Java InetAddress.isReachable在AWS EC2中出现检测异常问题

问题场景：用以下Java 8代码检测主机可达性：

InetAddress inetAddress = InetAddress.getByAddress(ipBytes);
return inetAddress.isReachable(timeOutMS) ? "UP" : "DOWN";

在虚拟主机环境中，检测1.1.1.1和2.2.2.2均显示可达，直接ping也正常；但在AWS EC2实例中，直接ping两个地址都正常，代码却显示2.2.2.2不可达、1.1.1.1可达。

核心差异：Java检测逻辑和系统ping不一样 #

Java的isReachable()并非直接调用系统ping命令，它的检测逻辑是：

1. 优先尝试发送ICMP Echo请求（和ping原理一致）；
2. 如果当前用户没有发送ICMP的权限（Linux普通用户默认无此权限），则降级为尝试TCP连接目标主机的7号端口（Echo服务端口）。

而系统ping命令通常以允许发送ICMP的权限运行（比如root权限或带setuid的ping二进制），所以能直接通过ICMP验证可达性，和Java代码的检测路径存在差异。

具体可能的触发原因 #

• 目标端口开放情况不同：1.1.1.1开放了TCP 7号端口，而2.2.2.2没有开放该端口。EC2上普通用户运行Java代码时，因无法发送ICMP只能走TCP 7号端口检测，所以2.2.2.2返回不可达；虚拟主机环境可能允许普通用户发送ICMP，或者2.2.2.2在该环境下开放了7号端口，因此检测结果一致。
• AWS网络规则限制：EC2的安全组或网络ACL允许ICMP出站（所以ping正常），但拦截了TCP出站到7号端口。此时Java代码的降级TCP连接失败，导致2.2.2.2显示不可达。
• 目标主机防火墙策略：2.2.2.2的防火墙拒绝了来自EC2所在IP段的TCP 7号端口请求，但允许ICMP Echo请求，因此ping能通但Java代码检测失败。

验证方法 #

1. 测试TCP 7号端口连通性：在EC2上执行telnet 2.2.2.2 7或nc -zv 2.2.2.2 7，若显示连接失败，说明是端口不可达问题。
2. 以root权限运行Jar包：如果用root权限运行后，2.2.2.2显示可达，说明是普通用户无ICMP权限导致的降级检测失败。

内容的提问来源于stack exchange，提问作者Сергій Катрюк