排查 Amazon EC2 Linux 实例的连接问题

1. 通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

2. 在导航窗格中，选择 Instances (实例)，然后选择您的实例。

3. 在控制台页面底部的 Security (安全) 选项卡上的 Inbound rules (入站规则) 下，检查对所选实例生效的规则列表。验证是否有允许流量从本地计算机到端口 22（SSH）的规则。

   如果您的安全组没有允许来自您的本地计算机的入站流量的规则，请向您的安全组添加一条规则。有关更多信息，请参阅 用于从您的计算机连接到实例的规则。

4. 对于允许入站流量的规则，请检查 Source（源）字段。如果该值是单个 IP 地址，并且如果该 IP 地址不是静态的，则每次重新启动计算机时都会分配一个新的 IP 地址。这将导致该规则不包括您计算机的 IP 地址流量。如果您的计算机位于企业网络上，或者当您通过互联网服务提供商 (ISP) 进行连接时，抑或您的计算机的 IP 地址是动态的，则该 IP 地址可能不是静态的，并且每次重新启动计算机时都会更改。为了确保您的安全组规则允许来自您的本地计算机的入站流量，应该指定您的客户端计算机使用的 IP 地址的范围，而不是为 Source（源）指定单个 IP 地址。

   有关安全组规则的更多信息，请参阅Amazon VPC 用户指南中的安全组规则。

1. 通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

2. 在导航窗格中，选择 Instances (实例)，然后选择您的实例。

3. 在 Networking (联网) 选项卡上，记下 VPC ID 和 Subnet ID (子网 ID) 的值。

4. 通过以下网址打开 Amazon VPC 控制台：https://console.aws.amazon.com/vpc/。

5. 在导航窗格中，选择 Internet Gateways（互联网网关）。验证是否有 Internet 网关附加到您的 VPC。否则，请选择 Create internet gateway (创建 Internet 网关)，为 Internet 网关输入名称，然后选择 Create internet gateway (创建 Internet 网关)。然后，对于您创建的 Internet 网关，依次选择 Actions (操作)、Attach to VPC (附加到 VPC)，选择您的 VPC，然后选择 Attach internet gateway (附加 Internet 网关) 将其附加到您的 VPC。

6. 在导航窗格中，选择 Subnets，然后选择您的子网。

7. 在 Route Table (路由表) 选项卡上，验证 0.0.0.0/0 的路由是否为目的地以及您的 VPC 的 Internet 网关是否为目标。如果您使用实例的 IPv6 地址连接到实例，请检查是否有一个路由可以将所有 IPv6 流量 (::/0) 指向 Internet 网关。否则请执行以下操作：

   1. 选择路由表的 ID (rtb-xxxxxxxx) 以导航到路由表。

   2. 在 Routes（路由）选项卡上，选择 Edit routes（编辑路由）。选择 Add route (添加路由)，将 0.0.0.0/0 用作目的地并将 Internet 网关用作目标。对于 IPv6，选择 Add route (添加路由)，将 ::/0 用作目的地并将 Internet 网关用作目标。

   3. 选择 Save routes（保存路由）。

检查子网的网络访问控制列表 (ACL)。

该网络 ACL 必须允许端口 22 上来自本地 IP 地址的入站 SSH 流量。还须允许到临时端口 (1024-65535) 的出站流量。

1. 通过以下网址打开 Amazon VPC 控制台：https://console.aws.amazon.com/vpc/。

2. 在导航窗格中，选择 Subnets(子网)。

3. 选择您的子网。

4. 对于 Inbound rules (入站规则)，请在 Network ACL (网络 ACL) 选项卡上验证这些规则是否允许来自所需端口的计算机的入站流量。如果不允许，请删除或修改阻止该流量的规则。

5. 对于 Outbound rules (出站规则)，验证规则是否允许到您的计算机临时端口的出站流量。如果不允许，请删除或修改阻止该流量的规则。

如果未正确配置私有密钥文件，请按照下列步骤解决该错误

1. 创建新的密钥对。有关更多信息，请参阅 使用 Amazon EC2 创建密钥对。

   注意

   另外，您也可以使用第三方工具创建新的密钥对。有关更多信息，请参阅 使用第三方工具创建密钥对，并将公有密钥导入 Amazon EC2。

2. 将新密钥对添加到您的实例。有关更多信息，请参阅我丢失了私有密钥。如何连接到我的实例？。

3. 使用新的密钥对连接到实例。

1. 通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

2. 在导航窗格中，选择 Instances (实例)，然后选择您的实例。

3. 在 Details （详细信息) 选项卡的 Instance details (实例详细信息) 下，验证 Key pair name (密钥对名称) 的值。

4. 如果您启动实例时没有指定密钥对，则可以终止实例并启动新实例，从而确保指定密钥对。如果这是您一直使用的实例，但您不再有密钥对的 .pem 文件，则可以使用新的密钥对取代该密钥对。有关更多信息，请参阅我丢失了私有密钥。如何连接到我的实例？。

