Como associar uma instância EC2 a uma VPC personalizada

English version: How to associate an EC2 instance with a custom VPC

Neste laboratório você cria uma rede isolada na AWS e lança uma instância EC2 dentro dela. No final existem três recursos ligados entre si: a VPC VPC-01, a sub-rede my-subnet-01 e a instância my-server. A máquina não deve ficar na rede padrão da conta.

Uma VPC (Virtual Private Cloud) é a rede virtual da sua conta em uma região. Nela você define o intervalo de endereços IP, as sub-redes e as regras de tráfego. A instância EC2 não se conecta “à nuvem” de forma genérica: ela recebe uma interface de rede, e essa interface precisa morar em uma sub-rede. A sub-rede, por sua vez, pertence a uma VPC.

A AWS já cria uma VPC padrão em cada região. Se você lançar uma EC2 sem alterar a rede, a instância entra nessa VPC padrão. Isso funciona para um teste rápido. Para um laboratório, mistura tudo no mesmo bloco de endereços. Uma VPC personalizada resolve isso: você cria uma rede só para esta atividade e, no assistente de lançamento, escolhe essa rede para a instância.

O intervalo de endereços desta rede será 10.0.0.0/24. Essa notação, chamada CIDR, descreve 256 endereços IP privados, de 10.0.0.0 a 10.0.0.255. Eles não funcionam como endereço na internet pública. Servem para as máquinas se comunicarem dentro da VPC. A seção 1 mostra exatamente onde preencher esse valor.

A vinculação não acontece depois, com um botão de associar VPC. Ela acontece no Launch Wizard: você seleciona a VPC-01 e a sub-rede my-subnet-01 antes de clicar em Executar instância. A interface de rede da EC2 nasce nessa sub-rede e, por isso, na VPC personalizada.

Antes de qualquer clique, no canto superior direito do console, confira a região. Este laboratório usa Estados Unidos (Norte da Virgínia), código us-east-1. Se o seletor mostrar São Paulo ou outra região, abra a lista e mude. VPC e EC2 não atravessam região. O idioma do console neste passo a passo é o português.

Os identificadores (vpc-…, subnet-…, ami-…) mudam de conta e de data. Siga os nomes e os valores da tabela, não os IDs dos prints. Em algumas capturas o campo Proprietário aparece oculto: é o identificador da conta, não um parâmetro do laboratório.

Não vamos configurar Internet Gateway, tabela de rotas nem SSH neste texto. O objetivo é criar a VPC e colocar a EC2 nela.

1. Criar a VPC personalizada

O primeiro objeto é a rede. Sem ela, o assistente da EC2 não tem um destino personalizado para oferecer.

Na barra de pesquisa no topo do console, digite VPC. Nos resultados, abra o serviço VPC (Isolated Cloud Resources).

Você entra no painel da VPC. No menu à esquerda, clique em Suas VPCs. Essa tela lista as redes da região atual. Pode aparecer a VPC padrão e outras redes de testes; não as use. No canto superior direito, clique em Criar VPC.

O assistente pergunta o modo de criação. VPC e muito mais cria a VPC e já acrescenta sub-redes, um caminho para a internet e as rotas correspondentes. É um atalho. Somente VPC cria só a VPC. As sub-redes ficam por sua conta. Este laboratório usa Somente VPC para que a sub-rede apareça como etapa explícita, no momento em que a EC2 precisar dela. Selecione Somente VPC.

Antes de preencher os endereços, vale a notação do campo. CIDR é a forma de escrever um intervalo de IPs. Em 10.0.0.0/24, os primeiros 24 bits identificam a rede e os 8 bits restantes identificam as máquinas: 256 endereços, de 10.0.0.0 a 10.0.0.255. O prefixo 10. é privado, só vale dentro da VPC. O console aceita blocos entre /16 e /28; /24 é o tamanho deste laboratório.

