華為雲帳號註冊服務 華為雲國際站ECS實例無法訪問外網解決方法

第一章：問題表象與本質

你遇到的「ECS 實例無法訪問外網」，通常不是單一原因造成，而是多個網路環節中某一環斷了鏈路。外網訪問包含了至少三個層次：實例自身的網路配置、華為雲 VPC/子網的路由與轉發策略、以及安全策略（安全組/ACL/防火牆）。只要其中任何一處不匹配，你就會看到瀏覽器超時、ping 不通、yum/apt 下載失敗，或是偶發能連但延遲巨高。

在國際站環境下，還可能叠加「是否需要 NAT 才能出網」「實例是否配置了可用的 EIP」「子網路由表是否指向正確的出口」等差異。很多人會直接重啟、甚至重裝系統，但這往往解決不了根因。更有效的做法是：先在實例上做網路層定位，再回到雲端網路層逐項修正。

第二章：先做快速判斷，分清是 DNS、路由還是防火牆

在雲上排查，最忌諱一上來就改一堆設定。你應該先用幾個命令把問題分型，這樣後續修復會快很多。

小節一：DNS 解析是否正常

在 ECS 上執行：

cat /etc/resolv.conf
nslookup google.com 或 dig google.com

如果 DNS 解析都失敗（例如一直超時、顯示 SERVFAIL），你需要先處理 DNS。雲端環境的 DNS 可能與你子網配置或 DHCP 下發一致，但也有例外：例如你手動改過 /etc/resolv.conf，或系統啟動後被腳本覆蓋成不可用地址。

如果 DNS 解析正常，但仍無法訪問外網，則多半是路由或安全策略。

小節二：用 IP 測試連通性

假設 google.com 能解析到 IP，例如 142.250.x.x，你可以直接：

ping -c 3 142.250.XX.XX
curl -I https://1.1.1.1（測試連到可訪問站點）

若用 IP 仍不通，通常不是 DNS 的問題，而是出網路由、NAT/EIP、或安全策略。

小節三：檢查出站端口是否被阻斷

外網訪問通常需要至少：TCP 80/443，必要時還有 NTP（UDP 123）、SSH（僅影響你是否能管理，不影響出網）。你可以測：

curl -I https://www.google.com --connect-timeout 5

如果 curl 顯示「連線逾時」而非「TLS 證書錯誤」，那多半是連通性被擋。反之如果顯示 TLS 錯誤，那只是站點/時間/證書問題，通常不是「無法訪問外網」的主因。

第三章：雲端層最常見原因——缺少正確出網路由或 NAT

在 VPC 網路裡，子網對外是否可達，主要看兩件事：路由表以及出口設施（NAT 或 EIP）。很多人把安全組當成唯一兇手，但實務上「沒有出口路由」或「NAT 沒掛上」的比例更高。

小節一：確認子網是否需要 NAT 才能上外網

如果你的 ECS 沒有綁定公網可直達的 IP（例如沒有彈性公網地址 EIP），而它所在的子網走的是私有路由，那通常必須依賴 NAT Gateway 或同類型出口能力，才能把私網流量轉發到互聯網。

你要在雲端查看：

• 華為雲帳號註冊服務 該 ECS 所屬的 VPC/子網
• 子網的路由表規則
• 是否存在指向「Internet gateway」或「NAT gateway」的 0.0.0.0/0（或等價規則）
• NAT 是否處於可用狀態，且與該子網關聯正確

如果你看到路由表只有內網網段（例如 VPC CIDR、同區域子網 CIDR），卻缺少對外的 0.0.0.0/0，那實例就只能在私網內互通，外網自然不可達。

小節二：路由表指向了錯誤的出口

有時候路由表看似「有了」，但目標不對，例如指向了不存在/不可用的 NAT、或 NAT 所在 zone 與實例不匹配、或路由類型不符合子網類型。這會導致流量被丟棄，表面現象仍是「超時」。

建議你核對：

• 路由規則的目的地是否包含所有外網（通常是 0.0.0.0/0 和 ::/0 兩套，視是否使用 IPv6）
• 下一跳是否是已綁定且可用的 NAT/EIP
• 子網與路由表是否正確關聯（避免你改了另一張路由表但實例實際用的是舊的）

