即使添加了ICMP入站规则，也无法PING EC2实例

Question

问题定义：-我有两个EC2实例，一个在公共子网中，另一个在私有子网中。现在我能够从公共子网实例RDP到私有实例，但即使添加了“ICMP”等规则，也无法ping它。但是PING的工作原理正好相反，即我能够从私有实例ping公共实例。我将尝试解释如下：-

>

我在一个公共子网中创建了一个EC2实例，让我们将这个EC2实例命名为BASTION HOST，并在连接到EC2的安全组（SG1）的入站请求中允许“all”（internet–0.0.0.0/0）的RDP和PING（ICMP）。这个EC2工作正常，例如，我可以从internet使用其公共IP地址PING或RDP到这个实例。

接下来，我在私有子网中创建了另一个 EC2 实例，我们将其称为 EC2SQL1。我要求我能够将堡垒连接到EC2SQL1，反之亦然。但事实并非如此，我可以从EC2SQL1ping到BASTION，但不能反过来，即使我在安全组的入站请求中添加了ICMP，“所有流量”规则（也是RDP规则）（让我们称之为与EC2SQL1关联的SG2）。我尝试过将SG1保留为源，并尝试过使用VPC的CIDR范围。奇怪的是，从堡垒到EC2SQL1的RDP正在工作，但无论添加什么规则，ping请求都会失败，任何到TCP端口的远程登录也是如此。那么我在这里错过了什么？

（B） 但是，这两个实例都使用相同的 NACL：

(C)与EC2SQL01相关联的安全组规则如下，尽管我的TCP、telnet、PING都不起作用，但RDP起作用(或telnet到RPD端口也起作用)

在绝望中，我添加了这么多入站规则，但似乎没有任何工作可以允许ping或telnet到从BASTION主机到EC2SQL01的TCP端口，是的，我正在使用私有IP从BASTION到EC2SQL01的ping或telnet或RDP，反之亦然。

（d）两个安全组的出站规则如下所示，说明一切都是允许的：-

任何建议都非常感谢

Answer 1

所以看起来Windows防火墙仍然会阻止流量，无论是PING还是TCP，我所做的只是关闭EC2 Windows防火墙，然后它开始按照我们AWS安全组中定义的规则工作。

如果我们不想完全关闭防火墙，那么我必须明确地允许Windows防火墙的ICMP入站规则，但TCP仍然无法工作。

希望这有所帮助，任何不同的意见，请随时分享。谢了。