AWSのPublicサブネット内にあるEC2からブラウザアクセス出来ない。

Question

実現したいこと

AWSのPublicサブネット内にあるEC2サーバーからブラウザを立ち上げ、Webサイトを閲覧したい。

質問内容

Publicサブネット内にあるElastic IPも動的IPも設定していないEC2サーバーからブラウザでインターネットにアクセスする方法はあるのでしょうか

検証環境

VPC内に内部アドレス以外はインターネットゲートウェイに向き先を設定したサブネットを作成し、その中に踏み台サーバーとなるLinuxのEC2インスタンスを1つ、ブラウザアクセスするWindowsServerのEC2インスタンスを1つ作成

事前に確認した環境

上記環境を作る前に、PublicサブネットにWindowsServerのEC2インスタンスを置き、Elastic IPアドレスを設定
WindowsServerのセキュリティグループは以下の通り

インバウンドルール

プロトコル	アドレス
RDP	0.0.0.0/0

アウトバウンドルール

プロトコル	アドレス
全てのトラフィック	0.0.0.0/0

この状態でオンプレミス環境からRDPでEC2インスタンスにアクセスし、ブラウザアクセスすると閲覧出来ることを確認

問題が起きている環境

上記の実現出来た環境に対して踏み台サーバーとなるLinuxのEC2インスタンスを追加し、WindowsのElastic IPアドレスをLinuxに関連付けしなおす（上記イメージ図の状態）（WindowsはElastic IPアドレスが無くなった状態）
Linuxのセキュリティグループは以下の通り

インバウンドルール

プロトコル	アドレス
SSH	0.0.0.0/0

アウトバウンドルール

プロトコル	アドレス
全てのトラフィック	0.0.0.0/0

※WindowsServerのセキュリティグループは変更無し

この状態でオンプレミス環境から踏み台サーバーにSSHアクセスし、ポートフォワードでWindowsサーバーにRDPでアクセスすると、デスクトップ画面は表示されるが、内部で立ち上げたブラウザからインターネットサイトにアクセスしようとすると表示されない。

補足情報

ルーティングテーブルの設定は
0.0.0.0/0 を インターネットゲートウェイに
172.16.0.0/16（ローカルのネットワークアドレス） を localに設定しています。

Answer 1

通常、パブリックIPアドレスが無いとインターネットゲートウェイから外に出ることは出来ません。
NATゲートウェイにElastic IPを付与し、経由でインターネットにアクセスすれば出来なくはないですが、設定が複雑ですしコストが多くかかるかと思います。

パブリックIPアドレスを付与し、RDPは 172.16.0.0/16 だけを許可するなどで、インターネットからはRDP出来なくする、といった設定が比較的簡単かと思います。

Comments

[id9m4i2l67]

インターネットゲートウェイがあっても外部に出るには自分もパブリックIPアドレスが必要なんですね。
NATゲートウェイの記述を見てリアルなネットワークを考えたら当たり前なことに気づきました。勉強になりました。ありがとうございました。