如何让Tomcat在EC2实例中按场景选择特定公网IP路由API请求

嘿，这个需求我之前帮客户处理过类似的，完全不用额外部署一堆代理服务器浪费成本——利用你已经挂载的辅助ENI和EC2本身的网络配置就能搞定，给你几个可行的方案，按需选：

如果你的Tomcat应用代码可以修改，这是最直接灵活的方式。Java的HTTP客户端（比如HttpClient、OkHttp）都支持绑定本地IP，这样当处理不同场景的请求时，直接指定对应ENI的私网IP即可（公网IP会自动关联这个私网IP出站）。

举个HttpClient的示例：

// 场景A：绑定到IP1对应的私网IP（假设是10.0.0.10）
InetAddress localAddr = InetAddress.getByName("10.0.0.10");
HttpClient client = HttpClient.newBuilder()
        .localAddress(localAddr)
        .build();

// 场景B：绑定到IP2对应的私网IP（10.0.0.11）
InetAddress localAddr2 = InetAddress.getByName("10.0.0.11");
HttpClient client2 = HttpClient.newBuilder()
        .localAddress(localAddr2)
        .build();

你可以根据请求里的标识（比如HTTP头的X-Client-ID、请求参数）来选择对应的HttpClient实例，完全不需要额外的网络配置。

如果不想修改Tomcat代码，就在同一EC2上部署一个轻量的Nginx，把它作为Tomcat的前置代理，然后通过Nginx的proxy_bind指令根据请求标识绑定不同的ENI私网IP，实现不同场景用不同公网IP出站。

示例Nginx配置：

server {
    listen 8081; # 监听Tomcat转发过来的请求，或者直接对外提供服务

    # 场景A：匹配带有X-Client-ID: A的请求，用IP1的私网IP出站
    location / {
        if ($http_x_client_id = "A") {
            proxy_bind 10.0.0.10;
        }
        # 场景B：匹配X-Client-ID: B的请求，用IP2的私网IP出站
        if ($http_x_client_id = "B") {
            proxy_bind 10.0.0.11;
        }
        proxy_pass https://航空公司API地址; # 转发到目标API
        proxy_set_header Host $host;
    }
}

然后让Tomcat把需要调用航空公司API的请求转发到本地Nginx的8081端口就行，完全不用改业务代码，配置好就能用。

如果需要让EC2上的所有应用（不止Tomcat）都能按规则选择出口IP，可以用iproute2和iptables做操作系统层面的路由控制，对应用完全透明。

步骤大概是：

1. 确认所有辅助ENI的私网IP已经在系统中配置好（用ip addr查看，没配置的话在/etc/netplan/或者/etc/sysconfig/network-scripts里添加永久配置）
2. 创建两个路由表，分别对应两个ENI的出口：

# 添加路由表100对应IP1
echo "100 ip1-route" >> /etc/iproute2/rt_tables
# 添加路由表200对应IP2
echo "200 ip2-route" >> /etc/iproute2/rt_tables

3. 给每个路由表添加默认路由，指定从对应私网IP出去：

# 路由表100：默认网关用VPC的网关（比如10.0.0.1），源IP是IP1的私网IP
ip route add default via 10.0.0.1 dev eth1 src 10.0.0.10 table 100
# 路由表200：默认网关同样用VPC网关，源IP是IP2的私网IP
ip route add default via 10.0.0.1 dev eth2 src 10.0.0.11 table 200

4. 添加iptables规则，根据请求的标记选择路由表：

# 给场景A的请求打标记100（比如根据端口、请求来源或者其他标识）
iptables -t mangle -A OUTPUT -p tcp --dport 443 -m string --string "X-Client-ID: A" --algo bm -j MARK --set-mark 100
# 给场景B的请求打标记200
iptables -t mangle -A OUTPUT -p tcp --dport 443 -m string --string "X-Client-ID: B" --algo bm -j MARK --set-mark 200
# 让标记过的请求走对应的路由表
ip rule add fwmark 100 table 100
ip rule add fwmark 200 table 200

这个方案对应用完全透明，但配置稍微复杂一点，适合需要全局生效的场景。

注意事项 #

• 确认你的EC2实例类型支持足够数量的辅助ENI（比如t3.large最多4个，不同实例类型限制不同）
• 每个辅助ENI的安全组要允许出站到航空公司API的对应端口（比如443）
• 所有配置要持久化，避免EC2重启后失效（比如把iproute2和iptables的配置加到开机脚本里）

内容的提问来源于stack exchange，提问作者Sujay DSa