能否在不配置VPC级VPN的情况下让AWS EC2实例连接远程VPN？

完全可以实现——不需要依赖AWS Site-to-Site VPN或第三方VPC级VPN服务，直接在Ubuntu EC2实例内部配置VPN是可行的方案。

你在本地机器能用相同配置成功，但EC2实例失败，大概率是AWS云环境特有的网络限制导致的，重点排查以下几点：

• 安全组规则：检查EC2实例绑定的安全组，是否放行VPN所需的端口和协议。比如OpenVPN需要放行UDP 1194，IPsec需要放行UDP 500和4500，确保出站和入站规则都覆盖到。本地机器没有这类云安全组限制，所以能正常连接。
• 网络ACL规则：VPC的网络ACL是无状态的，要同时配置出站和入站规则，放行VPN相关的流量。如果ACL拦截了对应端口，VPN连接会直接失败。
• 源/目标检查：如果你的VPN需要EC2实例转发流量（比如访问远程网段），需关闭实例的「源/目标检查」选项（在EC2控制台的实例设置中）。默认开启的情况下，AWS会阻止实例转发非自身发起的流量，导致VPN路由失效。
• 实例路由表：确认EC2实例的路由表中，已添加将远程VPN网段流量指向本地VPN接口（如tun0）的条目，否则流量不会走VPN通道。
• 本地防火墙/配置细节：检查EC2实例上的ufw等防火墙是否拦截了VPN流量，同时确认DNS设置是否和本地一致——部分VPN依赖特定DNS解析，EC2默认的DNS可能导致连接失败。

只要解决上述云环境特有的限制，EC2实例内的VPN就能和本地机器一样正常工作。

内容的提问来源于stack exchange，提问作者Pedro Roque