家庭WiFi下AWS SSM Start Session无法启动问题求助

核心排查方向（针对家庭WiFi限制） #

1. 检查路由器UPnP与端口设置 #

使用AWS-StartSSHSession时，SSM需建立双向端口映射，部分家庭路由器的UPnP功能关闭或端口规则限制了动态端口使用，导致握手超时：

• 登录路由器后台，确认UPnP功能是否开启；
• 若UPnP开启仍异常，可临时手动放行1024-65535端口范围，验证是否解决问题。

2. 排查防火墙/安全软件拦截 #

家庭路由器防火墙、Mac本地防火墙或第三方安全软件（如Little Snitch）可能拦截SSM握手流量：

• 临时关闭Mac本地防火墙（路径：系统设置>网络>防火墙>关闭），重新执行命令测试；
• 登录路由器后台，检查是否启用“入侵检测”“深度包检测”功能，临时关闭后验证。

3. 验证DNS解析有效性 #

家庭WiFi的DNS服务器可能无法正确解析SSM服务域名：

• 在终端执行nslookup ssm.us-west-2.amazonaws.com，对比办公网络下的解析结果，确认是否指向AWS官方IP；
• 临时将Mac DNS改为公共DNS（如8.8.8.8或1.1.1.1），重新测试命令。

4. 检查路由器QoS流量控制 #

部分路由器的QoS规则会限制动态端口流量优先级：

• 登录路由器后台，查看QoS设置，若有针对TCP/UDP动态端口的限流规则，临时关闭后测试。

进一步定位根因的方法 #

1. 抓包分析流量差异 #

用Wireshark在Mac上抓包，过滤ssm.us-west-2.amazonaws.com的流量，对比正常网络与家庭WiFi下的数据包：

• 观察TCP握手阶段是否有SYN包无ACK响应，或数据包丢失；
• 重点确认是否是路由器拦截了返回流量。

2. 测试非默认SSH端口 #

尝试指定其他端口号，验证是否是22端口被限制：

aws ssm start-session --target i-ABC --region us-west-2 --document-name AWS-StartSSHSession --parameters 'portNumber=2222'

临时替代方案（紧急连接需求） #

若暂时无法解决WiFi配置问题，可通过端口转发间接实现SSH：

1. 启动端口转发会话：

aws ssm start-session --target i-ABC --region us-west-2 --document-name AWS-StartPortForwardingSession --parameters 'portNumber=22,localPortNumber=2222'

2. 新开终端通过本地端口连接：

ssh -p 2222 ec2-user@localhost

内容的提问来源于stack exchange，提问作者kalanga