在您的实例上验证权限

1. 停止您的实例并分离根卷。有关更多信息，请参阅 启动和停止 Amazon EC2 实例。

2. 在当前实例所在的可用区中启动一个临时实例 (使用与您用于当前实例的 AMI 类似或相同的 AMI)，并将根卷附加到此临时实例。

3. 连接临时实例，创建一个挂载点并挂载您附加的卷。

4. 在临时实例中，检查附加的卷的 /home/instance-user-name/ 目录的权限。如有必要，按如下方式调整权限：

   [ec2-user ~]$ chmod 600 mount_point/home/instance-user-name/.ssh/authorized_keys

   [ec2-user ~]$ chmod 700 mount_point/home/instance-user-name/.ssh

   [ec2-user ~]$ chmod 700 mount_point/home/instance-user-name

5. 卸载该卷，将其与临时实例分离，然后将其重新附加到原来的实例。确保为根卷指定正确的设备名称；例如，/dev/xvda。

6. 启动您的实例。如果不再需要临时实例，可以终止它。

1. 导航到您的 .pem 文件。

2. 右键单击 .pem 文件并选择 Properties（属性）。

3. 选择安全性选项卡。

4. 选择 Advanced (高级)。

5. 验证您是否是文件的所有者。如果不是，请将所有者更改为您的用户名。

6. 选择 Disable inheritance (禁用继承) 和 Remove all inherited permissions from this object (从此对象中删除所有继承的权限)。

7. 选择 Add (添加)、Select a principal (选择委托人)，输入您的用户名，然后选择 OK (确定)。

8. 从 Permission Entry (权限条目) 窗口，授予 Read (读取) 权限，然后选择 OK (确定)。

9. 单击 Apply（应用）以确保所有设置都已保存。

10. 选择 OK (确定) 关闭 Advanced Security Settings (高级安全设置) 窗口。

11. 选择 OK (确定) 关闭 Properties (属性) 窗口。

12. 您应该能够使用 SSH 从 Windows 连接到 Linux 实例。

1. 在命令提示符下，导航到 .pem 文件的文件路径位置。

2. 运行以下命令以重置和删除显式权限：

   icacls.exe $path /reset

3. 运行以下命令以向当前用户授予读取权限：

   icacls.exe $path /GRANT:R "$($env:USERNAME):(R)"

4. 运行以下命令以禁用继承并删除继承的权限。

   icacls.exe $path /inheritance:r

5. 您应该能够使用 SSH 从 Windows 连接到 Linux 实例。

1. 使用 EC2 Instance Connect 以外的方法连接到实例。

2. 在您的实例上使用以下命令将 ec2-instance-connect 软件包更新到最新版本。

   apt update && apt upgrade

获取有关原始实例的信息

1. 通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

2. 在导航窗格中选择 Instances (实例)，然后选择要连接到的实例。（我们将此称为原始实例。）

3. 在 Details（详细信息）选项卡上，记下实例 ID 和 AMI ID。

4. 在 Networking（网络）选项卡上，记下可用区。

5. 在 Storage（存储）选项卡的 Root device name（根设备名称）下，记下根卷的设备名称（例如 /dev/xvda）。然后，在 Block devices（块存储设备）下，查找此设备的名称并记下卷 ID（例如 vol-0a1234b5678c910de）。

启动临时实例

1. 在导航窗格中，选择 Instances（实例），然后选择 Launch instances（启动实例）。

2. 在 Name and tags（名称和标签）部分，对于 Name（名称），输入 Temporary（临时）。

3. 在 Application and OS Images（应用程序和操作系统映像）部分中，选择您启动原始实例时所用的 AMI。如果此 AMI 不可用，您可以创建一个可在已停止的实例中使用的 AMI。有关更多信息，请参阅 创建 Amazon EBS-backed AMI。

4. 在 Instance type（实例类型）部分中，保留默认的实例类型。

5. 在 Key pair（密钥对）部分中，对于 Key pair name（密钥对名称），选择现有密钥对进行使用或创建新密钥对。

6. 在 Network settings（网络设置）部分，选择 Edit（编辑），然后为 Subnet（子网），选择与原始实例位于同一可用区的子网。

7. 在 Summary（摘要）面板中，选择 Launch（启动）。

1. 在导航窗格中，选择 Volumes（卷），并选择原始实例的根设备卷（您已在上一步骤中记下它的卷 ID）。依次选择 Actions（操作）、Detach Volume（分离卷），然后选择 Detach（分离）。等待卷的状态变为 available。（您可能需要选择“刷新”图标。）

2. 如果卷仍保持选中状态，则选择 Actions（操作），然后选择 Attach Volume（附加卷）。选择临时实例的实例 ID，记下在 Device name（设备名称）下指定的设备名称（例如 /dev/sdf），然后选择 Attach volume（附加卷）。

   注意

   如果已从 Amazon Web Services Marketplace AMI 启动原始实例，并且卷包含 Amazon Web Services Marketplace 代码，则必须先停止临时实例，然后才能附加卷。