Há duas formas de informar esse bloco. Entrada manual de CIDR IPv4 deixa você digitar o intervalo. A outra opção, IPAM, pede um gerenciador de endereços da AWS que este laboratório não usa. Marque Entrada manual de CIDR IPv4.

Preencha o restante assim:

• Tag de nome: VPC-01. Na AWS o nome visível da VPC é a tag Name. Sem essa tag, a lista mostra apenas um identificador vpc-….
• CIDR IPv4: 10.0.0.0/24.
• Bloco CIDR IPv6: deixe em Nenhum bloco CIDR IPv6.
• Locação: deixe Padrão. A instância usa o hardware compartilhado usual da EC2, não um host dedicado.
• Controle de criptografia da VPC: deixe Nenhuma. Este laboratório não usa o recurso pago de monitoramento de criptografia.

Clique no botão amarelo Criar VPC, no canto inferior direito. O console abre os detalhes da VPC-01. Confirme o estado Available. Se quiser ver a lista, use Suas VPCs no menu esquerdo.

A VPC-01 ainda não tem sub-rede. A AWS divide cada região em zonas de disponibilidade: datacenters separados dentro da mesma região. A sub-rede, criada mais adiante, escolhe uma dessas zonas e entrega endereços IP para a interface da EC2. Sem sub-rede, a instância não tem zona nem IP nessa VPC. A seguir começamos o lançamento; a sub-rede será criada quando o assistente da EC2 pedir.

2. Iniciar o lançamento da instância EC2

Com a VPC criada, o próximo recurso é a máquina virtual. Ainda não clique em Executar instância. Primeiro preenchemos nome, imagem, tipo e chave. A rede é a seção seguinte.

Na barra de pesquisa, digite EC2 e abra o serviço EC2 (Virtual Servers in the Cloud).

No menu à esquerda do painel, clique em Instâncias. Você vê as máquinas virtuais da região Norte da Virgínia.

No canto superior direito da lista, clique em Executar instâncias. Se a tabela já tiver outras máquinas, ignore-as. Elas não fazem parte deste laboratório.

Abre o Launch Wizard. Em Nome e tags, no campo Nome, escreva my-server. Esse texto vira a tag Name. Não é o hostname Linux nem um nome DNS.

Em Imagens de aplicação e de sistema operacional, na aba Início rápido, escolha Amazon Linux. Confirme Amazon Linux 2023. No campo Arquitetura, se estiver 64 bits (Arm), abra a lista e mude para 64 bits (x86). Depois da troca, confira de novo se a imagem selecionada continua Amazon Linux 2023: o console pode recarregar a AMI. O tipo t2.micro deste laboratório não existe na arquitetura Arm. O usuário padrão dessa imagem é ec2-user. O código ami-… muda com a região e com as atualizações. Escolha a Amazon Linux 2023 que o console mostrar agora. Não copie o ID do print.

Em Tipo de instância, selecione t2.micro (1 vCPU, 1 GiB de memória). Se a lista não mostrar t2.micro, ative o interruptor Todas as gerações ao lado do campo. O console mostra o preço on-demand da região. Leia o valor na tela; ele muda. Este artigo não registra o número.

Antes da rede, o assistente exige um par de chaves. São dois arquivos: a chave pública é gravada na instância; a privada fica no seu computador. O botão Executar instância permanece bloqueado enquanto o campo estiver vazio, mesmo neste laboratório, em que não vamos abrir SSH. O par existe porque o console exige. Conectar na instância pela internet não faz parte deste passo a passo.

• Se a lista estiver vazia, clique em Criar novo par de chaves, escolha um nome, baixe o arquivo .pem e selecione o par recém-criado. Guarde o .pem fora do Git.
• Se já existir um par do qual você tem o arquivo, selecione esse par.
• O print deste laboratório mostra o nome aws-server. Você não precisa repetir esse nome. Precisa de um par selecionado, com o arquivo em sua posse.

