为何同VPC内EC2需分配公网IP才能通过目标组健康检查？

首先纠正一个误区：同VPC内ALB和EC2实例确实不需要公网IP就能完成健康检查，你的情况肯定是实例自身或配置存在隐性问题，公网IP只是刚好绕过了这些问题。以下是最可能的几个原因：

• 应用启动依赖外部资源：如果EC2实例上的应用需要从互联网拉取依赖（比如npm包、Docker镜像、远程配置文件等），没有公网IP的实例（哪怕在公有子网）无法访问外网，会导致应用启动失败，80端口根本没处于监听状态，健康检查自然失败。分配公网IP后，实例能正常拉取依赖，应用启动成功，健康检查也就通过了。
• 健康检查目标配置错误：检查目标组的健康检查设置，是不是把目标地址设成了实例的公网DNS或公网IP？如果是，ALB访问时会走公网路由，但无公网IP的实例没有公网地址，自然访问失败。正确做法是用实例的私有IP或内网DNS（比如ip-xxx-xxx-xxx-xxx.ec2.internal）作为目标。
• 应用监听地址限制：如果你的应用只绑定了公网IP（而非0.0.0.0或私有IP），当实例没有公网IP时，应用实际上没监听私有IP的80端口，ALB通过私有IP访问时就会连接失败。这种情况只需修改应用配置，让它监听所有地址（0.0.0.0）即可，不需要公网IP。
• VPC DNS配置缺失：检查你的VPC是否启用了DNS解析和DNS主机名选项。如果没启用，实例的内网DNS无法正常解析，ALB可能无法通过实例的内网域名找到它，导致健康检查失败。开启这两个选项后，即使没有公网IP，ALB也能通过内网DNS定位到实例。

你还可以手动验证：找同VPC内的其他实例（比如堡垒机），用无公网IP实例的私有IP访问80端口。如果访问失败，说明问题出在实例本身（应用没启动、监听地址错误等）；如果能访问，再排查ALB目标组配置和VPC DNS设置。

内容的提问来源于stack exchange，提问作者Alex F