AWS云EC2实例首次启动正常后续出现连接报错问题

常见触发原因 #

• 实例状态异常：实例运行中出现内核崩溃、内存耗尽、CPU占满100%导致服务无响应，首次启动时负载低无异常，后续运行过程中资源耗尽触发故障
• 安全组规则变更：后续调整安全组时误删了SSH（22端口）、RDP（3389端口）的入站规则，或者错误限制了允许访问的来源IP范围
• 网络配置变更：VPC路由表被修改、子网关联的网络ACL新增拒绝规则、弹性公网IP被解绑/释放，导致实例公网连通性中断
• 系统层面配置错误：后续修改实例内的SSH/RDP服务配置、操作系统防火墙规则，sshd/远程桌面服务被关停，或者修改了网络配置文件后未正确生效
• 实例存储故障：根EBS卷容量占满、卷出现IO错误，导致系统无法正常响应连接请求

分步排查解决方法 #

第一步：排查实例基础运行状态 #

• 登录AWS控制台进入EC2实例列表，查看目标实例的实例状态检查和系统状态检查是否全部为「已通过」
  • 如果状态检查失败，可先尝试右键实例→实例状态→重启实例，观察重启后状态是否恢复
  • 查看实例的CPU利用率、内存利用率、磁盘IO监控指标，确认是否存在资源耗尽的情况，如果是资源不足可升级实例规格或者优化内部运行的服务

第二步：排查网络访问配置 #

• 检查实例关联的安全组入站规则：确认是否允许你的本地公网IP访问对应端口（Linux开放22端口，Windows开放3389端口），临时验证时可暂时配置入站规则允许0.0.0.0/0访问对应端口，确认是否是安全组规则限制导致的连接失败
• 检查实例是否绑定了有效的弹性公网IP/公网IP，VPC路由表是否有指向互联网网关的0.0.0.0/0路由，子网关联的网络ACL是否允许对应端口的入站和出站流量

第三步：排查实例内部配置故障 #

• 如果以上网络配置都正常，可通过EC2控制台的实例连接→连接→EC2串行控制台进入实例内部查看运行日志（使用该功能需要提前为IAM账号配置对应权限）
  • 排查远程连接服务是否正常运行：Linux下执行systemctl status sshd查看sshd服务状态，Windows下在服务管理器中查看Remote Desktop Service运行状态
  • 检查根磁盘容量：Linux下执行df -h查看根分区使用率，使用率达到100%时需要清理磁盘空间
  • 检查实例内部防火墙规则：Linux下查看iptables规则、firewalld服务状态，Windows下查看Windows Defender防火墙是否拦截了远程连接端口

第四步：极端情况恢复方案 #

• 如果完全无法进入实例，可将实例的根EBS卷卸载，挂载到其他正常的EC2实例作为数据盘，修改内部的错误配置文件、清理磁盘空间后再重新挂载回原实例启动
• 如果是实例所在物理服务器故障导致的异常，可停止实例后重新启动，AWS会自动将实例调度到正常的物理服务器上运行

内容的提问来源于stack exchange，提问作者Arjun Pratap Singh