ECS集群内容器如何通信？跨EC2实例容器DNS查询及通信方案

一、查询ECS容器的DNS名称 #

ECS容器的DNS名称取决于所使用的网络模式，以下是几种常见场景的查询方式：

1. awsvpc网络模式（推荐） #

这种模式下每个ECS任务（容器组）拥有独立的弹性网卡和私有IP，AWS会自动分配对应DNS：

• 私有DNS名称格式为 ip-xxx-xxx-xxx-xxx.ec2.internal（匹配任务私有IP），若任务分配了公有IP，公有DNS为 ec2-xxx-xxx-xxx-xxx.<区域>.compute.amazonaws.com
• 通过AWS CLI查询：

  aws ecs describe-tasks --cluster <你的集群名称> --tasks <任务ID>
  

  在输出的networkInterfaces字段下，可找到privateDnsName和publicDnsName的值
• 也可直接在ECS控制台进入任务详情页，查看「网络」标签下的DNS信息

2. bridge网络模式 #

容器共享所在EC2实例的网络命名空间，本身没有独立的公网/私有DNS：

• 若要通过域名访问容器，需配合AWS Cloud Map服务发现：将ECS服务注册到CloudMap后，可通过配置的服务域名访问容器（无需关心实例IP）
• 直接访问时，容器的入口是EC2实例的DNS名称加上容器映射的端口

3. host网络模式 #

容器直接使用EC2实例的网络，因此容器的DNS名称就是所在EC2实例的私有/公有DNS名称

二、实现不同EC2实例上的容器通信 #

需结合网络模式做对应配置：

1. awsvpc网络模式 #

• 安全组配置：确保两个任务的安全组互相允许入站访问（可直接授权对方任务的安全组，或指定对方的私有IP段）
• 直接通信：使用对方任务的私有IP或私有DNS名称，加上容器监听的端口即可建立连接
• 跨VPC场景：需配置VPC对等连接或中转网关，同时确保路由表和安全组规则允许跨VPC流量

2. bridge网络模式 #

• EC2实例安全组配置：允许两个实例之间互相访问容器映射的端口（例如，实例A的安全组允许实例B的IP访问端口8080）
• 通信方式：通过对方EC2实例的私有IP/DNS名称，加上容器映射到实例的端口进行访问
• 优化方案：使用CloudMap注册ECS服务，通过服务域名统一访问，无需手动管理实例IP和端口

3. host网络模式 #

容器监听的端口直接绑定在EC2实例的网络上，只需确保两个EC2实例的安全组允许对应端口的访问，然后通过实例的私有IP/DNS名称加上容器端口即可通信

内容的提问来源于stack exchange，提问作者Shubham Sharma