Ainda não execute a instância. O bloco de rede, neste momento, ainda aponta para a VPC padrão da região, com IP público habilitado e a oferta de um grupo de segurança novo (launch-wizard-…) com SSH aberto para qualquer endereço. A próxima seção troca essa rede pela VPC-01.

3. Selecionar a VPC-01 no Launch Wizard

Se você clicar em Executar instância agora, a my-server nasce na VPC padrão. A VPC-01 continua vazia. A vinculação começa aqui, no botão Editar.

Role a página até Configurações de rede. No canto direito desse bloco, clique em Editar.

O bloco se expande. Abra a lista VPC. Selecione VPC-01, com o CIDR 10.0.0.0/24. A VPC padrão permanece na lista, marcada como padrão: isso significa o padrão da AWS, não a rede deste laboratório.

Ao mudar a VPC, o assistente procura sub-redes dentro dela. A VPC-01 ainda não tem nenhuma. Dois avisos vermelhos aparecem: Nenhuma sub-rede encontrada e a exigência de definir Atribuir IP público automaticamente. Os dois são esperados. O IP público será definido depois que a sub-rede existir. Agora o bloqueio real é a sub-rede.

O firewall também muda para Selecionar grupo de segurança existente, com o grupo default da VPC-01. Um grupo de segurança pertence a uma VPC. O launch-wizard-… da VPC padrão não serve nesta rede. Deixe o default da VPC-01. Voltamos a ele depois da sub-rede.

À direita, clique em Criar nova sub-rede. O link abre o assistente de sub-redes em outra aba do navegador. Não feche a aba do Launch Wizard e não recarregue essa aba com F5: o formulário da my-server se perde. Deixe-a aberta.

Na nova aba, o campo ID da VPC começa em Selecionar uma VPC. O atalho não preenche a VPC-01 sozinho. Abra a lista e selecione VPC-01 de novo.

Depois dessa seleção, o restante do formulário de sub-rede é habilitado.

4. Criar a sub-rede my-subnet-01

A sub-rede é um pedaço da VPC em uma zona de disponibilidade. A VPC cobre a região us-east-1. A sub-rede escolhe uma zona, neste laboratório us-east-1a. A instância herda essa zona. Não existe EC2 “só na VPC”: a interface de rede precisa de uma sub-rede.

Em Nome da sub-rede, escreva my-subnet-01.

Em Zona de disponibilidade, abra a lista. Não deixe Sem preferência: a AWS escolheria a zona, e o laboratório ficaria difícil de repetir. Procure a linha cujo nome de zona é us-east-1a. Ao lado aparece um código use1-az…. Esse código é diferente em cada conta. Não escolha pela coluna use1-az1 do print. Escolha pelo texto us-east-1a.

O Bloco CIDR IPv4 da VPC deve mostrar 10.0.0.0/24. A sub-rede tem de caber nesse intervalo.

O campo Bloco CIDR IPv4 da sub-rede vem preenchido com 10.0.0.0/28. /28 são 16 endereços. A AWS reserva cinco endereços em cada sub-rede (endereço de rede, roteador interno, DNS, uma reserva futura e o endereço de broadcast). Em um /28 restam 11 utilizáveis. Não deixe /28. Apague e digite 10.0.0.0/24, o mesmo bloco da VPC. Só assim a sub-rede fica com 251 endereços disponíveis (256 menos os cinco reservados), como neste laboratório.

No canto inferior direito, clique em Criar sub-rede. Espere o banner verde de sucesso. A lista deve mostrar my-subnet-01, estado Available, CIDR IPv4 10.0.0.0/24 e 251 endereços disponíveis. Se aparecer /28 e cerca de 11 endereços, a sub-rede foi criada com o valor sugerido do formulário. Marque a linha, abra Ações, escolha Excluir sub-rede, confirme e crie de novo com 10.0.0.0/24.

