Tema 1 · 1 · Crear tu primera máquina virtual y conectarte

Presentación del Tema 1: «Ejemplo creación VM (IaaS)». Duración: unos 25 minutos. Coste: céntimos si borras la máquina el mismo día (la limpieza está en el paso 3 de esta serie).

Etiquetas de lo que creas. Todo recurso que crees a mano (máquina, volumen, bucket, base de datos, tabla, función...) ponle estas etiquetas, al crearlo (apartado Tags / Etiquetas) o después desde su pestaña de etiquetas: curso = G214, universidad = CUNEF y actividad = 01.01-CrearYConectarVM. Si algún día hay que borrar recursos a mano, se localizan todos de golpe con aws resourcegroupstaggingapi get-resources --region eu-north-1 --tag-filters Key=actividad,Values=01.01-CrearYConectarVM. Más detalle (cómo etiquetar con la CLI, cómo buscar y qué hacer en una emergencia): README principal, sección «Etiquetas».

Qué vas a hacer

Crear una máquina virtual Linux (EC2) en tu propia cuenta de AWS y entrar en ella de dos maneras: desde el navegador (botón Connect) y desde tu equipo con ssh y una llave. Es la base de todo el curso: todas las demás prácticas arrancan de una máquina como esta.

Esta carpeta no tiene ficheros que descargar: todo se hace desde la consola de AWS y desde tu terminal. Solo contiene esta guía.

Las tres carpetas del Tema 1

Hazlas por ese orden: las tres usan la misma máquina.

Antes de empezar

• [ ] Cuenta de AWS propia con sesión iniciada en la consola (Anexo Tema 0: Creación de la cuenta).
• [ ] La región de la consola es Europe (Stockholm) eu-north-1 (selector de arriba a la derecha). Un recurso creado en otra región no aparece en el listado y sigue facturando sin que lo veas.
• [ ] Una terminal con el comando ssh: PowerShell o CMD en Windows 10/11 (OpenSSH viene incluido), Terminal en macOS y Linux, o Git Bash.
• [ ] Sabes qué son una IP, un puerto y un CIDR (resumen al final de esta guía) y los comandos básicos de Linux (Anexo Tema 0: Comandos Linux).
• [ ] No uses claves de acceso de la cuenta principal. Esta guía no las necesita.
• [ ] Recomendado: un presupuesto con alerta por correo en AWS Budgets (Billing and Cost Management > Budgets).

Cuánto cuesta

Precios de lista de eu-north-1 (API de precios de AWS, 3 de octubre de 2026; pueden cambiar, compruébalos en la calculadora):

Una máquina olvidada una noche son céntimos; un mes entero, varios dólares. Parada, una máquina no cuesta CPU, pero sigue cobrando el disco. Solo Terminate lo borra todo.

Paso a paso

Paso 1 · Crear la máquina

EC2 > Instances > Launch instance y estos valores:

Pulsa Launch instance.

Qué debes ver: en EC2 > Instances, la máquina pasa a Running y, en 1 o 2 minutos, el Status check muestra 2/2 checks passed. Apunta su Public IPv4 address (al seleccionarla, en Details).

El usuario para entrar es ec2-user (Amazon Linux). Con otras imágenes: ubuntu (Ubuntu) o admin (Debian), según la documentación de EC2 de AWS.

Si prefieres Ubuntu (opcional): en Application and OS Images elige la pestaña Ubuntu y Ubuntu Server 24.04 LTS (64-bit x86); el resto de valores es igual. El usuario es ubuntu: con ec2-user da Permission denied (publickey). No necesitas el identificador (ID) de la AMI: la consola lo rellena sola. Solo lo necesitarías al lanzar la máquina con la CLI; para Amazon Linux 2023 sale del parámetro público de SSM /aws/service/ami-amazon-linux-latest/al2023-ami-kernel-default-x86_64.

Paso 2 · Entrar en la máquina

Hay tres maneras. Con una basta, pero las dos primeras forman parte del ejercicio.

2.1 Desde la consola (EC2 Instance Connect)

Instances > selecciona maquina > Connect > pestaña EC2 Instance Connect > Connect.

Qué debes ver: un terminal en el navegador con el prompt [ec2-user@ip-... ~]$.

