Bastion Host आणि NAT Gateway ने Private EC2 कसा access करायचा

By Ravindra Bagale, trainer · LinkedIn · Last updated: 18 October 2026

1. दोन problems

App server private subnet 10.0.16.0/20 मध्ये आहे, उदा. 10.0.16.7 वर.

1. Public IP नाही: तुमचा laptop त्याला SSH करू शकत नाही.
2. Internet कडे route नाही: त्याच्या route table मध्ये फक्त 10.0.0.0/16 → local, म्हणून sudo yum install php -y package repos पर्यंत पोचत नाही.

Server private च राहायला हवा. म्हणून तुमच्यासाठी आत यायचा रस्ता, आणि server साठी बाहेर जायचा रस्ता हवा, बाकी सगळ्यांसाठी आत यायचा रस्ता न उघडता.

2. Idea 1: public मध्ये बनवा, AMI म्हणून copy करा

1. Public subnet मध्ये एक server launch करा.
2. तिथे sudo yum install php -y चालतं, कारण internet आहे.
3. त्याचा AMI बनवा (What an AMI is).
4. त्या AMI मधून private app server launch करा. तो PHP आधीच installed असलेला सुरू होतो.

का पुरत नाही: हे फक्त पहिल्या setup साठी चालतं. ज्या दिवशी php-fpm बंद पडेल किंवा private server वरचा log वाचायचा असेल, त्या दिवशी login करायला मार्गच नाही.

3. Bastion host (jump server)

काय: public subnet मधला एक छोटा server, ज्याचं एकच काम: SSH साठी दार बनणं. तुम्ही त्याला SSH करता, आणि त्याच्यावरून private server ला. हा शब्द किल्ल्यांमधून आलाय: bastion म्हणजे भिंतीचा तो मजबूत भाग जो शत्रूसमोर असतो, म्हणून त्याच जागेवर सगळ्यात जास्त पहारा असतो.

1. Laptop → SSH → bastion (public IP).
2. Bastion → SSH → app server (private IP 10.0.16.7).

Private server ला अजूनही public IP नाही. Bastion त्याच्यापर्यंत local route ने पोचतो, कारण दोघं एकाच VPC मध्ये आहेत.

आपल्या setup मध्ये public web server च bastion म्हणून वापरता येतो. Production मध्ये bastion हा वेगळा छोटा server असतो, ज्यावर दुसरं काहीच चालत नाही.

4. Key copy न करता bastion मधून SSH

keypair.pem bastion वर कधीच copy करू नका. Bastion internet समोर असतो; कोणी त्यात घुसला तर त्याला प्रत्येक server ची key मिळेल. Key तुमच्या laptop वरच राहते.

मार्ग 1: -J (ProxyJump) ने एकच command (Linux, macOS, किंवा OpenSSH असलेलं Windows PowerShell)

1. Key तुमच्या SSH agent मध्ये load करा: ssh-add keypair.pem. Agent ला connect होत नाही असं म्हणालं तर आधी agent सुरू करा: Linux वर eval "$(ssh-agent -s)".

2. एकाच command मध्ये jump:

   ssh -J ec2-user@<bastion-public-ip> ec2-user@10.0.16.7
   

3. SSH आधी bastion ला connect होतो, आणि त्याच्यामधून 10.0.16.7 ला. दोन्ही logins तुमच्या laptop च्या agent मधली key वापरतात.

मार्ग 2: laptop वरच्या ~/.ssh/config मध्ये shortcut:

Host bastion
    HostName <bastion-public-ip>
    User ec2-user
    IdentityFile ~/keypair.pem
Host app
    HostName 10.0.16.7
    User ec2-user
    IdentityFile ~/keypair.pem
    ProxyJump bastion

आता फक्त ssh app पुरे.

मार्ग 3: agent forwarding ने हाताने hop

1. ssh-add keypair.pem
2. ssh -A ec2-user@<bastion-public-ip> (-A तुमचा agent पुढे देतो; काहीही copy होत नाही).
3. Bastion वर: ssh ec2-user@10.0.16.7.

-J च वापरा: -A असताना तुम्ही logged in असेपर्यंत bastion चा admin तुमचा agent वापरू शकतो. ssh command चे basics Building the SSH command piece by piece मध्ये आहेत.

Security groups:

1. Bastion SG: inbound SSH 22 फक्त My IP कडून.
2. App server SG: inbound SSH 22 फक्त source = bastion SG (आणि आधीसारखं web SG कडून HTTP 80).

SSH शिवाय: AWS Systems Manager Session Manager console मधूनच server वर shell उघडतो, port 22 आणि bastion शिवाय; त्यासाठी server वर SSM agent आणि IAM role लागतो.

