с инстанса в приватной сети:

Всё работает.

P.S. не забываем удалить все тестовые ресурсы 🙂