AWS EC2-LINUX“Network connection refused”错误求助：QA实例无法登录
既然DEV和QA用的是同一个CloudFormation模板，DEV正常但QA出问题，那基本可以排除模板本身的通用逻辑问题，大概率是QA环境的特定配置、参数差异或者实例初始化环节出了问题。结合你已经排查过安全组、VPC和NACL，我整理了几个你可以重点检查的方向：
先确认实例是否真的完成启动
连接被拒绝不一定是网络问题，很可能是实例本身没正常初始化，导致SSH服务根本没起来。你可以在AWS控制台找到QA的EC2实例，右键选择「监控和故障排除」->「获取系统日志」或者「获取控制台输出」，看看里面有没有启动报错：比如磁盘挂载失败、用户数据脚本执行出错、依赖的服务启动失败等。举个例子，如果模板里的用户数据需要从S3拉取初始化脚本，但QA环境的IAM实例角色没有S3访问权限，就会导致脚本执行失败，进而SSHD没启动。检查实例的公网/私有IP分配情况
确认QA实例是否分配了公网IP：有些时候DEV所在的子网默认开启了「自动分配IPv4公有IP」，但QA的子网没开，或者CloudFormation模板里的EC2资源参数AssociatePublicIpAddress在QA环境被设为了false。如果是用私有IP连接（比如通过堡垒机），还要确认堡垒机和QA实例是否在同一个VPC或者对等连接正常。验证SSH服务状态（如果能间接排查的话）
要是实例状态检查显示正常，你可以尝试用AWS Systems Manager的Session Manager连接（前提是实例已经安装SSM Agent并有权限），如果能连上，直接检查SSHD服务的状态：sudo systemctl status sshd看看是不是服务没启动，或者配置文件有问题（比如
/etc/ssh/sshd_config里禁用了密码登录或者指定了错误的端口）。检查子网路由表配置
虽然VPC整体配置正常，但QA实例所在的子网路由表可能没正确指向互联网网关（IGW）。对比DEV子网的路由表，看看有没有0.0.0.0/0指向IGW的路由条目，如果QA子网没有这条，就算安全组和NACL开放了端口，流量也出不去/进不来。排查模板参数的差异
确认QA环境部署时用的CloudFormation参数和DEV是否完全一致：比如实例类型是不是选了一个当前区域不支持的类型？或者AMI ID在QA环境用了一个不同的版本？有些时候模板里留了参数占位符，QA部署时填错了值，就会导致实例启动异常。检查实例状态检查结果
在EC2控制台看实例的「状态检查」项，分为系统状态检查和实例状态检查：- 如果系统状态检查失败，可能是AWS底层硬件问题，尝试重启或者终止重建实例；
- 如果实例状态检查失败，就是实例内部的启动问题，回到第一步看系统日志找线索。
内容的提问来源于stack exchange，提问作者Adi
