AWS ECS桥接模式动态端口映射服务的ALB健康检查失败排查

• EC2安全组未开放动态端口范围：Bridge模式下ECS默认使用32768-65535区间的动态端口，即便你配置了允许VPC内所有流量，也要确认EC2实例的入站规则明确放行这个端口范围的TCP流量——ALB和同VPC内的实例都需要通过这些端口访问容器服务。
• 容器服务绑定地址错误：如果你的HTTP服务器只绑定了127.0.0.1，那只能在EC2实例内部通过localhost访问，外部请求（包括ALB、同VPC其他实例）会被拒绝。必须让服务绑定0.0.0.0，确保容器网桥的外部流量能进入容器。
• ALB目标组配置错误：
  • 目标组的端口必须设为0（代表动态端口），如果手动指定了固定端口，ALB无法匹配ECS分配的动态端口；
  • 健康检查路径要和服务器实际提供的健康检查端点一致，比如服务器监听/health就不能用默认的/，否则会返回404导致健康检查失败。
• ECS代理端口转发规则异常：ECS Agent负责维护容器端口到EC2实例端口的iptables转发规则，检查Agent状态（执行systemctl status ecs）和日志（查看/var/log/ecs/ecs-agent.log），看是否有端口映射失败、iptables配置错误的信息。如果Agent未正常运行，端口转发会失效。
• 目标组自动注册未启用：确认ECS服务配置里是否关联了目标组并开启了自动注册。如果没开，ALB的目标组里不会有EC2实例的动态端口条目，健康检查自然找不到目标。
• ALB安全组规则限制：ALB的安全组要允许出站访问EC2实例的动态端口范围（32768-65535），同时入站规则要允许健康检查的流量（确保规则里没限制ALB自身的健康检查请求）。

内容的提问来源于stack exchange，提问作者Wildan Maulana Syahidillah