AWS个人账号 AWS亚马逊云轻量服务器内网互通

前言：轻量服务器也会“社恐”

你有没有遇到过这种场景：明明同一个账号、同一个地区、甚至看起来“都在一个云里”，结果两台轻量服务器互相访问就像隔着一面玻璃墙——公网上能看见你，内网里却装作不认识。于是你开始在控制台里点来点去：开安全组？改端口？加白名单？加完还是不通。你怀疑人生：难道轻量服务器天生就自带“社恐属性”，只愿意跟公网聊天？

先别急。只要抓住本质：要实现“AWS 亚马逊云轻量服务器内网互通”，核心不是“轻量是不是轻量”，而是网络基础三件套——VPC/子网规划、路由与目标可达性、以及安全策略（安全组/防火墙）。只要这三件套对上，内网互通就会变得非常朴素，不需要玄学。

先把概念捋顺：你到底想互通什么？

“内网互通”可能包含多个层面，不同目标对应的方案也不同。你先确认你要的是哪一种：

• 服务器之间能直接互访：比如 A 服务器访问 B 服务器的私网 IP（10.x.x.x 或 172.x.x.x）。
• 私有服务对外可访问：比如只允许内部访问数据库，但对外通过跳板/反向代理。
• 跨子网/跨区域的互通：这种难度更高，需要路由/VPC Peering 或 Transit Gateway 等组件。

本文主要聚焦最常见的需求：同一地区、在同一 VPC（或等价网络域）内的轻量服务器之间，实现基于私网 IP 的互通。如果你的需求是跨区域或跨 VPC，那就得另说。

AWS 网络“骨架”：VPC、子网、路由、网关

想象 AWS 网络像城市。你现在的任务是让两台车在同一城市里跑到彼此家门口，而不是在高速公路（公网）上绕圈。

1）VPC：城市边界

VPC 是你的“城市”。只要在同一 VPC 内，私网地址通常就具备基本可达性（前提是路由和安全策略不阻拦）。

很多人卡住的点是：两台轻量服务器并不在同一个 VPC（或并不共享同一网络域），那它们的“内网”就不是同一张网。

2）子网：街区

子网可以理解为街区。两台服务器在同一 VPC 不等于一定在同一子网，但只要路由正确，它们通常仍能互通。

3）路由表：你得告诉车怎么走

路由决定了“到目标网络怎么转发”。如果两台服务器属于同一 VPC，一般由 VPC 的默认路由自动处理。但如果你自己改过路由，或者在更复杂场景用了自定义路由，可能会把路径掐断。

4）网关与地址：别把门锁搞错

轻量服务器通常默认开通到互联网的能力，但那是公网路由。我们讨论的是私网通信，所以关键是私网接口是否可达。

策略核心：安全组是“门卫”，不是“建议”

如果说网络是道路，那安全组就是门卫。你再有路也没用——门卫不放行，你就别想进小区。

实现内网互通时，通常你需要做两类事：

• 入站规则（Inbound）允许对方来源访问：例如允许 10.0.2.10 的请求访问本机的 22/80/443 等端口。
• 出站规则（Outbound）通常放行：如果出站默认允许大多数场景，就不用动；但如果你非常“严格控制出站”，也需要检查。

很多人只改了一边：A 服务器的安全组允许入站，但 B 不允许出站，或者反过来。你会发现现象像“半夜敲门”，对方明明听到了但就是不回应。

轻量服务器的内网互通：最常见的正确路径

下面给你一个相对通用、可操作的思路。不同账户界面名字可能略有差异，但逻辑基本一致。

第一步：确认两台服务器属于同一网络域

AWS个人账号 打开两台轻量服务器的详细信息，找到私网地址，并确认它们的网络归属一致性：

• 同一 VPC（或等价的网络环境）
• 私网地址处于同一地址段或可路由的地址段

如果你发现两台服务器的私网地址段完全不同且没有路由关系，那内网互通基本属于“梦中相见”。解决思路通常是：把它们放到同一 VPC / 子网，或者使用 VPC Peering / Transit Gateway（更复杂）。

AWS个人账号 第二步：让它们“认识彼此”的私网 IP

登录 A 服务器，查看自己的私网 IP；登录 B 服务器，查看 B 的私网 IP。然后用其中一台去 ping（如果系统允许），或者用端口探测工具检查端口是否可达。

如果你不想装工具，也可以用最简单的方式：

• Linux：ping（仅 ICMP，很多安全策略会禁）
• Linux：telnet 或 nc（探测 TCP 端口）

注意：很多生产环境会禁用 ICMP，所以 ping 不通不代表一定互通失败。更可靠的是检查目标端口。

第三步：在安全组里放行“内网来源”到你的服务端口

假设你要实现以下服务互访：

• SSH：22
• Web：80/443
• 数据库：3306/5432 等

你需要在“目标服务器”的安全组中添加入站规则：

• 来源：可以填 A 服务器的私网 IP（最精确）
• 端口：对应服务端口
• 协议：TCP/UDP

有些人喜欢图省事把来源设为 0.0.0.0/0，但这对安全性极其不友好，像是你把家门钥匙直接挂在门外的钉子上。内网互通建议用对方私网 IP 或者对方安全组作为来源。

