Opciones de enrutamiento de ejemplo

Los temas siguientes describen el direccionamiento de puerta de enlaces o conexiones específicas de su VPC.

Enrutar a una puerta de enlace de Internet

Puede convertir una subred en una subred pública añadiendo una ruta en su tabla de enrutamiento de la subred hacia una puerta de enlace de Internet. Para ello, cree y adjunte una puerta de enlace de Internet a su VPC. A continuación, añada una ruta con el destino 0.0.0.0/0 para el tráfico IPv4 o con el destino ::/0 para el tráfico IPv6, así como un objetivo para el ID de la puerta de enlace de Internet (igw-xxxxxxxxxxxxxxxxx).

Para obtener más información, consulte Concesión del acceso a Internet de la VPC con puertas de enlace de Internet.

Enrutar a un dispositivo NAT

Para habilitar instancias en una subred privada para conectarse a Internet, puede crear una puerta de enlace NAT o lanzar una instancia NAT en una subred pública. A continuación, agregue una ruta para la tabla de enrutamiento de la subred privada que dirija el tráfico de Internet de IPv4 (0.0.0.0/0) al dispositivo NAT.

También puede crear rutas más específicas a otros objetivos para evitar cargos innecesarios de procesamiento de datos innecesarios por utilizar la puerta de enlace NAT o para dirigir el tráfico de forma privada. En el siguiente ejemplo, el tráfico de Amazon S3 (pl-xxxxxxxx, una lista de prefijos que contiene los rangos de direcciones IP para Amazon S3 en una región específica) se enruta al punto de conexión de VPC de la puerta de enlace y el tráfico 10.25.0.0/16 se enruta a una conexión de emparejamiento de VPC. Estos rangos de direcciones IP son más específicos que 0.0.0.0/0. Cuando las instancias envían tráfico a Amazon S3 o a la VPC interconectada, el tráfico se envía al punto de enlace de la VPC de la puerta de enlace o a la interconexión de la VPC. El resto del tráfico se envía a la puerta de enlace NAT.

Para obtener más información, consulte Dispositivos NAT.

Enrutar a una puerta de enlace privada virtual

Puede utilizar una conexión de AWS Site-to-Site VPN para permitir que las instancias de su VPC se comuniquen con su propia red. Para ello, cree y adjunte una puerta de enlace privada virtual a su VPC. A continuación, agregue una ruta en la tabla de enrutamiento de subred con el destino de la red y un objetivo de la puerta de enlace privada virtual (vgw-xxxxxxxxxxxxxxxxx).

A continuación, puede crear y configurar la conexión de Site-to-Site VPN. Para obtener más información, consulte ¿Qué es AWS Site-to-Site VPN? y Tablas de enrutamiento y prioridad de las rutas de VPN en la Guía del usuario de AWS Site-to-Site VPN.

Una conexión de Site-to-Site VPN en una puerta de enlace privada virtual no admite tráfico IPv6. Sin embargo, sí que se admite el direccionamiento de tráfico IPv6 a través de puerta de enlaces privadas virtuales a conexiones de AWS Direct Connect. Para obtener más información, consulte la Guía del usuario de AWS Direct Connect.

Enrutamiento a una puerta de enlace local de AWS Outposts

En esta sección se describen las configuraciones de la tabla de enrutamiento para el direccionamiento a una puerta de enlace local de AWS Outposts.

Habilite el tráfico entre las subredes de Outpost y la red en las instalaciones

Las subredes que se encuentran en VPC asociadas a AWS Outposts pueden tener un tipo de objetivo adicional de una puerta de enlace local. Tenga en cuenta el caso en el que desea que la puerta de enlace local dirija el tráfico con una dirección de destino de 192.168.10.0/24 a la red del cliente. Para ello, añada la siguiente ruta con la red de destino y un objetivo de la puerta de enlace local (lgw-xxxx).

Habilite el tráfico entre subredes de la misma VPC en Outposts

Para establecer la comunicación entre las subredes que se encuentran en la misma VPC en diferentes Outposts, utilice las puertas de enlace locales de Outpost y la red en las instalaciones.

Puede utilizar esta característica para crear arquitecturas similares a las arquitecturas de las zonas de disponibilidad (AZ) múltiple para las aplicaciones en las instalaciones que se ejecutan en los bastidores de Outposts mediante el establecimiento de conectividad entre bastidores de Outposts que están anclados a diferentes zonas de disponibilidad.

