Terraform创建AWS EC2实例时SSH连接偶发失败问题求助

可能的原因 #

• SSH服务未就绪就发起连接：Terraform并行创建7台实例时，部分实例虽显示运行状态，但操作系统的SSH服务还未完全启动完成，此时Terraform发起连接会直接失败。
• 安全组规则生效延迟：EC2实例关联安全组后，规则不会立即同步生效，需要几秒到几十秒的适配时间，若Terraform赶在规则生效前发起连接，会被防火墙拦截。
• 公网网络就绪延迟：新实例的公网IP虽已分配，但背后的路由、DNAT规则可能还未配置完成，导致无法通过公网IP正常访问SSH端口。
• remote-exec脚本异常：如果remote-exec的inline脚本存在逻辑问题，比如命令后台执行（加&）、脚本未正确返回退出状态码，Terraform无法获取命令执行结果，就会触发该错误。

解决方法 #

1. 给连接配置重试与超时机制 #

在connection块中延长超时时间、增加重试次数，给实例足够时间启动SSH服务：

connection {
  type        = "ssh"
  user        = "ubuntu"
  private_key = file("yet.pem")
  host        = self.public_ip
  timeout     = "5m"  # 延长超时至5分钟
  max_retries = 10    # 最多重试10次
}

如果需要更稳妥的等待，可单独添加时间等待资源，等实例完全启动后再执行provisioner：

resource "time_sleep" "wait_for_ssh" {
  count = 7
  create_duration = "30s"

  depends_on = [aws_instance.myec22]
}

resource "null_resource" "run_provisioner" {
  count = 7
  depends_on = [time_sleep.wait_for_ssh]

  connection {
    type        = "ssh"
    user        = "ubuntu"
    private_key = file("yet.pem")
    host        = aws_instance.myec22[count.index].public_ip
    timeout     = "5m"
    max_retries = 10
  }

  provisioner "remote-exec" {
    inline = [
      # 你的脚本内容
    ]
  }
}

2. 明确安全组的SSH端口规则 #

虽然当前规则覆盖了22端口，但单独配置SSH端口规则更清晰，也能避免潜在的配置失误：

resource "aws_security_group" "ec2_sg" {
  name = "ec2_sg"

  ingress {
    description = "Allow SSH access"
    from_port   = 22
    to_port     = 22
    cidr_blocks = ["0.0.0.0/0"]
    protocol    = "tcp"
  }

  ingress {
    description = "Allow inbound from secret application"
    from_port   = 0
    to_port     = 4300
    cidr_blocks = ["0.0.0.0/0"]
    protocol    = "tcp"
  }

  egress {   
    from_port   = 0
    to_port     = 0
    cidr_blocks = ["0.0.0.0/0"]
    protocol    = "-1"
  }
}

3. 使用私有IP连接（VPC内环境适用） #

如果你的Terraform运行环境在AWS VPC内部（比如EC2实例、Cloud9工作站），直接用实例的私有IP连接，绕开公网的网络延迟问题：

connection {
  type        = "ssh"
  user        = "ubuntu"
  private_key = file("yet.pem")
  host        = self.private_ip
}

4. 检查并修正remote-exec脚本 #

确保脚本内的每个命令都能正常返回退出状态码，避免无意义的后台执行。如果必须启动后台进程，要在脚本末尾添加检查逻辑，保证脚本能正确退出：

provisioner "remote-exec" {
  inline = [
    "sudo apt update",
    "sudo apt install -y nginx",
    "nohup ./myapp &",
    "sleep 5",
    "pgrep myapp || exit 1"  # 检查进程是否启动，未启动则返回错误码
  ]
}

5. 限制Terraform并行创建数量 #

并行创建7台实例可能导致资源竞争，执行apply时限制并行度：

terraform apply -parallelism=3

减少同时创建的实例数量，降低网络和服务启动的压力。

内容的提问来源于stack exchange，提问作者Shadow Monarch