在AWS上使用Flask-Mail与Gmail发送邮件时遇网络不可达错误

排查与修复步骤 #

1. 检查AWS网络权限限制 #

• 查看实例所属安全组的出站规则，确保允许TCP流量访问smtp.gmail.com的465或587端口，可临时开放全量出站TCP流量做测试，验证后再缩小权限范围。
• 检查VPC的网络ACL，确认出站规则未拒绝目标端口465/587的流量（SMTP以出站发起为主，重点看出站规则）。

2. 验证Docker容器网络连通性 #

• 启动容器时添加--network=host参数（测试用，避免长期使用引发端口冲突），让容器复用主机网络，测试是否能连接SMTP服务器。
• 进入容器内部执行nslookup smtp.gmail.com，若无法解析DNS，启动容器时指定--dns=8.8.8.8使用谷歌公共DNS。
• 在容器内执行ping smtp.gmail.com或telnet smtp.gmail.com 465，确认网络链路是否通畅。

3. 调整Gmail账号安全配置 #

• 若开启了两步验证（2FA），替换配置中的MAIL_PASSWORD为应用专用密码（Gmail账号设置中生成），避免普通密码触发安全拦截。
• 查看Gmail账号的安全日志，确认是否有AWS实例IP的访问请求被拦截，手动批准该IP的访问权限。

4. 优化Flask-Mail配置 #

尝试切换到TLS协议的587端口，调整配置如下：

# 调整后的Flask-Mail配置
app.config["MAIL_SERVER"] = "smtp.gmail.com"
app.config["MAIL_PORT"] = 587
app.config["MAIL_USE_TLS"] = True
app.config["MAIL_USE_SSL"] = False
app.config["MAIL_USERNAME"] = username
app.config["MAIL_PASSWORD"] = password
app.config["MAIL_DEBUG"] = True

部分环境下SSL端口465可能被拦截，TLS的587端口兼容性更强。

5. 确认AWS实例的互联网访问能力 #

• 若实例处于私有子网，检查NAT网关是否正常运行，执行curl https://google.com验证实例能否访问公网。
• 若是ECS/EKS部署，确认任务/ Pod的网络模式配置是否允许访问互联网（比如关联公共子网或配置NAT网关）。

内容的提问来源于stack exchange，提问作者Joel van der Boom