私有子网中带公网IP的EC2实例是否真的无法被互联网访问？

你的推理在技术细节上是正确的，但需要结合“可访问”的实际定义来看官方文档的表述：

入方向流量分析 #

发往该EC2实例公网IP的数据包确实会按你描述的路径到达实例：

• Internet Gateway（IGW）接收到互联网来的数据包后，会通过目标NAT将公网IP转换为EC2的私有IP
• 借助VPC默认的10.0.0.0/16本地路由规则，数据包会被正确路由到私有子网内的EC2实例
• 只要安全组和网络ACL（NACL）允许对应的入方向流量，数据包就能成功到达实例的网络栈

出方向流量的问题 #

EC2实例无法回复数据包的核心原因是私有子网的路由表中没有指向IGW的默认路由：

• 实例回复时会以自身私有IP作为源地址，查询路由表后，没有找到能将数据包发往互联网的路由（默认私有子网路由表只有本地路由，或可能指向NAT网关，但NAT网关仅支持实例主动发起的出站流量，无法处理这种被动入站后的回复流量）
• 因此回复数据包会被丢弃，无法完成双向通信

关于“无法被互联网访问”的表述 #

官方文档的说法是从实际可用通信的角度出发的——通常我们说“可被互联网访问”，指的是能建立完整的双向连接（比如能正常响应HTTP请求、ping通），单向的数据包到达没有实际使用价值。但从纯网络数据包流向的技术层面，你的结论是准确的：实例确实能收到互联网的流量，但无法给出响应。

内容的提问来源于stack exchange，提问作者Guerric P