AWS安全组ID引用失效，EC2实例端口连通异常求助

这个问题我之前排查过好多次，大概率是几个常见的安全组配置误区导致的，咱们一步步拆解解决：

核心排查点1：别用公网IP测试同VPC内的实例 #

如果你的两台EC2在同一个VPC里，千万别用公网IP来telnet 9300端口！因为当你用公网IP访问时，流量会绕到公网再返回，这时候AWS会把请求来源识别成实例A的公网IP，而非它所属的安全组——安全组基于ID的授权只对VPC内部的私有IP流量生效。

先换成实例B的私有IP测试：telnet <实例B私有IP> 9300，如果这时候能通，那问题就出在访问方式上了。

核心排查点2：安全组规则的来源是不是搞反了 #

既然配置特定IP能连通，说明实例B的9300端口本身是正常的。那用安全组ID授权时，一定要确认：

• 实例B的入站规则里，来源是实例A的安全组ID，不是实例B自己的安全组ID！很多人会不小心填成目标实例的安全组，这样只有实例B自己能访问自己，实例A肯定连不上。
• 规则的协议是TCP（9300一般是TCP端口，比如Elasticsearch默认端口），端口范围准确填9300，别选错UDP或者填错端口。

其他需要验证的细节 #

• 实例A是否真的属于你授权的安全组？ 去EC2控制台查看实例A的「安全组」标签，或者用AWS CLI命令确认：

  aws ec2 describe-instances --instance-ids <实例A的ID> --query 'Reservations[].Instances[].SecurityGroups[].GroupId'
  

  输出的ID要和你在实例B入站规则里填的完全一致。
• 实例A的出站规则是否限制了流量？ 默认的default安全组出站是允许所有流量的，但如果你修改过，要确认出站规则允许TCP到9300端口，或者至少允许所有出站TCP流量。
• 网络ACL有没有拦着？ 虽然IP授权能通说明ACL大概率没问题，但还是可以检查一下子网的ACL：入站要允许TCP 9300，出站要允许TCP临时端口（1024-65535）——因为实例A发起连接时用的是临时端口，响应要走这个端口回来。

总结解决步骤 #

1. 同VPC内实例改用私有IP测试9300端口连通性；
2. 修正实例B的入站规则，确保来源是实例A的安全组ID，协议和端口正确；
3. 验证实例A的安全组归属和出站规则；
4. 确认子网网络ACL未限制相关流量。

内容的提问来源于stack exchange，提问作者Prabhu shanmughapriyan