También configuré el grupo de seguridad, lo relacioné a la instancia y al balanceador de carga
Eso está mal, por varias razones:
- No deberías poner en un SG de un recurso Interno (y menos uno con acceso desde Internet), una ruta
0.0.0.0/0
. Eso es como comprar una puerta blindada para tu casa, con 40 candados, y luego dejar el llavero colgado en la puerta por fuera junto a una nota en la que pides por favor que nadie coja ese llavero y lo use para entrar en tu casa.
- El SG del balanceador de carga debería ser distinto del SG de la instancia EC2. Son elementos diferentes y recibirán peticiones de forma distinta. Se supone que la instancia EC2 únicamente debería ser accesible desde el balanceador de carga, permitiendo el acceso directo únicamente con fines de mantenimiento).
Así, el balanceador de carga podría tener un SG tal que:
Tipo |
Protocolo |
Puerto |
Origen |
Descripción |
HTTPS |
TCP |
443 |
0.0.0.0/0 |
Public access HTTPS |
HTTP |
TCP |
80 |
0.0.0.0/0 |
Public access HTTP |
Es decir, este servicio solo admite peticiones por vía HTTP y HTTPS (no creo que quieras dar acceso directo SSH y a la base de datos desde Internet)
De la misma forma, el SG de la instancia EC2 podría lucir así:
Tipo |
Protocolo |
Puerto |
Origen |
Descripción |
HTTP |
TCP |
80 |
ID-SG-ELB |
Public access HTTP |
HTTP |
TCP |
80 |
RANGO-IPS-DE-TU-VPN |
Private access HTTP |
SSH |
TCP |
22 |
RANGO-IPS-DE-TU-VPN |
SSH access |
MySQL/Aurora |
TCP |
3306 |
RANGO-IPS-DE-TU-VPN |
Private access mySQL |
En este caso he asumido que la base de datos va a ser consumida únicamente por la propia instancia EC2, por lo que solo se van a permitir las peticiones entrantes al servidor MySQL desde tu red local.
Fíjate que la instancia EC2 únicamente recibe tráfico HTTP. Los balanceadores de tipo aplicación permiten redirigir el tráfico de HTTPS a HTTP. Esto te proporciona un par de ventajas:
- Solo tienes que habilitar el puerto HTTP
- No tienes que preocuparte por la gestión del puerto HTTPS ni por certificados
- El balanceador de carga emite su propio certificado
Otro detalle en el que debes fijarte es que en el SG de la instancia, el tráfico HTTP únicamente puede provenir del balanceador de carga o de tu red local. Efectivamente, el origen de un SG puede ser otro SG. Esto permite crear puentes entre tus servicios. Esto impide conexiones directas a la instancia desde cualquier otro destino.
Esta configuración te permite acceder y testear tu instancia desde tu red local. También te permite probar todo el sistema pasando a través del balanceador de carga.
Si aun así sigue sin funcionarte, lo más probable es que el problema esté en cómo has configurado el balanceador de carga. Seguramente no esté redirecionando correctamente el tráfico o lo esté haciendo a puertos incorrectos