Uma sub-rede /24 dentro de uma VPC /24 usa o espaço inteiro. Não sobra faixa para uma segunda sub-rede em outra zona, a menos que você acrescente outro bloco à VPC. Para este laboratório de uma zona, isso é o esperado.

Deixe esta aba como conferência e volte à aba do Launch Wizard (título Executar uma instância). Não use F5 nessa aba.

5. Voltar ao Launch Wizard e executar a instância

No Launch Wizard, localize o campo Sub-rede. Se a lista ainda estiver vazia, clique no ícone circular de atualizar à direita do campo VPC ou do campo Sub-rede. Não recarregue a página. A my-subnet-01 deve aparecer, na zona us-east-1a, com CIDR 10.0.0.0/24. Selecione-a.

Em Atribuir IP público automaticamente, escolha Desabilitar. O aviso vermelho dessa opção some. A instância ganha um IP privado em 10.0.0.0/24. Não ganha endereço público. Sem endereço público, você não faz SSH a partir da sua rede local. Isso não desfaz a vinculação: a interface continua na my-subnet-01 e na VPC-01.

Para a instância falar com a internet neste desenho, faltariam um Internet Gateway, uma rota para toda a internet (escrita 0.0.0.0/0, “qualquer endereço IPv4”) e um endereço público (ou um NAT). Com IP público em Desabilitar, gateway e rota sozinhos não bastam. Este laboratório não cria esses objetos. O alvo aqui é a VPC personalizada, não o acesso público.

Em Firewall (grupos de segurança), mantenha Selecionar grupo de segurança existente e o grupo default da VPC-01. Não volte a criar um grupo com SSH originado de 0.0.0.0/0 neste laboratório: essa origem, o mesmo “qualquer endereço” da rota de internet, libera a porta 22 para o mundo inteiro.

O grupo de segurança é o filtro de tráfego da interface de rede. O default de uma VPC nova, na documentação da AWS, aceita tráfego que venha do próprio grupo e libera a saída. Ele não abre SSH para a internet sozinho. Ler as regras de entrada depois, em EC2 → Grupos de segurança, é opcional e não faz parte da vinculação.

No resumo à direita, confira: Amazon Linux 2023, t2.micro, firewall default, um volume de 8 GiB, par de chaves selecionado. Clique em Executar instância.

O console mostra uma confirmação de lançamento, em geral com o identificador da instância. Nessa tela, clique em Ver todas as instâncias. Se esse botão não aparecer, use o menu esquerdo Instâncias. Não use o Voltar do navegador: você pode cair de novo no formulário vazio.

Na lista, clique no nome my-server. O estado passa de pendente para em execução em poucos segundos. Abra a aba Rede. A VPC deve ser VPC-01 e a sub-rede, my-subnet-01. Este artigo não inclui a captura dessa tela depois do clique; o critério de sucesso da vinculação é exatamente esse par nos detalhes da instância.

O que foi construído

A cadeia, do maior para o menor, é esta:

1. A VPC VPC-01 define o bloco 10.0.0.0/24 na região us-east-1.
2. A sub-rede my-subnet-01 usa esse bloco na zona us-east-1a.
3. A interface de rede da my-server recebe um IP privado nessa sub-rede.
4. O grupo default da VPC-01 filtra o tráfego dessa interface.

Criar a VPC, sozinha, não move a EC2. Lançar a EC2 sem Editar a rede deixa a instância na VPC padrão. A vinculação acontece quando a sub-rede da VPC-01 está selecionada no Launch Wizard no instante de Executar instância.

A my-server está na rede personalizada. Pelos prints deste laboratório, ela não está acessível pela internet. Expor SSH exigiria gateway, rota, endereço público e uma regra de entrada definida de propósito. Isso fica para outro exercício.

Se quiser a referência oficial dos conceitos usados aqui: What is Amazon VPC?, Create a VPC, Subnet CIDR blocks e Launch an Amazon EC2 instance.