小節三：EIP 直連模式也要核對安全與防火牆

如果你把 EIP 綁到 ECS，按理可以直接出網。但「能出網」不代表「能連到外網端口」。如果安全策略只允許了內網或僅允許特定目的端口，也會出現外網訪問失敗。

因此 EIP 模式下也要看安全組與 OS 防火牆。

第四章：安全策略層——安全組與 OS 防火牆的交集才是結果

華為雲的安全組本質上是狀態防火牆規則，對「入站」與「出站」都有影響；而 ECS 操作系統層（例如 firewalld、iptables、ufw）也會再做一遍限制。你要記住：只要其中任一層拒絕，就可能導致外網不通。而且錯誤配置常常是「入站開了，但出站沒開」或「只開了少數端口」。

小節一：檢查安全組出站規則（非常關鍵）

很多安全組示例只關注入站（例如只放行 SSH），卻忽略了出站。實例要連外網下載依賴（yum/apt、curl），通常需要出站：

• TCP 80（HTTP）
• TCP 443（HTTPS）
• 必要時 UDP 53（DNS）
• 必要時 UDP 123（NTP）

你可以臨時做最小測試：先把出站規則放寬到允許上述端口到「0.0.0.0/0」（或放行到常見解析服務的地址），再用 curl 測試。如果可通，代表路由和 NAT 大概率沒問題，主要是安全組或 OS 防火牆限制。

注意：測試完成後要把規則收回到你需要的範圍，避免安全面過寬。

小節二：檢查 OS 防火牆

在 Linux 上常見：

systemctl status firewalld
firewall-cmd --list-all

或：

iptables -S
ufw status

若你看到 OUTPUT 链有明確 DROP/REJECT，且沒有針對 TCP 80/443 和 UDP 53 的放行，那外網就很可能被阻斷。你可以先做臨時驗證（例如允許出站 80/443、或臨時暫停防火牆），再根據業務需求精細化。

小節三：雙向規則與狀態性誤解

安全組和 OS 防火牆多數是狀態防火牆，但「狀態性」不代表你可以完全不管出站。若規則是顯式拒絕，狀態也不會幫你。實務上最常見的是把 OUTPUT 設得過緊，導致外向連線無法建立。

第五章：系統層網路配置——路由、網關、DNS 都要核實

雲端網卡通常由平台管理，但仍可能因為鏡像差異、模板化腳本、或你曾手動改過導致配置不一致。

小節一：核對默認路由與網關

在 ECS 上執行：

ip route

你應該看到類似：

• VPC 內網路由（例如到 10.x 或 192.168.x 的路由）
• 默認路由 default via <gateway> dev <interface>

華為雲帳號註冊服務 如果 ip route 裡沒有 default route，或 default via 指向了不合理的地址（例如不存在的 gateway），那就算雲端路由表沒問題，實例也走不出來。這種情況可能是你手動修改過網卡配置後沒有恢復。

小節二：DNS 配置是否被覆蓋

再次核對：

cat /etc/resolv.conf
systemd-resolve --status（若系統使用 systemd-resolved）

若你發現 resolv.conf 指向的 DNS 不是可用地址（例如 127.0.0.53 但服務沒起來，或指向錯誤網段），你會看到解析失敗。即使你有路由出口，DNS 解析失敗也會導致「看似無法訪問外網」。

臨時解法是使用可用的公共 DNS 進行驗證（例如 1.1.1.1 或 8.8.8.8）。但正式環境建議以雲端提供的 DNS 或你企業內規的 DNS 為準，避免日後策略衝突。

