同一私有VPC跨2个AZ的Auto Scaling组内EC2无法互连求助

针对同一私有VPC内跨AZ的Auto Scaling组EC2实例无法通过私有IP ping通的问题，按以下步骤逐一排查：

基础配置验证 #

• 确认实例IP网段：检查两台EC2的私有IP是否都属于172.31.0.0/16，路由表的本地路由仅对该网段生效，若IP不在此范围则无法通过本地路由互通。
• 核对路由表关联：确认两台实例所在的子网均关联了包含172.31.0.0/16本地路由的路由表，避免子网误关联其他无本地路由的路由表。

实例操作系统层面检查 #

• 排查本地防火墙：即使安全组全开，实例内部的操作系统防火墙可能拦截ICMP请求：
  • Linux实例执行iptables -L或firewall-cmd --list-all，确认ICMP echo请求（ping）被允许；
  • Windows实例检查防火墙入站规则，确保“文件和打印机共享(ICMPv4-In)”已启用。
• 验证实例网络状态：确认实例处于running状态，网络接口正常附加，私有IP分配正确。可通过AWS控制台查看实例网络详情，或执行命令：

  aws ec2 describe-instances --instance-ids <实例ID> --query 'Reservations[].Instances[].NetworkInterfaces[].PrivateIpAddress'
  

VPC与子网配置检查 #

• 确认子网AZ归属：验证两个子网确实属于us-east-1区域的不同可用区，VPC默认允许跨AZ通信，但若子网配置异常（如关联错误VPC）会导致互通失败。
• 检查VPC DNS设置：虽然不直接影响IP ping，但启用enableDnsSupport和enableDnsHostnames可避免潜在的网络配置异常，确保VPC DNS功能正常。

Auto Scaling组相关排查 #

• 核对ASG子网配置：确认ASG已正确关联两个跨AZ的目标子网，实例未被错误部署到其他VPC的子网中。
• 检查启动模板/配置：查看ASG使用的启动模板是否包含自定义网络限制（如禁用ICMP、自定义路由规则），此类配置会覆盖VPC层面的网络设置。

深层流量分析 #

• 启用VPC流量日志：为VPC或子网开启流量日志，捕获两台实例间的ICMP流量，通过CloudWatch或S3分析日志条目，定位流量被拦截的环节（如是否有隐性的网络规则）。
• 提交AWS支持工单：若以上排查均无结果，可能是AWS底层网络故障，提交支持工单并提供实例ID、子网ID、VPC ID等信息，请求技术团队协助排查。

内容的提问来源于stack exchange，提问作者AlwaysNewbie