Para habilitar esta característica, agregue una ruta a la tabla de enrutamiento de la subred del bastidor de Outpost que sea más específica que la ruta local de esa tabla de enrutamiento y que tenga un tipo de destino de puerta de enlace local. El destino de la ruta debe coincidir con el bloque completo de IPv4 de una subred de su VPC que se encuentra en otro Outpost. Repita esta configuración en todas las subredes de Outpost que necesiten comunicarse.

La entrada para la tabla de enrutamiento de la subred de Outpost 2 sería la siguiente:

Enrutar a una interconexión de VPC

Una interconexión de VPC es una conexión de redes entre dos VPC que permite direccionar el tráfico entre ellas mediante direcciones IPv4 privadas. Las instancias de ambas VPC se pueden comunicar entre sí si forman parte de la misma red.

Para permitir el direccionamiento de tráfico entre VPC en una interconexión de VPC, debe añadir una ruta hacia una o varias tabas de ruteo de la subred que apunten a la interconexión de VPC. Esto le permite acceder a todo o a parte del bloque de CIDR de la otra VPC en la interconexión. Del mismo modo, el propietario de la otra VPC deberá añadir una ruta a sus tablas de ruteo de la subred para direccionar el tráfico de vuelta a su VPC.

Supongamos que, por ejemplo, tiene una interconexión de VPC (pcx-11223344556677889) entre dos VPC con la información siguiente:

Para permitir el tráfico entre las VPC y facilitar el acceso a la totalidad del bloque de CIDR IPv4 de ambas VPC, la tabla de enrutamiento de la VPC A debe configurarse como se indica a continuación.

La tabla de enrutamiento de la VPC B debe configurarse como se indica a continuación.

La interconexión de la VPC también puede admitir la comunicación IPv6 entre instancias en las VPC, si las VPC y las instancias admiten la comunicación IPv6. Para permitir el direccionamiento de tráfico IPv6 entre las VPC, debe añadir una ruta a la tabla de enrutamiento que apunte a la interconexión de la VPC para, de este modo, obtener acceso a la totalidad o a parte del bloque de CIDR IPv6 de la VPC del mismo nivel.

Supongamos que, por ejemplo, con la misma interconexión de VPC (pcx-11223344556677889) anterior, las VPC tienen la información siguiente:

Para permitir la comunicación IPv6 a través de la interconexión de VPC, añada la ruta siguiente a la tabla de enrutamiento de la subred para la VPC A.

Añada la siguiente ruta a la tabla de enrutamiento de la VPC B.

Para obtener más información acerca de las interconexiones de VPC, consulte la Guía de interconexión de Amazon VPC.

Enrutar a un punto de enlace de la VPC de la puerta de enlace

Un punto de enlace de la VPC de la puerta de enlace permite crear una conexión privada entre la VPC y otros servicios de AWS. Cuando crea un punto de enlace de la puerta de enlace, especifica las tablas de ruteo de la subred en su VPC que utiliza el punto de enlace de la puerta de enlace. Se añadirá automáticamente una ruta a cada una de las tablas de ruteo con el ID de la lista de prefijos del servicio (pl-xxxxxxxx) como destino y el ID del punto de conexión (vpce-xxxxxxxxxxxxxxxxx) como objetivo. No es posible eliminar ni modificar de manera explícita la ruta del punto de conexión; sin embargo, es posible cambiar las tablas de ruteo que utiliza el punto de conexión.

Para obtener más información acerca del enrutamiento para puntos de enlace y las implicaciones de las rutas a servicios de AWS, consulte Enrutamiento para puntos de enlace de puerta de enlace.

Enrutar a la puerta de enlace de Internet de solo salida

Puede crear puerta de enlaces de Internet de solo salida para su VPC para permitir que las instancias de subredes privadas inicien comunicaciones salientes a Internet evitando que Internet inicie conexiones con dichas instancias. La puerta de enlace de Internet de solo salida se utiliza únicamente para el tráfico IPv6. Para configurar el direccionamiento de la puerta de enlace de Internet de solo salida, añada una ruta a la tabla de enrutamiento de la subred privada que direccione el tráfico de Internet IPv6 (::/0) a la puerta de enlace de Internet de solo salida.