Necesita el puerto 22 abierto en el Security Group y que admita el origen de Instance Connect: este botón conecta desde las IP de AWS, no desde la tuya. Hay dos opciones para el puerto 22 (Security Groups > el de tu máquina > Edit inbound rules):

1. Solo My IP: el botón Connect no funciona y da timeout. Entras desde tu equipo con la llave (apartado 2.2).
2. My IP y, además, el rango de Instance Connect: añade una segunda regla SSH (22) cuyo origen sea 13.48.4.200/30, el rango de EC2_INSTANCE_CONNECT en eu-north-1. Así el botón funciona y el 22 no queda abierto a todo Internet.

Solo durante la práctica, si no quieres añadir el rango, puedes poner el origen de la regla SSH en 0.0.0.0/0; vuelve a My IP al terminar (es lo más expuesto de todo el laboratorio).

Cómo comprobar el rango. AWS lo publica en https://ip-ranges.amazonaws.com/ip-ranges.json, en la entrada con "service": "EC2_INSTANCE_CONNECT" y "region": "eu-north-1" (campo ip_prefix). Puede cambiar con el tiempo, así que consúltalo si el botón falla. Desde una terminal:

# Linux, macOS, Git Bash o CloudShell (con jq)
curl -s https://ip-ranges.amazonaws.com/ip-ranges.json | jq -r '.prefixes[] | select(.service=="EC2_INSTANCE_CONNECT" and .region=="eu-north-1") | .ip_prefix'

# PowerShell
(Invoke-RestMethod https://ip-ranges.amazonaws.com/ip-ranges.json).prefixes | Where-Object { $_.service -eq 'EC2_INSTANCE_CONNECT' -and $_.region -eq 'eu-north-1' } | Select-Object -ExpandProperty ip_prefix

Qué debes ver: 13.48.4.200/30.

No hace falta nada de esto si entras desde tu equipo con la llave (2.2): ahí el origen es tu IP.

2.2 Desde tu equipo, con la llave

Ajusta antes los permisos de la llave; si no, ssh la rechaza (UNPROTECTED PRIVATE KEY FILE):

• macOS / Linux: chmod 400 ~/Descargas/llave-ssh.pem
• Windows (PowerShell): icacls .\llave-ssh.pem /inheritance:r /grant:r "${env:USERNAME}:R"

Después:

ssh -i ruta/a/llave-ssh.pem ec2-user@<IP pública>

La primera vez pregunta por la huella (Are you sure you want to continue connecting): responde yes.

Qué debes ver: el banner de Amazon Linux 2023 y el prompt [ec2-user@ip-... ~]$. Para salir: exit.

2.3 Sin llave (Session Manager)

También puedes entrar sin llave con Session Manager (SSM): no usa el puerto 22, pero la máquina necesita un rol de IAM con la política AmazonSSMManagedInstanceCore. No forma parte de este ejercicio.

Resumen de la llave. Para entrar por SSH desde tu equipo necesitas la llave. Sin llave puedes entrar desde la consola: con EC2 Instance Connect (requiere el puerto 22 abierto) o con Session Manager (requiere un rol IAM; no usa el puerto 22).

Errores frecuentes

Conceptos mínimos

• IP pública / privada. La pública es la que ve Internet y cambia al parar la máquina; la privada (172.31...) solo vale dentro de AWS.
• Puerto. La «puerta» de un servicio dentro de la máquina: 22 SSH, 80 HTTP, 443 HTTPS, 3306 MySQL.
• CIDR. Un rango de IPs: /32 es una sola IP (My IP), /24 son 256 y /0 es todo Internet (0.0.0.0/0).
• Security Group. Cortafuegos de la máquina. Solo tiene reglas de permiso (ALLOW); con varias reglas se suman: entra el tráfico si alguna lo permite, es decir, prevalece la más permisiva. Es con estado: la respuesta vuelve sola. Quitar una regla cierra solo ese acceso.
• SSH. Conexión cifrada para manejar la máquina desde tu terminal.

Cómo sabes que has terminado

• [ ] La máquina maquina está en Running con 2/2 checks passed.
• [ ] Has entrado con el botón Connect (o sabes por qué no funciona con solo My IP).
• [ ] Has entrado desde tu terminal con ssh -i llave-ssh.pem ec2-user@<IP> y ves el prompt [ec2-user@ip-... ~]$.
• [ ] No cierres la máquina todavía: la usas en la siguiente carpeta.

Siguiente: 01.02-ServidorWeb.md