EC2实例部署Consul后无法通过公网Curl连接求助

这问题我之前帮同事排查过类似的，结合EC2和Consul的配置逻辑，大概率是以下几个容易被忽略的点：

• Consul服务的监听地址未对外开放
  这是最常见的坑！默认情况下，Consul Agent的client_addr参数绑定的是127.0.0.1，意味着它只接受本地请求，哪怕安全组开了端口，外部请求也无法连接到服务监听的端口。你可以在EC2实例上执行命令：

  netstat -tulpn | grep 8500
  

  如果输出里的监听地址是127.0.0.1:8500，那就是这个问题。解决办法是修改Consul的配置文件（比如/etc/consul.d/consul.hcl），将client_addr设置为0.0.0.0或者EC2的私有IP，之后重启Consul服务即可。

• 子网级别的网络ACL限制
  安全组是实例级别的访问控制，但VPC的子网还有一层网络ACL（Access Control List），如果子网的网络ACL没有允许8500端口的入站流量，也会导致连接被拒绝。你需要进入AWS控制台的VPC服务，找到EC2实例所在的子网，检查对应的网络ACL：

  • 入站规则要添加允许0.0.0.0/0访问8500端口的条目
  • 出站规则要允许对应的返回流量（默认网络ACL一般允许所有出站，但若自定义了规则需确认）

• EC2实例内部的本地防火墙拦截
  很多Linux发行版默认启用了firewalld或者iptables，这些本地防火墙可能会挡住外部对8500端口的访问。你可以先临时关闭防火墙测试：

  # 针对firewalld
  systemctl stop firewalld
  # 针对iptables
  iptables -F
  

  如果关闭后能正常访问，就需要在本地防火墙中添加允许8500端口的规则，确保永久生效。

• Consul的ACL访问控制限制
  虽然Consul默认不启用ACL，但如果之前配置过ACL策略，可能不小心设置了拒绝外部来源的请求。你可以检查Consul的配置文件中是否有acl相关的配置段，或者执行命令查看现有策略：

  consul acl policy list
  

  如果存在限制公网IP的策略，需要调整规则或者暂时禁用ACL测试。

• 公网IP的有效性与路由配置
  首先确认你使用的公网IP是当前EC2实例的——如果实例没有绑定弹性IP，重启后公网IP会发生变化。另外，检查实例所在子网的路由表，确保有指向**Internet Gateway（IGW）**的默认路由条目，否则公网流量无法到达实例。

内容的提问来源于stack exchange，提问作者Chris Maness