Para obtener más información, consulte Habilitar el tráfico IPv6 saliente mediante una puerta de enlace de Internet de solo salida.

Enrutar para una transit puerta de enlace

Al asociar una VPC a una transit puerta de enlace, debe agregar una ruta a la tabla de enrutamiento de subredes para que el tráfico se enrute a través de la transit puerta de enlace.

Considere el siguiente escenario, en el que tiene tres VPC asociadas a una transit puerta de enlace. En este escenario, todas las conexiones se asocian a la tabla de enrutamiento de la transit puerta de enlace y se propagan a la tabla de enrutamiento de la transit puerta de enlace. Por lo tanto, todas las conexiones pueden enrutar paquetes entre sí y la transit puerta de enlace actúa como un simple hub de IP de capa 3.

Supongamos que, por ejemplo, tiene dos VPC con la información siguiente:

Para permitir el tráfico entre las VPC y permitir el acceso a la transit puerta de enlace, la tabla de enrutamiento de la VPC A debe configurarse como se muestra a continuación.

A continuación, se muestra un ejemplo de las entradas de las tablas de enrutamiento de transit puerta de enlace para las conexiones de VPC.

Para obtener más información acerca de las tablas de enrutamiento de la transit puerta de enlace, consulte Enrutamiento en Tansit puerta de enlaces de Amazon VPC.

Enrutamiento para un dispositivo middlebox

Puede agregar dispositivos middlebox a las vías de enrutamiento de su VPC. Estos son algunos casos de uso posibles:

Puede configurar el dispositivo para que se adapte a sus necesidades. Por ejemplo, puede configurar un dispositivo de seguridad que cribase todo el tráfico o un dispositivo de aceleración WAN. El dispositivo se implementa como una instancia Amazon EC2 en una subred de la VPC y se representa mediante una interfaz de red elástica (interfaz de red) en la subred.

Si habilita la propagación de enrutamientos en la tabla de enrutamiento de la subred de destino, tenga en cuenta la prioridad de las rutas. La ruta más específica es la que tiene mayor prioridad y, en caso de que coincidan, las rutas estáticas tendrán prioridad sobre las rutas propagadas. Revise las rutas para asegurarse de que el tráfico se direcciona correctamente y de que no produzcan consecuencias no deseadas si habilita o deshabilita la propagación de rutas (por ejemplo, la propagación de rutas es necesaria en una conexión AWS Direct Connect que admita tramas jumbo).

Para dirigir el tráfico de VPC entrante a un dispositivo, asocie una tabla de enrutamiento a la puerta de enlace de Internet o a la puerta de enlace privada virtual y especifique la interfaz de red del dispositivo como objetivo para el tráfico de la VPC. Para obtener más información, consulte Tablas de ruteo de puerta de enlace. También puede dirigir el tráfico saliente de la subred a un dispositivo middlebox de otra subred.

Para ver ejemplos de enrutamiento de middlebox, consulte Escenarios de Middlebox.

Consideraciones sobre el dispositivo

Puede elegir un dispositivo de terceros de AWS Marketplace o configurar su propio dispositivo. Al crear o configurar un dispositivo, tenga en cuenta lo siguiente:

Enrutamiento del tráfico entre una puerta de enlace y un dispositivo

Para dirigir el tráfico de VPC entrante a un dispositivo, asocie una tabla de enrutamiento a la puerta de enlace de Internet o a la puerta de enlace privada virtual y especifique la interfaz de red del dispositivo como objetivo para el tráfico de la VPC. En el ejemplo siguiente, la VPC tiene una puerta de enlace de Internet, un dispositivo y una subred con instancias. El tráfico de Internet se dirige a través de un dispositivo.

Asocie esta tabla de enrutamiento con su puerta de enlace de Internet o puerta de enlace privada virtual. La primera entrada es la ruta local. La segunda entrada envía el tráfico IPv4 destinado a la subred a la interfaz de red del dispositivo. Esta ruta es más específica que la ruta local.

También puede sustituir el objetivo de la ruta local por la interfaz de red del dispositivo. Puede hacerlo para asegurarse de que todo el tráfico se dirige automáticamente al dispositivo, incluido el tráfico destinado a las subredes que agregue a la VPC más adelante.

