DevOps知识中心
DevOps知识中心

疑难解答常见的EC2实例连接问题和错误

学习快速诊断和修复常见的EC2连接故障，包括SSH和RDP。本实用指南将引导您检查实例运行状况、验证关键的安全组规则、排查无状态网络ACL问题，并确认VPC路由配置，以恢复对您的实例的即时访问。

37 浏览量

故障排除常见的 EC2 实例连接问题和错误

连接到 Amazon Elastic Compute Cloud (EC2) 实例是管理云资源的基础。无论您是使用 SSH 连接 Linux 实例，还是使用远程桌面协议 (RDP) 连接 Windows 实例，连接失败都是常见且令人沮丧的问题。本指南提供了一种系统性的分步方法，用于诊断和解决您可能无法访问 EC2 实例的最常见原因。

理解连接失败需要超越实例本身进行观察。问题通常源于安全层（安全组、网络 ACL）的错误配置、不正确的网络设置（VPC 路由）或身份验证问题。通过有条不紊地按顺序检查这些组件，您可以快速隔离根本原因并恢复访问。

第一阶段：初步检查和实例运行状况

在深入研究复杂的网络配置之前，请确保实例正常运行并且在基本层面上是可访问的。

1. 实例状态检查

使用 AWS 管理控制台或 AWS CLI 来验证实例的整体运行状况。必须通过两项关键检查：

  • 系统状态检查：此处失败通常表明存在底层硬件或基础设施问题，需要 AWS 干预或终止/重新创建实例。
  • 实例状态检查：此处失败通常与操作系统启动问题、文件系统损坏或驱动程序问题有关。如果此项失败，则实例可能运行状况不佳，无法接受网络连接。

操作：如果任一检查失败，请考虑停止并启动实例（如果系统检查失败，这将使实例迁移到新硬件），或检查系统日志以获取线索。

2. 验证公有 IP 地址和 DNS 名称

确保您尝试连接到正确的地址。如果您的实例位于公有子网中，则需要一个公有 IPv4 地址或弹性 IP。如果它位于私有子网中，您必须通过堡垒主机进行连接或使用 AWS Systems Manager 会话管理器。

  • 提示：如果实例被停止然后重新启动，其公有 IP 地址可能会发生变化，除非您为其分配了弹性 IP。

3. 检查客户端配置 (SSH/RDP)

连接错误有时是本地的。请验证您的客户端软件是否正常运行。

  • 对于 SSH (Linux/macOS)：确保您使用的是正确的私钥文件 (.pem 或 .ppk) 并且权限设置正确 (chmod 400 /path/to/key.pem)。
  • 对于 RDP (Windows)：确保您使用的是通过 EC2 控制台使用私钥文件解密管理员密码所获得的正确密码。

第二阶段：安全层诊断（最常见的失败原因）

安全配置错误是导致连接问题的首要原因。安全组和网络 ACL 都充当防火墙，并且两者都必须允许必要的流量。

4. 安全组 (SG) 入站规则

安全组是直接附加到实例弹性网络接口 (ENI) 的有状态防火墙。

Linux (SSH) 要求：

  • 协议： TCP
  • 端口范围： 22
  • 源： 您的公有 IP 地址 (我的 IP) 或 0.0.0.0/0（允许所有 IP，但出于安全原因不推荐）。

Windows (RDP) 要求：

  • 协议： TCP
  • 端口范围： 3389
  • 源： 您的公有 IP 地址或 0.0.0.0/0。

故障排除步骤：暂时将必需的入站规则的源更改为相关端口（22 或 3389）上的 0.0.0.0/0。如果您可以连接，则问题在于您的特定客户端 IP 地址被阻止或未被正确识别。

警告：切勿在生产环境中将安全组对管理端口 (22/3389) 打开到 0.0.0.0/0。尽可能使用特定的源 IP 或 VPC 端点。

5. 网络 ACL (NACLs)

网络 ACL 是无状态的、子网级别的防火墙。它们独立检查入站和出站流量。如果允许流量进入，则返回流量也必须允许出去。

连接所需的 NACL 要求：

方向 协议 端口范围 规则操作
入站 TCP 22 (SSH) 或 3389 (RDP) 允许
出站 TCP 临时端口 (1024-65535) 允许

临时端口至关重要。当您的客户端连接时（例如，从端口 54321），服务器会在高编号的临时端口上响应。如果 NACL 阻止了这些高端口上的出站流量，服务器就无法将响应发送回您，从而导致连接超时。

故障排除步骤：验证关联 NACL 中的入站端口（22/3389）和出站临时端口（1024-65535）都具有允许规则。

第三阶段：路由和 VPC 配置

如果安全层已确认打开，问题就在于流量如何路由到实例的子网及其返回路径。

6. 子网类型和路由表

连接完全取决于您的实例位于公有子网还是私有子网。

公有子网连接

用于直接互联网访问（来自外部世界的 SSH/RDP）：

  1. 实例必须被分配一个公有 IPv4 地址或弹性 IP。
  2. 关联的路由表必须有一个指向互联网网关 (IGW) 的 0.0.0.0/0 路由。

私有子网连接

私有子网中的实例无法直接从互联网访问。连接需要多跳路径：

  1. 通过堡垒主机（跳板机）连接：您 SSH 进入一个公有 EC2 实例，然后从堡垒主机 SSH 到私有实例（使用其私有 IP）。
  2. 通过 VPN/Direct Connect 连接：如果使用 AWS Site-to-Site VPN 或 Direct Connect，必须配置路由以将流量定向到您的本地网络，然后由本地网络路由到私有子网。

7. 操作系统级防火墙问题

如果 AWS 安全检查通过，EC2 实例本身上运行的操作系统可能正在阻止连接。如果您手动安装或配置了本地防火墙（如 Linux 上的 iptables 或 Windows Defender 防火墙），这很常见。

诊断（如果可通过控制台或会话管理器进行）：

  • Linux：检查 iptables -L 或使用 firewall-cmd --list-all。确保端口 22 已明确允许。
  • Windows：检查 Windows Defender 防火墙设置中关于端口 3389 的入站规则。

恢复提示：如果您已完全失去连接，请考虑停止实例，分离根卷，将其附加到一个可正常工作的恢复实例，修改操作系统配置文件以禁用防火墙，然后将卷重新附加到原始实例 ID。

故障排除流程总结

当连接失败时，请遵循此优先级的检查清单：

  1. 实例运行状况：系统/实例状态检查是否通过？
  2. 客户端身份验证：密钥文件是否正确且权限设置正确 (SSH)？
  3. 安全组：安全组是否允许来自您 IP 的端口 22/3389 上的入站流量？
  4. NACLs：NACL 是否允许入站 (22/3389) 和出站 (1024-65535) 流量？
  5. 路由：路由表是否指向公有子网的 IGW？
  6. 操作系统防火墙：EC2 实例上的本地防火墙是否允许连接？

通过系统地审查这六个领域，您可以自信地解决绝大多数 EC2 连接失败问题。