EC2实例无公网IP时通过Gmail SMTP 587发邮件异常求助

我之前碰到过类似的场景，结合AWS的网络特性，大概率是出站流量路径、IPv6优先级或者NAT资源瓶颈导致的，下面给你一步步拆解排查方案：

1. 排查NAT网关/实例的性能瓶颈 #

当EC2没有公网IP/EIP时，所有出站流量都会通过VPC的NAT网关（或NAT实例）转发。如果NAT资源的带宽不足、并发连接数达到上限，就会出现SMTP连接排队、丢包的情况，直接导致发送成功率低、延迟高。

• 去AWS控制台查看NAT网关的监控指标：重点看PacketsDropCount（丢包数）和ConnectionEstablishedCount（已建立连接数）。如果丢包数持续上升，或者连接数接近NAT网关的规格上限，那就是资源瓶颈了。
• 解决办法：升级NAT网关到更大的规格（比如从t2.small换成t2.large），或者部署多个NAT网关并配置路由表做负载均衡，分散流量压力。

2. 检查IPv6连接优先级问题 #

Gmail SMTP支持IPv6，但如果你的EC2实例分配了IPv6地址，而VPC的IPv6出站路由配置有问题，就会导致系统优先尝试IPv6连接，最终失败后再 fallback 到IPv4，这就会造成延迟高、成功率低的现象。

• 临时测试方案：在EC2实例上强制使用IPv4连接。比如：
  • 修改应用的SMTP配置，直接指定smtp.gmail.com的IPv4地址（可以通过nslookup smtp.gmail.com获取）；
  • 或者在系统层面临时禁用IPv6：执行sudo sysctl -w net.ipv6.conf.all.disable_ipv6=1，然后测试邮件发送是否恢复正常。
• 长期解决方案：
  • 如果不需要IPv6，直接在VPC设置中关闭IPv6支持；
  • 如果需要保留IPv6，检查VPC的IPv6路由表，确保有一条指向互联网网关（IGW）的默认路由，让IPv6流量能正常出站。

3. 规避AWS与Gmail的IP信誉限制 #

虽然587端口不在AWS默认的出站限制范围内，但当多个EC2实例通过同一个NAT网关的公网IP发送邮件时，容易触发Gmail的反垃圾邮件机制，导致连接被拒绝或者延迟。

• 解决办法：
  • 给NAT网关绑定固定的弹性IP，然后将这个IP添加到Gmail的发送白名单，同时配置SPF记录指向该IP，提升邮件发送的可信度；
  • 更稳妥的方案是改用AWS SES服务发送邮件，SES是AWS官方的邮件服务，和EC2集成无网络障碍，还能提供更可靠的投递率和监控能力。

4. 验证DNS解析是否正常 #

无公网IP的EC2实例默认使用VPC的DNS服务器，如果DNS解析超时或者返回错误的IP，也会导致SMTP连接失败。

• 测试方法：在EC2实例上执行dig smtp.gmail.com或者nslookup smtp.gmail.com，观察解析结果是否正常、有没有超时。
• 如果解析有问题，可以修改EC2的DNS服务器为公共DNS（比如8.8.8.8），或者检查VPC的DNS配置是否正确设置了EnableDnsSupport和EnableDnsHostnames。

内容的提问来源于stack exchange，提问作者Armin Orlik