Para dirigir el tráfico de la subred a un dispositivo de otra subred, añada una ruta a la tabla de enrutamiento de la subred que dirige el tráfico a la interfaz de red del dispositivo. El destino debe ser menos específico que el destino de la ruta local. Por ejemplo, para el tráfico destinado a Internet, especifique 0.0.0.0/0 (todas las direcciones IPv4) para el destino.

A continuación, en la tabla de enrutamientos asociada a la subred del dispositivo, agregue una ruta que envíe el tráfico a la puerta de enlace de Internet o a la puerta de enlace privada virtual.

Enrutamiento del tráfico entre subredes a un dispositivo

Puede enrutar el tráfico destinado a una subred específica a la interfaz de red de un dispositivo. En el ejemplo siguiente, la VPC contiene dos subredes y un dispositivo. No se puede dirigir el tráfico entre subredes a través de un dispositivo.

Grupos de seguridad

Al enrutar el tráfico entre instancias en subredes diferentes a través de un dispositivo de middlebox, los grupos de seguridad de ambas instancias deben permitir que el tráfico fluya entre las instancias. El grupo de seguridad de cada instancia debe hacer referencia a la dirección IP privada de la otra instancia, o al rango CIDR de la subred que contiene la otra instancia, como fuente. Si hace referencia al grupo de seguridad de la otra instancia como fuente, esto no permite que el tráfico fluya entre las instancias.

Enrutamiento

A continuación se muestra un ejemplo de tabla de enrutamiento para la subred A. La primera entrada habilita a las instancias de la VPC para que se comuniquen entre sí. La segunda entrada dirige todo el tráfico de la subred A a la subred B a la interfaz de red del dispositivo.

A continuación se muestra un ejemplo de tabla de rutas para la subred B. La primera entrada habilita a las instancias de la VPC a comunicarse entre sí. La segunda entrada enruta todo el tráfico de la subred B a la subred A a la interfaz de red del dispositivo.

También puede sustituir el objetivo de la ruta local por la interfaz de red del dispositivo. Puede hacerlo para asegurarse de que todo el tráfico se dirige automáticamente al dispositivo, incluido el tráfico destinado a las subredes que agregue a la VPC más adelante.

Enrutamiento mediante una lista de prefijos

Si hace referencia con frecuencia al mismo conjunto de bloques de CIDR en sus recursos de AWS, puede crear una lista de prefijos administrada por el cliente para agruparlos. A continuación, puede especificar la lista de prefijos como destino en la entrada de la tabla de enrutamiento. Posteriormente, puede agregar o quitar entradas para la lista de prefijos sin necesidad de actualizar las tablas de ruteo.

Por ejemplo, tiene una transit puerta de enlace con varios archivos adjuntos de VPC. Las VPC deben poder comunicarse con dos adjuntos VPC específicos que tengan los siguientes bloques de CIDR:

Usted crea una lista de prefijos con ambas entradas. En las tablas de ruteo de subred, se crea una ruta y se especifica la lista de prefijos como destino y la transit puerta de enlace como destino.

El número máximo de entradas para las listas de prefijos es igual al mismo número de entradas en la tabla de enrutamiento.

Enrutamiento a un punto de enlace del equilibrador de carga de puerta de enlace

Un equilibrador de carga de puerta de enlace le permite distribuir tráfico a una flota de dispositivos virtuales, como firewalls. Puede configurar el equilibrador de carga como servicio al crear una configuración de servicio de punto de enlace de la VPC. A continuación, cree un punto de enlace del equilibrador de carga de puerta de enlace en la VPC para conectar la VPC al servicio.

Para direccionar el tráfico al equilibrador de carga de puerta de enlace (por ejemplo, para la inspección de seguridad), especifique el punto de enlace del equilibrador de carga de puerta de enlace como destino en las tablas de enrutamiento.

Para obtener un ejemplo de dispositivos de seguridad detrás de un equilibrador de carga de puerta de enlace, consulte Configuración del enrutamiento y la inspección del tráfico de middlebox en una VPC.

Para especificar el punto de enlace del equilibrador de carga de puerta de enlace en la tabla de enrutamiento, utilice el ID del punto de enlace de la VPC. Por ejemplo, para dirigir el tráfico de 10.0.1.0/24 a un punto de enlace del equilibrador de carga de puerta de enlace, agregue la siguiente ruta.

Para obtener más información, consulte Balanceadores de carga de puerta de enlace.