小節三：代理環境與環境變量

如果你的公司或特定鏡像使用了 HTTP(S)_PROXY 或自動代理腳本，你需要檢查：

env | grep -i proxy

若代理地址無法連通，你就會看到超時。這種問題常被誤判為「雲網路不通」。最簡單的方法是臨時 unset 代理再測：

unset http_proxy https_proxy HTTP_PROXY HTTPS_PROXY

然後重試 curl/yum。

第六章：定位順序建議——照著做通常能最快修好

下面提供一個實戰順序，你可以把它當成檢查清單。重點是「先在實例上做最小驗證，再回到雲端修出口」。

小節一：先確認能否解析與連到外網 IP

• nslookup/dig 測 DNS
• 華為雲帳號註冊服務 用 curl/ping 測外網 IP

華為雲帳號註冊服務 若 DNS 失敗 → 修 DNS（系統或安全/出站 UDP 53）

若 IP 也不通 → 主要查路由/NAT/安全出站

小節二：檢查雲端子網路由表是否有出網規則

• 是否存在 0.0.0.0/0（IPv4）對應下一跳（NAT 或 IGW）
• 子網是否綁了正確路由表
• NAT 是否可用且關聯該子網

小節三：安全組出站與 OS 防火牆放行

• 安全組允許出站到外網的 80/443（以及 UDP 53 若需要 DNS）
• OS 防火牆 OUTPUT 不拒絕

華為雲帳號註冊服務 小節四：最後再處理 IPv6/特定網段策略

若你的系統或應用優先用 IPv6，但雲環境 IPv6 出口未配置，可能導致「看似外網失敗」。你可以：

• 檢查 ip -6 route
• 用 curl 時指定 IPv4，例如 curl -4

第七章：對應解法整理（快速對照表）

華為雲帳號註冊服務 很多文章只講理論，落地性不夠。下面把常見現象與解法對應起來，你可以直接對照。

小節一：nslookup 失敗，curl 也失敗

• 解法 1：檢查 ECS 的 resolv.conf 指向是否正確
• 華為雲帳號註冊服務 解法 2：安全組出站是否允許 UDP 53
• 解法 3：確認子網/網卡沒有特殊 DNS 轉發限制

小節二：nslookup 成功，但 curl 超時

• 解法 1：檢查子網路由表是否有 0.0.0.0/0 指向 NAT/出口
• 解法 2：安全組出站是否允許 TCP 80/443
• 解法 3：OS 防火牆是否阻斷 OUTPUT

小節三：能 curl 外網，但應用下載慢或間歇性失敗

• 解法 1：檢查時間同步（NTP/時鐘漂移可能引發 TLS 失敗）
• 華為雲帳號註冊服務 解法 2：檢查是否有代理、連線數限制、或 DNS 解析結果不穩定
• 解法 3：查看實例資源（CPU/IO）是否導致連線建立延遲

第八章：實際操作注意事項與回滾策略

修網路問題最怕兩件事：一是改錯方向、二是改了但沒有留痕。建議你在每次修改前記下當前狀態，修改後用同一套測試命令驗證，避免你無法判斷到底是哪一步奏效。

小節一：測試命令要固定

你可以固定用這三個測試：

• nslookup google.com
• curl -I https://www.google.com --connect-timeout 5
• ip route（或 ip -4 route）

每次調整後跑一遍，輸出差異會告訴你方向是否正確。

小節二：雲端配置修改後的生效時間

安全組、路由表、NAT 變更通常會有短暫生效時間。你不必一次次重啟 ECS。等待片刻後再測，並避免在生效窗口內做大量反覆變更。

小節三：回滾不要等到最後

例如你臨時放寬安全組出站規則來驗證。驗證通了就立刻收回，並記錄你當時放寬的是哪些規則。否則你後續會很難重現問題。

第九章：常見坑盤點（很多人都踩過）

為了避免你走冤枉路，這裡把最常見的坑列出來。

• 只放行入站，忘了出站（安全組 OUTPUT 被拒）
• 子網路由表沒有 0.0.0.0/0，或下一跳不是可用 NAT
• 更改了路由表但其實實例實際綁的是另一張路由表
• 系統把 DNS 指向了失效地址（鏡像腳本覆蓋）
• 有代理環境變量導致 curl 走代理失敗
• IPv6 路由缺失，但系統/應用優先使用 IPv6

第十章：如何建立長期穩定的出網方案

解決一次不難，難的是未來不再反覆。建議你把「出網策略」形成固定模板：選擇你要走 NAT 還是 EIP 直連，確定子網路由表規則、NAT 關聯、以及安全組出站最小集合。

如果你有多個 ECS，需要一致性，最好採用相同的安全組策略與路由表模板。對於運維用途，還要考慮應用依賴（DNS/時間/證書更新）的網路需求，避免「能上網但不能更新」或「能訪問但 TLS 失敗」這類更隱蔽的問題。

結語：用定位驅動修復，而不是憑感覺改配置

「華為雲國際站 ECS 實例無法訪問外網」多數時候不是神秘問題，而是網路鏈路上某一段沒有打通。你只要遵循一個清晰的思路：先在實例上分辨 DNS/路由/防火牆，再到雲端檢查子網路由與 NAT/出口，最後把安全組出站與 OS 防火牆對上，就能把問題快速收斂。

把每一步的證據留好（命令輸出、配置差異），你會發現網路故障其實有規律可循。下一次遇到類似狀況，你不需要重來一遍猜測，而是能更快找到真正的斷點。