AWS个人账号 第四步：必要时调整网络 ACL（如果你的环境用了）

在很多典型场景里，安全组就够了。但如果你使用了网络访问控制列表（NACL）并且它更严格，那么也会拦截流量。检查 NACL 的入站/出站规则是否允许目标端口。

如果你从来没动过 NACL，一般默认是允许同一子网内流量，概率较低。但你既然问“怎么内网互通”，那说明你已经在找原因了。那就把 NACL 当作第二嫌疑人。

端口和协议的“现实问题”：你以为你开了，其实没开

常见失败原因特别“朴素”：你以为你开了端口，但开的是别人的端口；或者你开了 TCP，但对方用的是 UDP；或者应用实际上监听在本机的 127.0.0.1，而不是 0.0.0.0。

应用监听地址：别让服务只住在自己的房间

如果你在服务器上启动了一个 Web 服务，默认有时可能只监听本机回环地址（127.0.0.1）。这会导致：即便网络安全组放行了，对方还是连不上。

检查方法：

• 确认服务监听的 IP：常见要监听 0.0.0.0 或指定私网 IP。
• 确认监听端口：不要开错端口。

这类问题简直是“你打开了门，但服务却没在门后”。

防火墙：系统层也可能挡

即使云端安全组放行，服务器本地还可能有防火墙（例如 UFW、iptables、firewalld）。

排查顺序建议是：云端安全组 → 本地监听 → 本地防火墙。

排障流程：照着做，别凭感觉加规则

当你遇到“还是不通”，不要一上来就疯狂添加 0.0.0.0/0，那样你会很快得到“看似通了但实际不可控”的结果。建议按以下顺序排查：

第一轮：确认目标与源是否同网

• 确认 A 的私网 IP 与 B 的私网 IP 是否位于同一 VPC/可路由网络
• 确认没有跨 VPC 无互联

第二轮：确认云端安全组入站出站

• 目标服务器安全组：是否允许来源为 A 私网 IP（或 A 安全组）的入站端口
• 源服务器安全组：出站是否允许到目标端口（通常默认放行，但别默认信任）

第三轮：确认实例本地监听与防火墙

• 目标服务是否监听在正确的网卡/地址
• 本地防火墙是否允许端口

第四轮：抓包/日志（只有你真的卡住才用）

如果前面都没问题，才考虑抓包。你可以在目标服务器上观察是否收到来自源服务器的连接请求。

一个具体示例：让两台轻量服务器互访 SSH 与 Web

假设你有两台轻量服务器：

• A：私网 IP = 10.0.1.10
• B：私网 IP = 10.0.1.20

你希望：

• A 能通过 SSH 登录 B（22端口）
• A 还能访问 B 的 Web（80端口）

在 B 的安全组添加规则（关键）

• 入站：TCP 22，来源 10.0.1.10
• 入站：TCP 80，来源 10.0.1.10

如果你要反过来 B 访问 A，则在 A 的安全组同样做对应规则。

在 B 的系统上确认服务监听

确保 SSH 正常监听（通常默认监听 0.0.0.0），Web 监听至少在 0.0.0.0:80 或 10.0.1.20:80。

在 A 上做验证

• ssh 10.0.1.20 -p 22
• curl http://10.0.1.20 或用浏览器访问

如果这里失败，就说明问题在云端安全组、路由可达性或本地监听/防火墙之一。

常见坑位：别让你在同一个坑里摔第二次

下面这些坑特别“常见”，而且每次都能让人重新怀疑人生。

坑 1：两台服务器不在同一 VPC（或网络域）

现象：怎么加安全组都不通，ping 不通，端口也连不上。

解决：把它们规划到同一网络域；如果必须跨域，用 VPC Peering/Transit Gateway 等方式建立网络互通。

坑 2：安全组放行了，但应用监听在 127.0.0.1

现象：端口在系统上看起来“开着”，但外部还是连不上。

解决：修改服务监听地址为 0.0.0.0 或私网 IP。

坑 3：只改了目标入站，忽略了源出站

现象：目标看不到连接，或连接超时。

解决：检查源实例的安全组出站规则是否限制过。

坑 4：系统防火墙挡在云安全组后面

现象：云端明明放行了，本地就是拒绝/丢弃。

解决：排查 UFW/iptables/firewalld。

AWS个人账号 安全建议：内网互通不是“越宽越好”

实现内网互通后，很多人会做一件事：把规则写得很“宽”。比如来源用 0.0.0.0/0，端口开一堆。说实话，这样虽然短期省事，但长期风险很大。

更推荐做法：

• 来源尽量填写对方私网 IP（或对方安全组）
• 端口尽量精确到业务需要的端口
• 对外访问（如果有）尽量走反向代理/堡垒机，不要直连

总结：把网络当“工程”，别当“祈祷”

实现 AWS 亚马逊云轻量服务器内网互通，答案并不是某个神秘按钮，而是一套可验证的工程流程：

• 先确认两台服务器处于同一 VPC/可路由网络域
• 再通过安全组放行目标端口（最好用对方私网 IP/安全组做来源限制）
• 最后检查服务器本地监听与防火墙

当你按这条路线排查，通常不会超过几轮就能定位问题。你会从“我感觉不通”升级为“我知道卡在这里”。这才是最爽的部分——不用靠运气，靠逻辑。

如果你愿意，也可以告诉我：你的两台轻量服务器分别在哪个 VPC/子网、私网 IP 段是什么、你要互通的端口是什么、以及你当前卡住的现象（超时还是拒绝）。我可以根据你的信息把排障路径进一步缩小到“精准打击”，让你少折腾。