AWS EC2实例请求无法转发至Docker容器排查求助

• 确认Node.js应用的监听地址
  很多Node.js应用默认仅监听127.0.0.1，这会导致仅容器内部可访问，EC2主机或外部无法连接。先通过docker inspect <容器ID> | grep IPAddress获取容器内网IP，在EC2主机执行curl <容器内网IP>:3000/status，如果请求失败，说明应用监听地址受限。需修改代码中listen方法的绑定地址为0.0.0.0（例如app.listen(3000, '0.0.0.0')），重新构建镜像后测试。

• 检查子网网络ACL规则
  AWS网络ACL是子网级别的防火墙，可能覆盖安全组规则。进入VPC控制台，找到实例所在子网的网络ACL：

  • 入站规则需允许0.0.0.0/0访问3000/80端口；
  • 出站规则需允许所有响应流量（通常开放1024-65535端口范围）。
    若ACL规则存在限制，调整后再测试访问。

• 排查EC2主机的系统防火墙
  部分EC2实例可能启用了系统级防火墙（如iptables、firewalld或ufw），阻止端口流量：

  • 执行iptables -L -n查看规则，确认是否有拒绝3000/80端口的条目；
  • 临时关闭防火墙（如systemctl stop firewalld或ufw disable）测试，若能正常访问，需添加允许规则（例如ufw allow 3000/tcp）。

• 验证Docker的端口转发规则
  Docker会自动生成iptables转发规则，若规则缺失会导致端口映射失效：

  • 执行iptables -t nat -L DOCKER，查看是否存在DNAT规则指向容器的3000端口；
  • 若规则缺失，重启Docker服务（systemctl restart docker），重新启动容器后再次检查。

• 排除本地网络限制
  本地终端所在网络可能存在防火墙、代理或运营商限制，导致无法访问目标端口：

  • 切换至其他网络（如手机热点）测试；
  • 在第三方服务器（或其他云实例）执行curl <EC2公网IP>:3000/status，验证公网端口是否真的不可访问。

• 检查容器应用的日志与健康状态
  即使内部curl正常，应用处理外部请求时可能存在隐性错误：

  • 执行docker logs <容器ID>查看应用日志，排查外部请求到达时是否有报错；
  • 在容器内部执行curl 0.0.0.0:3000/status，确认应用绑定0.0.0.0时的响应是否正常。

内容的提问来源于stack exchange，提问作者James Spaniak