Ping na EC2: regra ICMP no security group e firewall do Windows

Quando duas EC2 não se falam e você ainda não domina security group, subnet e VPC, é fácil terminar liberando todas as portas e expondo a aplicação. Um teste de ping antes mostra onde está o bloqueio. Aqui eu subo uma EC2 Windows e uma Linux, libero o ICMP no security group, trato o firewall do Windows e faço a Windows pingar a Linux por dentro da AWS.

O cenário: duas EC2 e um teste simples

O ping é um teste simples de comunicação, mas o passo a passo confunde, principalmente no Windows, que tem uma particularidade. Primeiro você pinga da sua máquina até cada instância; depois, de uma instância para a outra, por dentro da AWS.

Para testar outro protocolo (banco de dados, RDP, SSH), o raciocínio é o mesmo: troque a porta da regra.

O teste usa dois security groups, um para cada instância, porque fica mais organizado.

1Criar os dois security groups

No console da EC2, crie os dois security groups:

• Comunicação ping Linux: a única regra de entrada é SSH, só do seu IP, para você conseguir acessar a máquina.
• Comunicação ping Windows: a única regra de entrada é RDP, só do seu IP. O console exige uma descrição para esse; eu coloquei "comunicação com instância Windows".

Nenhum dos dois tem regra de ICMP ainda, então o primeiro ping vai falhar.

2Lançar as duas instâncias

Lance a Windows primeiro, porque ela demora mais para subir:

1. Windows: Windows Server 2019 Base, t3.micro, nome "Instância Windows", security group "Comunicação ping Windows".
2. Linux: Amazon Linux, t3.micro, 8 GB de disco, nome "Instância Linux", security group "Comunicação ping Linux".

As duas usam a mesma chave PEM. Se você ainda não sabe criar a chave nem lançar cada tipo de instância, o passo a passo da Windows está em Criar e conectar numa EC2 Windows por RDP.

Para entrar na Linux, copie no console a instrução de conexão SSH e rode no seu terminal, na pasta da chave. No Windows, o Git Bash serve e dá para usar o cd nele.

Para entrar na Windows, em Connect, RDP client, Get password, escolha a chave PEM e decifre a senha. Eu usei o Remmina, no Linux, e precisei reduzir a profundidade de cor para True Color, senão a configuração dá errado. A senha da Windows leva um tempo a mais para ficar disponível.

3Pingar da sua máquina até as instâncias

Rode o ping para o IP da instância Linux a partir do seu terminal. Ele não responde, porque o seu IP só foi liberado para SSH. Em Security, no security group, Edit inbound rules, adicione uma regra de tipo ICMP com origem no seu IP e salve. Rode o ping de novo e ele responde.

Repita na Windows: abra o security group dela, adicione a regra ICMP para o seu IP e salve. Aqui o ping continua sem responder, mesmo com a regra certa.

4O firewall do Windows

A regra está certa; o que barra é o firewall habilitado dentro da instância Windows. Como o security group já controla a entrada, esse firewall fica redundante e na frente do teste.

Para desativar, dentro da instância:

1. Abra o Server Manager e vá em Local Server.
2. Em Windows Defender Firewall, abra a configuração da rede ativa (no meu caso, a pública).
3. Deixe o firewall desligado e rode o ping de novo.

Desligado o firewall, o ping respondeu na hora.

5Pingar de uma instância para a outra

Agora a comunicação por dentro da AWS. As duas instâncias estão na mesma VPC, então o security group de cada uma aceita o ICMP vindo do security group da outra:

1. No security group da Windows, regra de entrada ICMP com origem no security group "Comunicação ping Linux".
2. No security group da Linux, regra de entrada ICMP com origem no security group "Comunicação ping Windows".

Use o IP privado de cada instância, copiado do console. Na Windows, abra o prompt de comando e rode o ping para o IP privado da Linux (troque pelo seu):

ping 172.31.93.231

Vieram as quatro respostas, sem perda, com tempo de 1 ms ou menos: as duas máquinas estão muito próximas dentro da AWS. Depois teste o inverso, da Linux para o IP privado da Windows.

O caminho completo, do security group ao ping:

6Apagar o laboratório

Terminada a prática, marque as duas instâncias e termine as duas. Assim não fica custo cobrado pelo laboratório.

Checklist

• Crie um security group por instância, com só SSH ou RDP do seu IP.
• Lance a Windows primeiro, que demora mais, e a Linux logo em seguida.
• Adicione ICMP no security group com origem no seu IP e teste o ping da sua máquina.
• Se a Windows não responder com a regra certa, olhe o firewall da instância (Server Manager, Local Server).
• Desative o firewall só para o teste.
• Para o ping entre as instâncias, use ICMP com origem no security group da outra e o IP privado.
• Termine as duas instâncias no fim.

O ping mostra de que lado está o bloqueio, security group ou firewall da instância, e evita abrir todas as portas no escuro.