在云计算环境中，网络连通性问题往往令人头疼。一个典型的 EC2 访问请求需要穿过互联网网关（IGW）、绕过网络 ACL 的守卫、通过路由表的指引，最后经受安全组的筛选。任何一个环节的配置失误，都会导致请求被丢弃（Drop）。

我们将按照“由内而外”和“由浅入深”的逻辑，对这三大组件进行彻底的排错分析。

? lingducloud | AWS亚马逊云分销商
? 客服 Telegram： cloudcup
? 合作平台：
阿里云国际｜腾讯云国际｜华为云国际｜AWS｜GCP｜Azure
? 核心业务：
代开代充： 国际站账号快速开通，免绑定个人外币卡。
灵活支付： 支持 USDT 充值美金、支付宝便捷收款。
安全隐私： 匿名隔离机制，有效规避风控风险。
全线产品： 免备案服务器、CDN、数据库、存储一应俱全。
网址：www.lingducloud.com
?️ 服务保障：
7×24小时专业技术支持，助力企业快速稳定上云！

第一层：安全组（Security Groups）—— 实例的“贴身侍卫”

安全组是 EC2 实例的第一道防线，属于有状态（Stateful）的防火墙。这意味着如果你允许了入站流量，响应的出站流量会自动被允许，反之亦然。

1. 常见排错场景

• 协议与端口不匹配： 许多开发者允许了 HTTP（80），却忘记开启 HTTPS（443），或者 SSH 端口（22）被限制在了特定的过期 IP。

• 源地址设置错误： 检查你的公网 IP 是否发生了变化（例如重启了本地路由器）。亚马逊云USDT充值

• 实例关联错误： 确认你修改的安全组确实关联到了该实例的网卡（ENI）上。

2. 深度排错建议

注意： 安全组只能设置“允许”规则，无法设置“拒绝”规则。如果没有匹配的允许规则，流量默认会被丢弃。

• 排查技巧： 使用 VPC Reachability Analyzer。这是 AWS 提供的一个强大工具，它可以模拟从互联网网关到 EC2 实例的路径，并明确告诉你流量是否被安全组拦截。

第二层：网络 ACL（Network ACLs）—— 子网的“边境检查站”

网络 ACL 是作用于子网（Subnet）级别的防火墙，它是无状态（Stateless）的。亚马逊云官方代理商这是排错中最容易被忽略的地方，也是最容易产生“玄学故障”的环节。

1. 核心特性差异

AWS代充值与安全组不同，网络 ACL 要求你显式配置入站和出站规则。如果流量可以进入但无法返回，访问依然会失败。

2. 排错重灾区：临时端口（Ephemeral Ports）

这是 90% 的网络 ACL 排错中被漏掉的点。

• 现象： 入站规则明明允许了 80 端口，但请求依然超时。

• 原因： 当客户端连接服务器时，服务器响应流量会发送到客户端的一个随机高位端口（通常是 1024-65535）。

• 对策： 在网络 ACL 的出站规则中，必须允许目的地为 0.0.0.0/0 且端口范围为 1024-65535 的流量。

3. 规则优先级顺序

网络 ACL 规则是按数字从小到大（100, 200...）匹配的。一旦匹配到规则，后续规则将不再处理。请确保你的允许规则排在 Deny 规则之前。

第三层：VPC 路由表（Route Tables）—— 流量的“导航员”

如果安全组和 ACL 都没问题，但请求依然无法触达，那么流量可能“迷路”了。

1. 公有子网 vs 私有子网

• 公有子网： 路由表中必须有一条指向 Internet Gateway (IGW) 的默认路由（0.0.0.0/0 -> igw-xxxxxxxx）。

• 私有子网： 如果实例在私有子网且需要出站（如下载补丁），路由表应指向 NAT Gateway。

2. 容易忽视的检查点

• 子网关联： 确认你的子网是否显式关联到了正确的路由表。AWS亚马逊云免绑卡支付默认路由表（Main Route Table）有时会被意外修改。

• 黑洞路由（Blackhole）： 如果路由指向了一个已删除的 Peering 连接或 NAT 网关，路由状态会显示为 Blackhole。

• 源/目标检查（Source/Dest Check）： 如果你的 EC2 正在充当 NAT 实例、防火墙或代理服务器，必须禁用其网卡上的“源/目标检查”属性，否则 VPC 会丢弃不属于该实例 IP 的流量。

综合诊断工作流：五步排错法

当你面对一个无法访问的 EC2 时，请按此顺序操作：

1. Ping 测试与端口扫描：

   • 使用 nc -zv <IP> <Port> 或 telnet 测试 TCP 连通性。如果 Ping 不通（ICMP 被禁）但端口通，说明网络基本正常。

2. 检查安全组：

   • 确认入站规则允许你的当前公网 IP 访问目标端口。

3. 检查路由表：

   • 确认子网有指向 IGW 的路径，且实例拥有 Public IP 或 Elastic IP（对于公有访问）。

4. 检查网络 ACL：

   • 入站： 允许对应端口。

   • 出站： 必须包含针对临时端口（1024-65535）的允许规则。

5. 检查实例内部状态：

   • 如果网络基础设施没问题，请通过 EC2 Serial Console 或 Instance Connect 登录系统，检查防火墙（iptables/ufw/Windows Firewall）以及服务监听状态（netstat -tuln）。

结语

EC2 的网络排错不应是盲目的尝试，而应是基于 OSI 模型 或 AWS 共享责任模型 的逻辑推演。

• 安全组负责应用层级的业务准入；AWS亚马逊云账户购买渠道

• 网络 ACL 负责子网层级的整体防御；

• 路由表 决定了数据包的物理路径。