1. 连接到临时实例。

2. 在临时实例中，挂载附加到实例的卷以访问其文件系统。例如，如果设备名称为 /dev/sdf，请使用以下命令将卷挂载为 /mnt/tempvol。

   注意

   您的实例上显示的设备名称可能不同。例如，作为 /dev/sdf 挂载的设备可能在实例上显示为 /dev/xvdf。某些版本的 Red Hat（或其变体，如 CentOS）甚至可能将尾部字母增加 4 个字符，其中 /dev/sdf 成为 /dev/xvdk。

   1. 使用 lsblk 命令确定卷是否已分区。

      [ec2-user ~]$ lsblk
      NAME    MAJ:MIN RM  SIZE RO TYPE MOUNTPOINT
      xvda    202:0    0    8G  0 disk
      └─xvda1 202:1    0    8G  0 part /
      xvdf    202:80   0  101G  0 disk
      └─xvdf1 202:81   0  101G  0 part
      xvdg    202:96   0   30G  0 disk

      在前一个示例中，/dev/xvda 和 /dev/xvdf 是分区卷，而 /dev/xvdg 不是。如果您的卷已分区，则应在后续步骤中挂载分区 (/dev/xvdf1))，而不是原始设备 (/dev/xvdf)。

   2. 创建临时目录以挂载卷。

      [ec2-user ~]$ sudo mkdir /mnt/tempvol

   3. 使用之前确定的卷名称或设备名称在临时挂载点挂载卷（或分区）。所需命令取决于操作系统的文件系统。请注意，您的实例上显示的设备名称可能不同。有关更多信息，请参阅步骤 6 中的 note。

      • Amazon Linux、Ubuntu 和 Debian

        [ec2-user ~]$ sudo mount /dev/xvdf1 /mnt/tempvol

      • Amazon Linux 2、CentOS、SUSE Linux 12 和 RHEL 7.x

        [ec2-user ~]$ sudo mount -o nouuid /dev/xvdf1 /mnt/tempvol

   注意

   如果您收到说明文件系统受损的错误，请运行以下命令以使用 fsck 实用程序检查文件系统并修复任何问题：

   [ec2-user ~]$ sudo fsck /dev/xvdf1

3. 在临时实例中，借助临时实例 authorized_keys 中的新公有密钥，在已挂载卷上使用以下命令更新 authorized_keys。

   重要

   以下示例使用 Amazon Linux 用户名 ec2-user。您可能需要使用其他用户名来替换，例如对于 Ubuntu 实例为 ubuntu。

   [ec2-user ~]$ cp .ssh/authorized_keys /mnt/tempvol/home/ec2-user/.ssh/authorized_keys

   如果复制成功，则可以转到下一步骤。

   （可选）如果您没有权限编辑 /mnt/tempvol 中的文件，您必须使用 sudo 更新文件，然后检查文件的权限，以验证您是否能够登录原始实例。请使用以下命令检查文件权限。

   [ec2-user ~]$ sudo ls -l /mnt/tempvol/home/ec2-user/.ssh
   total 4
   -rw------- 1 222 500 398 Sep 13 22:54 authorized_keys

   在这个输出示例中，222 是用户 ID；500 是组 ID。接下来，请使用 sudo 重新运行失败的复制命令。

   [ec2-user ~]$ sudo cp .ssh/authorized_keys /mnt/tempvol/home/ec2-user/.ssh/authorized_keys

   再次运行以下命令以确定权限是否已更改。

   [ec2-user ~]$ sudo ls -l /mnt/tempvol/home/ec2-user/.ssh

   如果用户 ID 和组 ID 已经更改，请使用以下命令进行恢复。

   [ec2-user ~]$ sudo chown 222:500 /mnt/tempvol/home/ec2-user/.ssh/authorized_keys

1. 在临时实例中，卸载已附加的卷，以将其重新附加到原始实例。例如，使用以下命令卸载 /mnt/tempvol 处的卷。

   [ec2-user ~]$ sudo umount /mnt/tempvol

2. 从临时实例中分离卷（您在上一步中卸载了该卷）：从 Amazon EC2 控制台，在导航窗格中选择 Volumes（卷），为原始实例选择根设备卷（您在上一步中记下了卷 ID），依次选择 Actions（操作）、Detach volume（分离卷），然后选择 Detach（分离）。等待卷的状态变为 available。（您可能需要选择“刷新”图标。）

3. 将卷重新附加到原始实例：在卷仍保持选中状态时，选择 Actions（操作），然后选择 Attach Volume（附加卷）。选择原始实例的实例 ID，请指定您以前在步骤 2 中记下的原始根设备附加的设备名称（/dev/sda1 或 /dev/xvda），然后选择 Attach volume（附加卷）。

   重要

   如果您不指定与原始附加相同的设备名称，则无法启动原始实例。Amazon EC2 要求根设备卷位于 sda1 或者 /dev/xvda。