Terraform搭建AWS环境：EC2无专属公网IP无法访问互联网咨询

核心逻辑拆解 #

• IGW的工作前提：它是VPC连接互联网的网关，但只有当EC2实例持有公网IP（或弹性IP）时，才能通过IGW发起出站互联网请求。互联网通信需要可路由的公网地址，IGW会把实例的私有IP转换成公网IP完成出站NAT转换，没有公网IP的话，IGW没法完成这个转换，互联网端根本不知道该把响应发回哪里。
• NAT Gateway的适用场景：它是专门给私有子网里的无公网IP实例服务的。私有子网的路由表指向NAT GW后，实例的出站请求会先发给NAT GW，由NAT GW用自己的公网IP完成NAT转换，响应再通过NAT GW转发回实例——这时候实例确实不需要自己的公网IP，但仅限私有子网场景。

你的场景具体分析 #

你在公有子网部署的EC2，虽然路由表关联了IGW，但实例没有公网IP：

1. 当user data执行yum install nginx这类出站请求时，因为没有公网IP，IGW无法完成源地址转换，互联网服务器接收到的请求没有合法的源地址，自然无法返回响应，导致安装失败。
2. 开启map_public_ip_on_launch = true后，实例启动时自动分配了公网IP，IGW能正常完成NAT转换，请求和响应的路径通了，实例就能访问互联网了。

负载均衡的误区澄清 #

负载均衡能把外部流量路由到公有子网的实例，是因为负载均衡本身有公网IP——它负责接收互联网的入站流量，再转发给实例（实例用私有IP就能和负载均衡通信）。但这和实例主动发起互联网请求是完全独立的两个流量路径：负载均衡管的是「外部进来找实例」，而实例主动上网是「实例出去找互联网」，后者必须满足IGW+实例公网IP，或者NAT GW（仅限私有子网）的条件。

一句话总结 #

• 公有子网实例主动访问互联网：必须配公网IP + 指向IGW的路由表
• 私有子网实例主动访问互联网：不需要公网IP，只要路由表指向带公网IP的NAT Gateway
• 负载均衡的入站转发和实例主动出站访问是两码事，别混为一谈

内容的提问来源于stack exchange，提问作者TechnologyHidden