Cloudwatch VPC 接口端点超时

Question

我正在尝试将我的 EC2 主机设置连接到私有子网中，以将日志发布到云手表。我已经为 com.amazonaws.us-east-1.logs 设置了一个 VPC 接口端点。 接口端点和 EC2 都在私有子网中。

我的安全组

1. 接口端点的安全组规则

   入站规则

   类型协议端口范围目标

   所有 TCP TCP 0 - 65535 sg-OfEC2Server

   出站规则 - 无

2. EC2 的安全组规则

   入站规则 - 无

   出站规则

   类型协议端口范围目标

   所有 TCP TCP 0 - 65535 sg-OfInterfaceEndpoint

cloudwatch 代理一直超时，所以我感觉我的安全组规则存在问题，但故障排除步骤没有任何帮助。

Answer 1

我重新创建您的设置，但在使用与您相同的安全组时遇到了同样的问题。

我发现问题是由以下出站规则引起的：

所有 TCP TCP 0 - 65535 sg-OfInterfaceEndpoint

这允许 EC2 仅连接到接口端点，而不能连接到其他任何地方。将其更改为我的 VPC (10.1.0.0/16) 的 CIDR 解决了问题，我可以使用接口端点。

我认为超时的根本原因是使用原始出站规则，您（和我的）私有实例无法连接到 VPC 的 DHCP 或 DNS 服务器。随后，无法解析logs端点的DNS名称。