通过私有IP连接EC2实例故障：连OpenVPN后无法SSH访问对应EC2服务

• 安全组/实例内部防火墙拦截
  多数OpenVPN服务会分配独立的客户端地址段（常见如10.8.0.0/24），不属于VPC原生子网CIDR范围，若EC2安全组入站规则仅放行VPC网段的22端口，未放行OpenVPN客户端网段的SSH访问，会直接导致连接失败。可通过iptables -L -n（Linux通用）或ufw status（Debian/Ubuntu系列）检查实例内部防火墙规则，确认无针对OpenVPN网段的22端口拦截策略。
• OpenVPN服务端路由配置异常
  需确认OpenVPN服务端配置文件/etc/openvpn/server.conf中是否正确配置了路由规则：需通过push "route [VPC私有网段] [VPC子网掩码]"向客户端推送VPC网段路由，同时确认实例已开启IP转发，执行cat /proc/sys/net/ipv4/ip_forward检查，返回值为1才是正常开启状态，若为0需修改/etc/sysctl.conf配置永久开启转发。
• SSH服务监听限制
  若SSH服务配置了监听地址限制，也会导致连接失败。执行ss -tulnp | grep sshd查看SSH监听地址，若配置为单个网卡IP而非0.0.0.0，或sshd_config中通过AllowUsers/AllowGroups/Match Address规则限制了来源网段，需对应调整配置后重启SSH服务。
• 本地客户端路由缺失
  本地设备连接OpenVPN后，若未正确添加VPC私有网段的路由，SSH请求会走本地公网链路而非VPN隧道，导致无法访问私有IP。Windows环境执行route print、Linux/macOS环境执行ip route，确认VPC私有网段的下一跳为OpenVPN隧道网关地址，若缺失需手动添加路由或调整OpenVPN服务端的推送规则。

内容的提问来源于stack exchange，提问作者rajiv pratap