5. आत गेलात, पण yum तरी fail

App server वर sudo yum install php -y चालवा. ते थांबून राहतं आणि मग timeout ने fail होतं. कारण तेच: private route table मध्ये internet कडे route नाही.

Laptop वर package download करून copy का नाही करायचं? Package म्हणजे एक file नसते:

1. Program /usr/bin मध्ये जातो, settings /etc मध्ये, logs /var/log मध्ये, extensions /usr/lib64 मध्ये.
2. त्याला दुसरे packages (dependencies) लागतात, आणि त्यांना परत आणखी.
3. yum ते सगळे download करतो आणि प्रत्येक file तिच्या जागी ठेवतो. हाताने केलं तर काहीतरी राहणारच.

काय हवंय: server private च राहील, पण internet कडे बाहेर connections सुरू करू शकेल.

6. Idea: office चा extension phone

Office मधल्या desk phone चा विचार करा.

1. तुमच्या extension ला direct number नाही. बाहेरचं कोणी तो dial करू शकत नाही.
2. तुम्ही मात्र बाहेर call करू शकता. Call office exchange मधून जातो, ज्याचा एक बाहेरचा number आहे.
3. ज्याला call केला तो उत्तर देतो, आणि उत्तर तुमच्या desk वर परत येतं.
4. बाहेरच्या कुणाला तुमच्या extension ला call सुरू करायचा असेल, तर dial करायला number च नाही.

NAT gateway म्हणजे private servers साठी तेच exchange.

7. NAT gateway काय करतो

NAT = Network Address Translation.

1. NAT gateway तुम्ही public subnet मध्ये बनवता आणि त्याला Elastic IP देता.
2. Private server internet कडे request पाठवतो. त्याचा route table ती NAT gateway कडे पाठवतो.
3. NAT gateway private source IP (10.0.16.7) बदलून स्वतःचा Elastic IP लावतो आणि internet gateway मधून बाहेर पाठवतो.
4. उत्तर Elastic IP वर परत येतं. NAT gateway ला connection लक्षात असतं आणि तो उत्तर 10.0.16.7 ला देतो.
5. Internet वरून NAT gateway कडे सुरू केलेलं connection drop होतं. त्याच्यामधून कोणीही private server पर्यंत पोचू शकत नाही.

म्हणून private server ला स्वतःचा public IP कधीच लागत नाही.

ही managed service आहे: AWS ती चालवतो आणि scale करतो; ती तुम्ही सांभाळायचा EC2 instance नाही, आणि तिला security group नसतो (तिच्या subnet चा NACL मात्र लागू होतो). स्वतः करायचा पर्याय म्हणजे NAT instance, म्हणजे तुम्ही स्वतः configure आणि patch करायचा EC2 server.

8. Route tables

1. Public route table (web, bastion, NAT gateway): 10.0.0.0/16 → local, 0.0.0.0/0 → igw-.... बदल नाही.
2. Private route table (app, DB): 10.0.0.0/16 → local, आणि 0.0.0.0/0 → nat-... add करा.

Worked example: app server दोन packets पाठवतो.

1. 10.0.32.10 वरच्या DB ला: दोन्ही routes match होतात, 10.0.0.0/16 हा 0.0.0.0/0 पेक्षा जास्त specific, म्हणून तो local राहतो.
2. Internet वरच्या package repo ला: फक्त 0.0.0.0/0 match होतो, म्हणून तो NAT gateway कडे जातो.

लक्षात ठेवा: NAT gateway स्वतः public subnet मध्ये असतो, कारण internet gateway पर्यंत जायला त्याला public route table लागतो.

9. Console मध्ये बनवा

Part A: NAT gateway

1. VPC > NAT gateways > Create NAT gateway.
2. Name my-nat. Subnet: public subnet web-a.
3. Connectivity type: Public.
4. Elastic IP allocation ID: Allocate Elastic IP वर click करा.
5. Create NAT gateway. State Available दाखवेपर्यंत थांबा.

Part B: private route

1. Route tables, app-b आणि db-c चा route table select करा (आपल्या VPC मध्ये main route table).
2. Routes > Edit routes > Add route: Destination 0.0.0.0/0, Target NAT Gateway my-nat. Save changes.

Part C: private servers वर install (bastion मधून ssh -J ने login करा)

1. App server:

   sudo yum install nginx php php-fpm php-mysqlnd -y
   sudo service php-fpm start
   sudo service nginx start
   

2. DB server:

   sudo yum install mariadb105-server -y
   sudo service mariadb start
   

3. आता downloads चालतात, आणि दोन्ही servers ना अजूनही public IP नाही. मागच्या chapter मधला setup, One public server: send .php to the app server, आता पूर्ण करता येतो.

