部署在Amazon EC2上的Tomcat无法从AWS外部访问的排查求助

看起来你已经排查了安全组但还是卡壳了，我来帮你梳理几个容易漏掉的关键点，一步步来定位问题：

1. 确认Tomcat是否绑定了所有网卡（而非仅localhost） #

这是最常见的“隐形坑”！默认情况下，部分Tomcat配置会把Connector仅绑定到127.0.0.1，这样只有实例内部能访问，外部请求根本进不来。

• 打开Tomcat安装目录下的conf/server.xml，找到Connector节点：

  <Connector port="8080" protocol="HTTP/1.1"
             connectionTimeout="20000"
             redirectPort="8443" />
  

• 添加address="0.0.0.0"属性，让Tomcat监听所有可用IP地址：

  <Connector port="8080" protocol="HTTP/1.1"
             connectionTimeout="20000"
             redirectPort="8443"
             address="0.0.0.0" />
  

• 重启Tomcat服务，然后在EC2实例上用命令验证监听状态：

  netstat -ano | findstr :8080
  

  输出里如果看到0.0.0.0:8080或者你的弹性IP地址，说明绑定正确；如果只有127.0.0.1:8080，那就是绑定问题导致的外部无法访问。

2. 检查Windows本地防火墙规则 #

AWS安全组是第一道防线，但EC2实例本身的Windows防火墙也可能偷偷拦截8080端口的请求：

• 打开「Windows Defender防火墙」→「高级设置」→「入站规则」
• 确认是否有允许TCP 8080端口的规则；如果没有，新建一条：
  • 规则类型选「端口」，下一步选择「TCP」，指定本地端口8080
  • 允许连接，应用到所有网络类型，命名后保存
• 可以先临时关闭Windows防火墙测试一下，如果能访问了，就说明是本地防火墙的问题，调整规则即可。

3. 验证EC2子网的网络配置 #

即使有弹性IP，如果实例所在的子网是私有子网（没有关联互联网网关），外部还是无法访问：

• 登录AWS控制台，进入EC2实例详情页面，找到实例所属的「子网」
• 点击子网ID，查看子网的「路由表」
• 确认路由表中有一条目标为0.0.0.0/0、指向互联网网关（IGW）的路由条目；如果没有，说明是私有子网，需要调整路由表或者把实例迁移到公有子网。

4. 检查网络ACL（子网级防火墙） #

网络ACL是子网层面的安全控制，默认允许所有入站出站，但如果被修改过，可能会阻断8080端口：

• 在子网详情页面，找到关联的「网络ACL」
• 检查入站规则：是否允许TCP 8080端口（来源0.0.0.0/0），规则优先级要足够高（数字越小优先级越高）
• 检查出站规则：是否允许所有出站流量（或者至少允许响应端口，比如1024-65535的TCP端口）

5. 测试基础连通性与Tomcat状态 #

先排除应用本身的问题，测试Tomcat默认页面是否能访问：

• 在外部机器上尝试访问 弹性IP:8080，如果能看到Tomcat的默认欢迎页面，说明网络和Tomcat配置没问题，问题出在/myapp应用的部署上：
  • 检查webapps目录下是否有myapp文件夹或者myapp.war包（是否已自动解压）
  • 查看Tomcat的localhost.log或catalina.out日志，看有没有应用部署失败的报错
• 如果连默认页面都打不开，用telnet 弹性IP 8080或者curl -v 弹性IP:8080测试连通性：
  • 如果连接超时，说明网络层面（安全组、本地防火墙、子网路由、网络ACL）还有阻断
  • 如果连接被拒绝，说明Tomcat没在监听8080端口，回到第一步检查Tomcat配置

6. 确认弹性IP的关联状态 #

有时候弹性IP可能没正确绑定到实例：

• 在EC2实例详情页面，查看「弹性IP」部分，确认显示的是你的弹性IP地址
• 如果没有关联，重新绑定一次；如果已经关联，可以尝试解绑再重新绑定，确保绑定生效

内容的提问来源于stack exchange，提问作者roger_that