AWS中IGW与绑定公网IP的EC2路由器之间能否模拟丢包和延迟？

该方案完全可落地，核心配置逻辑与注意事项如下：

• 先将原本绑定在EC2路由器上的EIP解绑，绑定到中间部署的Linux流量转发主机上
• 关闭Linux主机EC2实例的源/目的检查（AWS EC2默认开启该配置，会丢弃非本机IP的收发流量）
• 在Linux主机上配置双向1:1 NAT：
  • 入方向：所有公网访问EIP的流量，DNAT到EC2路由器的私有IP
  • 出方向：所有EC2路由器发出的流量，SNAT为Linux主机的EIP（保证IPSec对等端看到的源公网IP和原有配置一致，不会触发IPSec隧道中断）
• 调整路由规则：EC2路由器的默认路由指向Linux主机的私有IP，Linux主机的默认路由指向VPC的IGW
• 最终直接在Linux主机上通过tc netem工具配置对应的网络延迟、丢包规则即可，模拟的网络损伤会直接作用在EC2路由器和IGW的流量链路上

以下方案均可以规避IPSec、NAT配置限制，不需要调整现有公网IP绑定逻辑：

• 方案1：直接在EC2路由器上配置流量损伤
  如果你的EC2路由器本身是Linux系统，不需要新增任何中间设备，直接在绑定公网IP的网卡上配置tc规则即可，对IPSec流量完全透明无影响：

  # 配置200ms延迟 + 5%随机丢包
  tc qdisc add dev eth0 root netem delay 200ms loss 5%
  # 清空所有流量损伤规则
  tc qdisc del dev eth0 root netem
  

• 方案2：使用云厂商内置故障注入工具
  如果你使用的是AWS环境，直接调用AWS Fault Injection Simulator（FIS）的网络损伤能力，即可直接对指定EC2实例配置出入方向的延迟、丢包、带宽限制，不需要修改任何现有网络架构、路由、NAT配置，故障模拟可随时启停，不会影响IPSec隧道的正常运行。
• 方案3：二层透明网桥方案
  不需要做任何NAT配置，将中间Linux主机配置为二层透明网桥串入流量链路：关闭Linux主机的源/目的检查，将EC2路由器的默认路由指向网桥的内侧端口，网桥外侧端口的默认路由指向IGW，整个过程IP地址、公网EIP绑定逻辑完全不需要改动，IPSec流量直接透传，同样在网桥设备上用tc命令配置网络损伤即可。

内容的提问来源于stack exchange，提问作者Shepardos