ECS Fargate服务无法连接求助：service connect配置问题排查

• Service Connect服务发现配置错误

  • 确认服务B在Service Connect中是否正确注册了目标端口与路由。如果业务容器的监听端口和Service Connect配置的目标端口不匹配，代理会无法正确路由流量到容器。
  • 检查集群共用命名空间下，服务B的Service Connect端点是否存在。可以通过ECS控制台查看命名空间的服务记录，确认服务B的DNS条目能正常被解析。

• Sidecar代理与业务容器的网络连通性问题

  • 若任务使用awsvpc网络模式，确认sidecar容器和业务容器处于同一网络命名空间（默认配置是，但自定义网络规则可能会破坏这一点），保证sidecar能访问到业务容器的监听端口。
  • 进入服务B的业务容器，执行netstat -tulpn或ss -tulpn命令，确认目标端口处于正常监听状态，没有被容器内的防火墙规则阻断。

• 安全组与网络ACL的流量限制

  • 服务A到服务B的通信依赖集群内流量互通，需确认：
    • 服务A和服务B的任务安全组，允许彼此之间的TCP流量（包括Service Connect代理使用的端口，以及业务容器的端口）。
    • 集群所在VPC的网络ACL，已放行相关端口的双向TCP流量。

• Service Connect路由规则配置错误

  • 检查服务B的路由规则是否正确，确保服务A的请求能匹配到对应的上游端点。如果路由的路径、端口或服务名不匹配，代理会无法找到可转发的目标。
  • 确认是否配置了服务间的访问权限：部分场景下需要显式允许服务A访问服务B的Service Connect端点，否则代理会拦截请求。

• Sidecar代理运行异常

  • 查看sidecar容器的日志（在ECS任务日志中筛选代理容器的日志条目），里面通常会有更具体的错误详情，比如无法解析服务B的DNS、连接被上游拒绝等。
  • 检查sidecar容器的运行状态，是否存在频繁重启或资源（CPU/内存）不足的情况，资源限制过低会导致代理无法正常处理请求。

• 公网IP访问的路径误区

  • Service Connect是集群内部的服务发现机制，如果你直接用服务A的公网IP curl服务B的路由，流量可能没有经过sidecar代理，而是直接尝试访问服务B的公网端口（若服务B未暴露公网端口则会连接失败）。正确的内部通信应该使用Service Connect提供的命名空间内服务域名（如service-b.cluster.local）来访问，而非公网IP。

内容的提问来源于stack exchange，提问作者power-cut