ECS Fargate TCP服务NLB连接异常：能否绕过NLB及排查方法？

1. 能否绕过NLB直接连接Fargate任务/服务端点？ #

• 如果Fargate任务启动时配置了assignPublicIp = ENABLED：
  可在ECS控制台的任务详情中找到任务的公网IP，直接用telnet <公网IP> <服务端口>尝试连接。当前任务安全组配置0.0.0.0/8已覆盖所有来源，只要端口规则正确即可访问。
• 如果任务部署在私有子网（未分配公网IP）：
  无法从VPC外部直接连接任务，仅能通过同VPC内的资源（如EC2实例）访问任务的私有IP+端口。
• ECS服务本身无独立公共端点：
  仅当配置了Service Discovery（如Cloud Map）时，会生成VPC内部可访问的域名，无法直接对外暴露。

2. 其他NLB相关问题排查方法 #

端口监听与映射配置检查 #

• 确认容器内服务监听地址为0.0.0.0而非127.0.0.1：这是本地正常但Fargate失效的高频原因——若服务仅监听localhost，容器外部（包括NLB）无法访问该端口，任务日志也不会产生连接记录。
• 核对任务定义端口配置：确保任务定义中“容器端口”与服务实际监听的端口一致，Fargate采用awsvpc网络模式，容器端口与任务端口一致，无需额外主机端口映射。

安全组与网络ACL规则验证 #

• 检查任务安全组的TCP端口规则：当前0.0.0.0/8的规则是否包含服务的TCP端口？健康检查用的是ICMP（ping），即便ICMP规则允许，若TCP端口未开放，NLB仍无法建立会话。
• 检查子网网络ACL：确认任务所在子网的入站规则允许NLB ENI所在子网的IP访问服务端口，出站规则允许任务向NLB回包（TCP SYN-ACK、数据传输等）。

NLB目标组与监控指标分析 #

• 查看目标组流量统计：在EC2控制台目标组详情中，检查RequestCount ConnectionCount指标，确认NLB是否真的将流量转发到了任务。
• 核对目标组配置：确保目标组的协议（TCP）、端口与服务完全匹配，检查目标组的连接超时设置是否与服务的超时逻辑兼容。
• 查看VPC Flow Logs：开启任务所在子网的Flow Logs，筛选是否有针对服务端口的REJECT动作，定位流量是否在网络层面被拦截。

日志与抓包分析 #

• 检查任务日志配置：确认容器内服务的日志是否输出到stdout/stderr，任务定义是否正确配置了awslogs日志驱动，避免因日志收集失败遗漏关键信息。
• 利用VPC内资源抓包：如果有同VPC的EC2实例，在EC2上执行tcpdump host <任务私有IP> and port <服务端口>，查看NLB发送的SYN包是否到达任务，任务是否返回SYN-ACK。

内容的提问来源于stack exchange，提问作者Frederick Scott Smith