在AWS EC2实例上配置Gunicorn HTTPS启动失败求助

1. 核心原因：特权端口绑定限制 #

443属于Linux系统的特权端口（1-1024），普通用户（如ec2-user）默认没有权限绑定这类端口，这是导致Can't connect to ('0.0.0.0', 443)错误的最常见原因。

解决方案二选一： #

选项A：给Gunicorn赋予绑定特权端口的权限

执行以下命令，让Gunicorn二进制文件拥有绑定特权端口的能力：

sudo setcap 'cap_net_bind_service=+ep' /home/ec2-user/myapp/env/bin/gunicorn

之后重新加载配置并重启服务：

sudo systemctl daemon-reload
sudo systemctl restart myapp

选项B：改用非特权端口+Nginx反向代理（生产环境推荐）

这是更稳定的生产部署方案——Gunicorn作为WSGI服务器，在处理TLS、静态文件、请求转发等场景下，不如Nginx专业：

• 修改myapp.service中的ExecStart，绑定非特权端口（如8000）：

  ExecStart=/home/ec2-user/myapp/env/bin/gunicorn --workers 3 --bind 0.0.0.0:8000 wsgi:app
  

• 安装Nginx，在/etc/nginx/conf.d/myapp.conf中添加反向代理+HTTPS配置：

  server {
      listen 443 ssl;
      server_name your-ec2-ip;
  
      ssl_certificate /home/ec2-user/openssl/server.crt;
      ssl_certificate_key /home/ec2-user/openssl/server.key;
      ssl_trusted_certificate /home/ec2-user/openssl/rootCA.crt;
  
      location / {
          proxy_pass http://127.0.0.1:8000;
          proxy_set_header Host $host;
          proxy_set_header X-Real-IP $remote_addr;
      }
  }
  

• 重启相关服务：

  sudo systemctl daemon-reload
  sudo systemctl restart myapp
  sudo systemctl restart nginx
  

2. 验证证书文件权限 #

确保ec2-user能读取证书相关文件：

# 私钥设置严格权限（仅所有者可读）
chmod 600 /home/ec2-user/openssl/server.key
# 证书和CA证书设置可读权限
chmod 644 /home/ec2-user/openssl/server.crt /home/ec2-user/openssl/rootCA.crt
# 确保文件所有者为ec2-user
chown ec2-user:ec2-user /home/ec2-user/openssl/*

3. 检查端口是否被占用 #

确认443端口未被其他进程占用：

sudo lsof -i :443
# 或使用netstat命令
sudo netstat -tulpn | grep 443

若有进程占用，执行kill -9 <PID>终止进程后，再重启服务。

内容的提问来源于stack exchange，提问作者hitaton