如何通过Postman访问AWS ECS集群内任务 公网IP无法连通解决

1. 安全组配置优先排查 #

注：ECS默认不开放ICMP协议，ping不通属于正常现象，无需优先纠结ping的结果，直接测试应用端口连通性即可

• 确认ECS任务关联的安全组入站规则，已开放Flask应用监听的端口（通常为5000），允许0.0.0.0/0或者你本地的公网IP访问
• 确认安全组出站规则没有限制外部访问权限
• 可优先使用telnet <任务公网IP> <应用端口>或者curl http://<任务公网IP>:<应用端口>测试端口连通性，不要用ping测试

2. 任务网络配置检查 #

• 若使用Fargate启动类型，确认任务定义的网络模式设置为awsvpc，这是Fargate唯一支持的网络模式
• 确认任务部署的子网为公网子网，子网关联的路由表存在指向互联网网关（IGW）的路由条目
• 确认任务部署时已经开启「分配公网IP」选项，未分配公网IP的任务无法被外网直接访问

3. Flask应用与镜像配置检查 #

• 确认Flask启动时的监听地址为0.0.0.0，而非127.0.0.1，后者仅支持容器内部访问，正确启动示例：

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=5000, debug=False)

• 生产环境不要使用Flask自带的开发服务器，推荐用Gunicorn等WSGI服务器启动，启动命令示例：gunicorn -w 2 -b 0.0.0.0:5000 app:app
• 确认Dockerfile的EXPOSE端口、ECS任务定义的端口映射与应用实际监听的端口三者一致

4. 其他异常排查 #

• 检查子网关联的NACL（网络访问控制列表）规则，确认对应端口的入站、出站流量未被限制
• 通过ECS Exec进入运行中的容器，执行curl localhost:<应用端口>确认容器内部可以正常访问服务
• 查看CloudWatch中对应任务的运行日志，排查应用启动报错、端口占用等异常问题

内容的提问来源于stack exchange，提问作者Moritz Sontheimer