AWS NLB SSL终止问题：请求为何总是转发至EC2实例的443端口？

你的预期完全正确：NLB的TLS:443监听器完成解密后，应当转发至目标组配置的TCP:8080端口，EC2实例无需配置HTTPS。针对当前请求被转发至443端口导致连接拒绝的问题，按以下方向排查：

• 检查NLB监听器转发规则
  确认TLS:443监听器的所有规则（默认规则及自定义规则）是否均指向配置为TCP:8080的目标组，排查是否存在误指向443端口目标组的规则，尤其是路径/主机头匹配的自定义规则。

• 验证目标组端口配置
  再次确认目标组的目标端口是否设置为8080，而非443；同时检查健康检查的端口配置是否为8080，避免配置混淆。

• 排查Route 53解析配置
  用nslookup mydomain.com或dig mydomain.com验证域名解析结果是否为NLB的DNS名称，确认没有误指向其他配置了443转发的资源（如其他负载均衡器、EC2实例）。

• 抓取EC2实例流量
  在EC2实例上执行tcpdump -i any port 443 or port 8080抓包，或启用VPC流量日志，直观查看实际到达的请求端口，确认流量来源是否为NLB，定位是转发错误还是其他流量干扰。

• 检查NLB安全组出站规则
  确认NLB的安全组是否允许出站至EC2实例的8080端口，虽然这不会直接导致转发到443，但可排除因NLB出站限制导致的异常转发逻辑。

内容的提问来源于stack exchange，提问作者Andy