AWS ECS与NLB间间歇性超时/服务器空回复问题求助

• ECS部署在2个私有子网中，包含2台EC2实例
• 每台实例以ECS DAEMON模式运行2个服务，两个服务均关联内部NLB（因需在另一VPC创建VPC端点选择NLB）
• 服务1通过NLB访问服务2时，间歇性出现「empty reply from server」；移除HTTPS后，间歇性出现HTTP请求超时
• 同一子网的跳转主机访问NLB完全正常，仅ECS EC2实例访问时触发问题
• ECS EC2实例的安全组已允许VPC内所有流量访问服务1、2的端口

NLB的Terraform配置如下：

resource "aws_lb" "demo" {
  name                             = "demo-shared-nlb-${var.environment}"
  internal                         = true
  load_balancer_type               = "network"
  enable_cross_zone_load_balancing = "true"
  enable_deletion_protection       = "false"
  subnets = [
    aws_subnet.shared_private_subnet_1a.id,
    aws_subnet.shared_private_subnet_1b.id
  ]

  tags = merge(
    var.tags,
    {
      "Name" = "demo-shared-nlb-${var.environment}"
    },
  )
}

1. 检查NLB目标组健康检查配置 #

• 确认目标组的健康检查端口、协议与服务实际监听的完全一致，健康检查失败的目标会被NLB临时剔除，目标频繁上下线会导致间歇性访问失败
• 验证健康检查路径是否有效，避免因健康检查误判导致目标反复被移除/加入

2. 核对ECS端口映射与NLB目标组配置 #

• 确认ECS服务的容器端口映射到EC2实例的端口，与NLB目标组的目标端口完全匹配
• 排查DAEMON模式下同一EC2实例上的两个服务是否存在端口冲突

3. 解决EC2实例源IP回环问题 #

ECS EC2实例通过NLB访问自身所在目标时，容易出现源IP回环：实例发出的请求经NLB转发回自身，部分场景下ENI的本地规则会限制这类流量。

• 解决方案：在NLB目标组中启用源IP保留（Terraform配置示例见下方），或调整EC2实例的路由表允许本地回环流量

4. 验证跨VPC VPC端点配置 #

• 确认跨VPC的VPC端点已正确关联NLB，端点的安全组允许ECS所在VPC的流量访问
• 检查VPC端点的路由配置，避免跨VPC流量传输时出现丢包

5. 抓包分析网络丢包 #

• 在EC2实例上执行tcpdump抓包，分析请求从实例到NLB、NLB转发到服务的全链路流量是否存在丢包
• 检查EC2实例的CPU、内存、带宽指标，排除资源不足导致的服务无响应

补充目标组Terraform配置（解决源IP回环） #

如果是源IP回环导致的问题，需在目标组中开启源IP保留：

resource "aws_lb_target_group" "demo_service2" {
  name     = "demo-service2-tg-${var.environment}"
  port     = 8080 # 替换为服务2的实际端口
  protocol = "TCP" # 根据服务协议调整为HTTP/HTTPS/TCP
  vpc_id   = aws_vpc.shared_vpc.id

  preserve_client_ip = true # 启用源IP保留，解决回环流量问题

  health_check {
    protocol = "HTTP"
    path     = "/health" # 替换为服务2的健康检查路径
    port     = "traffic-port"
    interval = 30
    timeout  = 5
  }
}

内容的提问来源于stack exchange，提问作者PSKP