# Ping na EC2: regra ICMP no security group e firewall do Windows

> Como liberar o ping numa EC2 Windows e numa Linux: regra ICMP no security group, firewall do Windows no teste e ping pelo IP privado.

- Autor: Henrylle Maia, consultor AWS
- Publicado em: 2026-10-15
- Assuntos: Rede, Carreira
- URL: https://pages.formacaoaws.com.br/blog/ping-na-ec2-icmp-security-group/
- Aula de origem: "Como configurar e testar a comunicação entre EC2 usando ping, em instância Windows e Linux." (https://www.youtube.com/watch?v=zMXoJ4HXi6k)

Quando duas EC2 não se falam e você ainda não domina security group, subnet e VPC, é fácil terminar liberando todas as portas e expondo a aplicação. Um teste de ping antes mostra onde está o bloqueio. Aqui eu subo uma EC2 Windows e uma Linux, libero o ICMP no security group, trato o firewall do Windows e faço a Windows pingar a Linux por dentro da AWS.

## O cenário: duas EC2 e um teste simples

O ping é um teste simples de comunicação, mas o passo a passo confunde, principalmente no Windows, que tem uma particularidade. Primeiro você pinga da sua máquina até cada instância; depois, de uma instância para a outra, por dentro da AWS.

Para testar outro protocolo (banco de dados, RDP, SSH), o raciocínio é o mesmo: troque a porta da regra.

O teste usa dois security groups, um para cada instância, porque fica mais organizado.

## Passo 1: criar os dois security groups

No console da EC2, crie os dois security groups:

- **Comunicação ping Linux:** a única regra de entrada é SSH, só do seu IP, para você conseguir acessar a máquina.
- **Comunicação ping Windows:** a única regra de entrada é RDP, só do seu IP. O console exige uma descrição para esse; eu coloquei "comunicação com instância Windows".

Nenhum dos dois tem regra de ICMP ainda, então o primeiro ping vai falhar.

## Passo 2: lançar as duas instâncias

Lance a Windows primeiro, porque ela demora mais para subir:

1. **Windows:** Windows Server 2019 Base, t3.micro, nome "Instância Windows", security group "Comunicação ping Windows".
2. **Linux:** Amazon Linux, t3.micro, 8 GB de disco, nome "Instância Linux", security group "Comunicação ping Linux".

As duas usam a mesma chave PEM. Se você ainda não sabe criar a chave nem lançar cada tipo de instância, o passo a passo da Windows está em [Criar e conectar numa EC2 Windows por RDP](https://pages.formacaoaws.com.br/blog/criar-e-conectar-ec2-windows/).

Para entrar na Linux, copie no console a instrução de conexão SSH e rode no seu terminal, na pasta da chave. No Windows, o Git Bash serve e dá para usar o `cd` nele.

Para entrar na Windows, em **Connect**, **RDP client**, **Get password**, escolha a chave PEM e decifre a senha. Eu usei o Remmina, no Linux, e precisei reduzir a profundidade de cor para True Color, senão a configuração dá errado. A senha da Windows leva um tempo a mais para ficar disponível.

## Passo 3: pingar da sua máquina até as instâncias

Rode o ping para o IP da instância Linux a partir do seu terminal. Ele não responde, porque o seu IP só foi liberado para SSH. Em **Security**, no security group, **Edit inbound rules**, adicione uma regra de tipo ICMP com origem no seu IP e salve. Rode o ping de novo e ele responde.

Repita na Windows: abra o security group dela, adicione a regra ICMP para o seu IP e salve. Aqui o ping continua sem responder, mesmo com a regra certa.

> **Importante:** a regra vale só para o seu IP. Liberar tudo para o teste funcionar expõe a aplicação.

## Passo 4: o firewall do Windows

A regra está certa; o que barra é o firewall habilitado dentro da instância Windows. Como o security group já controla a entrada, esse firewall fica redundante e na frente do teste.

Para desativar, dentro da instância:

1. Abra o **Server Manager** e vá em **Local Server**.
2. Em **Windows Defender Firewall**, abra a configuração da rede ativa (no meu caso, a pública).
3. Deixe o firewall desligado e rode o ping de novo.

![Windows Security na EC2 Windows com o Windows Defender Firewall da rede pública desligado (Off)](https://pages.formacaoaws.com.br/blog/assets/posts/ping-na-ec2-icmp-security-group/firewall-windows-desligado.webp)

Desligado o firewall, o ping respondeu na hora.

> **Importante:** desative só para este teste. Aplicação web (porta 80, 443, IIS) não exige mexer no firewall.

## Passo 5: pingar de uma instância para a outra

Agora a comunicação por dentro da AWS. As duas instâncias estão na mesma VPC, então o security group de cada uma aceita o ICMP vindo do security group da outra:

1. No security group da Windows, regra de entrada ICMP com origem no security group "Comunicação ping Linux".
2. No security group da Linux, regra de entrada ICMP com origem no security group "Comunicação ping Windows".

![Edit inbound rules do security group da Linux: SSH e ICMP do meu IP (tarjado), mais ICMP com origem no security group da Windows](https://pages.formacaoaws.com.br/blog/assets/posts/ping-na-ec2-icmp-security-group/regra-icmp-sg.webp)

Use o **IP privado** de cada instância, copiado do console. Na Windows, abra o prompt de comando e rode o ping para o IP privado da Linux (troque pelo seu):

```bash
ping 172.31.93.231
```

Vieram as quatro respostas, sem perda, com tempo de 1 ms ou menos: as duas máquinas estão muito próximas dentro da AWS. Depois teste o inverso, da Linux para o IP privado da Windows.

![Prompt de comando da EC2 Windows: ping para o IP privado da Linux com 4 pacotes enviados, 4 recebidos e 0% de perda](https://pages.formacaoaws.com.br/blog/assets/posts/ping-na-ec2-icmp-security-group/ping-windows-para-linux.webp)

O caminho completo, do security group ao ping:

**Fluxo:** Security group (regra ICMP) → EC2 Linux (responde ao ping) → EC2 Windows (firewall desativado) → Ping (IP privado, mesma VPC)

## Passo 6: apagar o laboratório

Terminada a prática, marque as duas instâncias e termine as duas. Assim não fica custo cobrado pelo laboratório.

## Checklist

- Crie um security group por instância, com só SSH ou RDP do seu IP.
- Lance a Windows primeiro, que demora mais, e a Linux logo em seguida.
- Adicione ICMP no security group com origem no seu IP e teste o ping da sua máquina.
- Se a Windows não responder com a regra certa, olhe o firewall da instância (Server Manager, Local Server).
- Desative o firewall só para o teste.
- Para o ping entre as instâncias, use ICMP com origem no security group da outra e o IP privado.
- Termine as duas instâncias no fim.

O ping mostra de que lado está o bloqueio, security group ou firewall da instância, e evita abrir todas as portas no escuro.