EC2のプライベートサブネットにwebサーバーを置き、ブラウザ表示したい

Question

前提・実現したいこと

• EC2のコンソールは使用できません。
• 踏み台サーバーを使用し、外部からプライベートサブネットにプライベートIPでssh接続をしています。

EC2のプライベートサブネットにwebサーバーを構築、アプリを展開し、ブラウザに表示したいです。

発生している問題・エラーメッセージ

ブラウザに踏み台サーバーのパプリックIPでアクセスしようとすると、502エラーが表示されます。

/var/log/httpd/error_log

[Sun Jul 25 10:25:43.449127 2021] [suexec:notice] [pid 17497] AH01232: suEXEC mechanism enabled (wrapper: /usr/sbin/suexec)
[Sun Jul 25 10:25:43.458069 2021] [lbmethod_heartbeat:notice] [pid 17497] AH02282: No slotmem from mod_heartmonitor
[Sun Jul 25 10:25:43.458095 2021] [http2:warn] [pid 17497] AH10034: The mpm module (prefork.c) is not supported by mod_http2. The mpm determines how things are processed in your server. HTTP/2 has more demands in this regard and the currently selected mpm will just not do. This is an advisory warning. Your server will continue to work, but the HTTP/2 protocol will be inactive.
[Sun Jul 25 10:25:43.459542 2021] [mpm_prefork:notice] [pid 17497] AH00163: Apache/2.4.48 () configured -- resuming normal operations
[Sun Jul 25 10:25:43.459558 2021] [core:notice] [pid 17497] AH00094: Command line: '/usr/sbin/httpd -D FOREGROUND'

access_logには記録がありませんでした。

試したこと

• 踏み台インスタンスとプライベートインスタンスの起動の確認
• apacheの起動を確認
• ウェブサーバーがポート 80 または 443 でユーザーからの受信接続リクエストをリッスンしていることを確認

$ sudo netstat -tulpn | grep httpd
tcp6       0      0 :::80                   :::*                    LISTEN      17497/httpd         

• OS レベルのファイアウォールのステータスを確認

$ sudo iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

$ sudo iptables -A INPUT -p tcp --dport 80 --syn -m conntrack --ctstate NEW -j ACCEPT

$ sudo iptables -A INPUT -p tcp --dport 443 --syn -m conntrack --ctstate NEW -j ACCEPT         

参考にした記事：https://aws.amazon.com/jp/premiumsupport/knowledge-center/ec2-instance-hosting-unresponsive-website/

補足情報（FW/ツールのバージョンなど）

• Amazon Linux 2 AMI
• Apache/2.4.48

Comments

[Noin]

すみません、説明分からサーバ構成が見えないです。
A:踏み台サーバ
B:webサーバ（apache）
Bサーバのapacheへ接続する経路の設定はどうなっていますか？
ELB使ってますか？EIPを直接であればセキュリティグループの設定で80は解放されてますか？
502を出しているのはapacheではなさそうに見えます。

後、netstatを見るとtcp6とあるのでIPv6を利用してるように見えますが、IPv4のポートは空いてますか？それともv6を使ってますか？

Answer 1

[A] 踏み台サーバーと [B] Web サーバーがあって、[A] で Apache httpd を稼働させ、リバースプロキシーとしたいのですよね？
[A] の Apache httpd で 502 を返していると仮定すると、CHERRY さんの回答にもあるとおり、[A]→[B] の接続に失敗しています。

まずは [A] で curl コマンドなどで [B] のプライベートIP に HTTP 接続できるか確認するといいと思います。
接続できなければ、[B] のセキュリティグループで [A] からの 80 番ポートへの接続を許可しているか。
接続できれば、[A] の Apache httpd の設定。

他、
iptables はデフォルトポリシーが ACCEPT なので、全許可されています。
NAT インスタンスや MASQUERADE は外向き(outbound)通信のことなので、今回の問題とは関係ないと思います。
IPv6 しか LISTEN していないように見えるのは v4-mapped-on-v6 (https://teratail.com/questions/100706) なので問題なし。

Answer 2

502エラーは、502 Bad Gateway ですね。

サーバーエラーレスポンスコードは、ゲートウェイまたはプロキシとして機能しているサーバーが上流のサーバーから無効なレスポンスを受け取ったことを示しています。

Webブラウザで踏み台サーバーにアクセスしたら、Webを構築したプライベートインスタンスにアクセスが転送されるように正しく設定はされていますか？(リバースプロキシ等の設定)

踏み台サーバーからプライベート側のWebサーバーにアクセスすると接続可能ですか？

Comments

[hujio362]

https://qiita.com/koshilife/items/2cba3d17094f087455ab
こちらの記事の4.NATインスタンス 動作確認を参考に、pingをとおして見ましたが、パブリックサブネット側から、プライベートサブネット側からともに応答がありませんでした。
プライベートサブネットから$ ping 8.8.8.8 でGoogleのDNSサーバに疎通できることは確認確認できました。

また、iptablesを以下のように変更してみました。
```
[root@ip- ~]# iptables --list -t nat
Chain PREROUTING (policy ACCEPT)
target prot opt source destination

Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
MASQUERADE all -- anywhere anywhere
```
他に設定すべき点があればご教授いただきたいです。
よろしくお願いいたします。