为什么即使允许 ICMP 流量，我也无法 ping ec2 实例但可以 SSH答案

【问题标题】：Why is it that I cannot ping an ec2 instance but can SSH, even with ICMP traffic allowed为什么即使允许 ICMP 流量，我也无法 ping ec2 实例但可以 SSH
【发布时间】：2020-09-17 16:00:15
【问题描述】：

我有一个带有标准 Amazon Linux 2 AMI 的 EC2 实例。它位于具有以下入站规则的安全组中：

SSH TCP 22  0.0.0.0/0   -
Custom ICMP - IPv4  Echo Request    N/A 0.0.0.0/0   -

出站规则：

All traffic All All 0.0.0.0/0   -

我可以从我的 MacOS 命令行通过 SSH 连接到实例，但是 ping 失败并显示：

PING 152.87.216.125 (152.87.216.125): 56 data bytes
Request timeout for icmp_seq 0
Request timeout for icmp_seq 1
Request timeout for icmp_seq 2
Request timeout for icmp_seq 3
Request timeout for icmp_seq 4
Request timeout for icmp_seq 5

当然，它分配了一个公共 IP，它位于具有互联网网关的 VPC 的子网中，与之关联的 NACL 如下所示：

100
ALL Traffic
ALL
ALL
0.0.0.0/0
ALLOW
*
ALL Traffic
ALL
ALL
0.0.0.0/0
DENY

出站规则：

100
ALL Traffic
ALL
ALL
0.0.0.0/0
ALLOW
*
ALL Traffic
ALL
ALL
0.0.0.0/0
DENY

我能够成功 ping google.com。

我对 ping 和网络层了解得不够多，不知道下一步该去哪里寻找为什么这不起作用。有什么想法吗？

【问题讨论】：

旁注： 使用Ping 来诊断网络问题通常不是一个好主意，因为它所做的所有测试都会使Ping 有效，但不能测试可能需要的网络配置。例如，如果使用 SSH 诊断问题，那么最好使用 SSH 测试网络连接而不是 Ping，因为使用 Ping 成功 Ping 并不能保证使用 SSH 成功。你的测试结果就是一个很好的例子。
好消息-谢谢

标签： amazon-web-services amazon-ec2 ping aws-security-group

【解决方案1】：

禁用我的 MacOS 防火墙并没有解决问题，但连接到我的移动热点却解决了问题。我的 ISP 必须阻止某些传入的 ICMP 请求。有趣的是，ping google.com 以及 ping 其他鲜为人知的主机（如 spysmiles.com）都有效。

【讨论】：