या design बद्दल आणखी Bastion host (jump server) and NAT gateway मध्ये.

10. खर्च

1. NAT gateway जोपर्यंत आहे तोपर्यंत तासाप्रमाणे, आणि तो process करतो त्या data च्या प्रत्येक GB प्रमाणे charge होतो.
2. त्याचा Elastic IP हा public IPv4 address, त्यालाही तासाप्रमाणे charge.
3. Lab नंतर: NAT gateway delete करा, Deleted दिसेपर्यंत थांबा, मग Elastic IPs > Release करा. 0.0.0.0/0 → NAT route पण काढा, नाहीतर तो blackhole दाखवतो.

11. High availability: दोन AZs

आतापर्यंत प्रत्येक tier एकाच AZ मध्ये आहे.

त्या AZ मध्ये outage आला, तर त्यातला tier गेला, आणि पूर्ण application बंद. High availability म्हणजे layout दुसऱ्या AZ मध्ये copy करणं:

1. ap-south-1a: web 10.0.0.0/20, app 10.0.16.0/20, DB 10.0.32.0/20.
2. ap-south-1b: web 10.0.48.0/20, app 10.0.64.0/20, DB 10.0.80.0/20.
3. एकूण सहा subnets, अजूनही 10.0.0.0/16 च्या आत.
4. प्रत्येक AZ च्या public subnet मध्ये एक NAT gateway. प्रत्येक AZ चे private subnets असा private route table वापरतात जो 0.0.0.0/0 त्याच AZ मधल्या NAT gateway कडे पाठवतो, म्हणजे एक AZ fail झाला तरी दुसरा तुटत नाही.

दोन web servers मध्ये traffic कसं वाटायचं हे load balancer चं काम, Load balancing मध्ये.

12. काही चुकलं तर

1. ssh -J password मागतो किंवा "Permission denied (publickey)" म्हणतो: key agent मध्ये नाही. ssh-add keypair.pem चालवा, ssh-add -l ने check करा.
2. 10.0.16.7 कडचा hop timeout होतो: app server च्या SG ने bastion च्या SG कडून 22 allow करायला हवं, आणि तुम्ही private IP वापरायला हवा.
3. Private server वर yum अजूनही timeout: private route table मध्ये 0.0.0.0/0 → NAT route नाही, किंवा NAT gateway private subnet मध्ये आहे, किंवा तो अजून Available नाही.
4. NAT gateway बरोबर subnet मध्ये आहे पण काहीच बाहेर जात नाही: public subnet च्या route table ने 0.0.0.0/0 internet gateway कडे पाठवायला हवं.
5. Route "Blackhole" दाखवतो: त्याचा NAT gateway delete झालाय. Route काढा किंवा नवीन NAT gateway कडे वळवा.
6. अनपेक्षित bill: NAT gateway किंवा न जोडलेला Elastic IP चालू राहिलाय.

13. संपूर्ण class एका page वर

1. Private server ला दोन problems: आत यायला मार्ग नाही (public IP नाही) आणि बाहेर जायला मार्ग नाही (internet route नाही).
2. Public server चा AMI एकदा मदत करतो, पण नंतर login करता येत नाही.
3. Bastion host: एक छोटा public server ज्यातून तुम्ही SSH करता. Bastion SG: My IP कडून 22. Private SG: bastion SG कडून 22.
4. Key laptop वरच: ssh-add keypair.pem, मग ssh -J ec2-user@<bastion-public-ip> ec2-user@10.0.16.7 किंवा ~/.ssh/config मध्ये ProxyJump. .pem bastion वर कधीच copy करू नका.
5. Session Manager हा SSH शिवायचा पर्याय.
6. Packages अनेक folders मध्ये files पसरवतात आणि dependencies लागतात, म्हणून yum नेच download करायला हवं.
7. NAT gateway: public subnet मध्ये Elastic IP सोबत; private servers बाहेर जातात, बाहेरून आलेली connections drop. AWS-managed, security group नाही.
8. Private route table: 0.0.0.0/0 → nat-...; public route table मध्ये 0.0.0.0/0 → igw-... तसाच.
9. तासाप्रमाणे आणि GB प्रमाणे charge; lab नंतर delete करा आणि Elastic IP release करा.
10. High availability: तेच subnets दोन AZs मध्ये, प्रत्येक AZ ला एक NAT gateway.

14. घरी करून बघा

Recap

उजळणी, तुलना आणि मुलाखत cards

हा lesson काही मिनिटांत revise करा. Cards phone वर save करा किंवा PNG download करा. प्रत्येक card वरचा QR हा lesson उघडतो.

अजून cards: Ravi Sir's Cards.