AWS Terraform部署报错：路由表路由配置不符合VPC规则

错误原因 #

AWS路由规则明确限制：目标CIDR与VPC自身CIDR相同或更具体时，路由不能指向互联网网关(IGW)。因为VPC内部的流量已经由默认的本地路由（10.0.0.0/16 -> local）自动处理，手动添加指向IGW的同网段路由会触发参数校验错误，这类路由仅允许指向网络接口或EC2实例（如NAT实例场景）。

你的路由表配置中，错误地将VPC自身CIDR 10.0.0.0/16指向了互联网网关：

resource "aws_route_table" "prod-rt" {
  vpc_id = aws_vpc.prod-vpc.id

  route {
    cidr_block = "10.0.0.0/16"  # 此处为问题核心
    gateway_id = aws_internet_gateway.prod-gw.id
  }
}

修复步骤 #

如果需求是让子网内实例访问互联网，需将路由改为默认路由（0.0.0.0/0）指向IGW，VPC的本地路由无需手动添加（Terraform会自动保留AWS默认生成的本地路由）。修改后的路由表配置如下：

resource "aws_route_table" "prod-rt" {
  vpc_id = aws_vpc.prod-vpc.id

  route {
    cidr_block = "0.0.0.0/0"  # 修改为默认路由，覆盖所有外部流量
    gateway_id = aws_internet_gateway.prod-gw.id
  }
}

额外优化建议 #

• 简化安全组关联方式：当前通过aws_network_interface_sg_attachment绑定安全组的写法可以简化，直接在aws_instance资源中通过vpc_security_group_ids参数绑定，更符合Terraform最佳实践：

  resource "aws_instance" "my-ec2" {
    ami               = var.ami
    instance_type     = "t2.micro"
    availability_zone = "us-east-1a"
    subnet_id         = aws_subnet.prod-subnet-A.id
    vpc_security_group_ids = [aws_security_group.prod-sg.id]  # 直接绑定安全组
    tags = {
      Name = "prod-server"
    }
  }
  

  同时可删除aws_network_interface_sg_attachment资源，避免冗余配置。
• 避免硬编码密钥：建议使用AWS环境变量、共享凭证文件等方式配置凭证，不要在代码中直接填写access_key和secret_key。

内容的提问来源于stack exchange，提问作者Subhajit Das