AWS实例手动配置静态路由至环回接口失效问题排查

AWS底层网络会阻断实例接收目标为非自身网卡关联IP的流量——你在实例B上配置的10.0.0.200/32环回IP，不属于AWS分配给该实例的合法IP范围，因此当实例A发送目标为该环回IP的ICMP请求时，AWS网络层会直接丢弃数据包，不会转发到实例B的网卡，这就是tcpdump在B上看不到流量的核心原因。

方案一：将环回IP绑定到实例B的弹性网卡（ENI） #

这是最合规的AWS网络方案，让IP被AWS系统认可：

• 通过AWS控制台或CLI给实例B的主网卡/辅助网卡添加私有IP：

  aws ec2 assign-private-ip-addresses --network-interface-id eni-xxxxxx --private-ip-addresses 10.0.0.200 --allow-reassignment
  

• 在实例B的操作系统内，把该IP配置到对应网卡（比如主网卡eth0）：

  ip addr add 10.0.0.200/32 dev eth0
  

• 此时实例A的静态路由10.0.0.200 via 172.31.129.232即可正常生效，流量会被AWS网络正常转发。

方案二：在实例B上配置本地流量转发 #

如果不想修改ENI的IP配置，可通过内核转发规则实现：

• 用iptables配置DNAT/SNAT规则，把目标为实例B主IP的流量转发到环回IP，再把回复源地址替换为主IP：

  iptables -t nat -A PREROUTING -d 172.31.129.232 -p icmp --icmp-type echo-request -j DNAT --to-destination 10.0.0.200
  iptables -t nat -A POSTROUTING -s 10.0.0.200 -p icmp --icmp-type echo-reply -j SNAT --to-source 172.31.129.232
  

• 开启实例B的内核IP转发功能：

  echo 1 > /proc/sys/net/ipv4/ip_forward
  

• 配置完成后，实例A ping 172.31.129.232的请求会被转发到B的环回IP 10.0.0.200，回复也能正常返回。

内容的提问来源于stack exchange，提问作者maiky