Amazon EC2实例配置仅通过AWS VPN客户端RDP访问后无法连接，求解决

• 验证VPN客户端实际出口IP
  连接VPN后，在Windows主机打开命令提示符，执行curl ifconfig.me或nslookup myip.opendns.com resolver1.opendns.com获取实际公网出口IP，确认该IP落在安全组允许的VPN地址段内。注意：VPN分配的内网IP和出口公网IP可能不属于同一网段，需以实际出口IP为准。

• 核对安全组与网络ACL规则

  • 确认安全组入站规则的来源CIDR是VPN客户端分配的正确地址段（如AWS Client VPN的客户端IPv4 CIDR），端口3389、协议TCP的规则已生效，且未被其他更严格的规则覆盖。
  • 检查EC2实例所在子网的网络ACL：入站需允许3389端口TCP流量，出站需允许1024-65535端口TCP流量（RDP返回流量），网络ACL为无状态规则，双向都要配置。

• 检查EC2实例本地RDP配置

  • 确认Windows实例已启用RDP服务，本地防火墙允许来自VPN地址段的3389端口入站流量。
  • 尝试ping EC2实例的私有IP（若安全组允许ICMP），先验证基础网络连通性，再排查RDP服务问题。
  • 确认实例本地用户或IAM角色拥有RDP登录权限，无密码过期、账户禁用情况。

• 验证VPN路由配置

  • 检查AWS Client VPN的路由表，确认已添加EC2实例所在VPC的私有CIDR段，且路由已关联到客户端目标组。
  • 在Windows主机执行route print，查看路由表，确认EC2实例私有IP段的流量路由指向VPN适配器，而非默认公网路由。

• 抓包定位问题（进阶）
  在EC2实例上启动Wireshark，过滤tcp port 3389，发起RDP连接后查看数据包：

  • 无数据包到达：问题出在网络路由、安全组或ACL；
  • 有数据包但无响应：问题出在实例本地RDP服务、防火墙或权限配置。

内容的提问来源于stack exchange，提问作者dav0977