Невозможно смонтировать Elastic File System на EC2 (mount.nfs4: истекло время ожидания соединения)

Question

Я пытаюсь смонтировать файловую систему EFS на экземпляре EC2. Вот что я делаю:

1. Подключитесь к экземпляру EC2, используя
   ssh -i "MyKeyPair.pem" ec2-user@ec2-52-39-14-85.us-west-2.compute.amazonaws.com . Затем я переключаюсь на суперпользователя и корневой каталог.
2. Затем я пытаюсь смонтировать EFS, используя sudo mount -t nfs4 -o nfsvers=4.1 $(curl -s http://169.254.169.254/latest/meta-data/placement/availability-zone).fs-7cb147d5.efs.us-west-2.amazonaws.com:/ /var/www/html

Команда ничего не делает в течение 2-3 минут, а затем выдает ошибку: mount.nfs4: Connection timed out

Я посмотрел руководство по устранению неполадок для EFS, которое предлагает:

• Это может произойти из-за неправильной настройки экземпляра Amazon EC2 или целевых групп безопасности. Для получения дополнительной информации см. Создание групп безопасности.
• Убедитесь, что указанный целевой IP-адрес монтирования действителен. Если вы укажете неправильный IP-адрес и на этом IP-адресе больше ничего не будет отклонено, вы можете столкнуться с этой проблемой.

Я разрешил следующие типы входящих подключений как к моей группе по умолчанию, так и к другим группам безопасности: TCP, HTTP, HTTPS, SSH.
VPC, который я использую для EFS, используется по умолчанию, а для EC2 я использую как пользовательскую группу безопасности, так и группу по умолчанию (я отредактировал обе, чтобы принимать входящие соединения от TCP, HTTP, HTTPS, SSH)

Answer 1

Возможно, вам нужно создать входящие политики. Из документации Amazon: Файловая система должна иметь цель монтирования, сетевой интерфейс которой имеет группу безопасности с правилом, которое разрешает входящие соединения через TCP-порт 2049 из экземпляра, либо по IP-адресу (диапазон CIDR), либо по группе безопасности. Источник входящих в группу правил безопасности TCP 2049 при подключении к целевым сетевым интерфейсам является ключевым элементом контроля доступа к файловой системе. Обратите внимание, что входящие правила, кроме TCP-порта 2049 и любые исходящие правила, бесполезны для монтирования файловой системы целевых сетевых интерфейсов. У экземпляра подключения должен быть сетевой интерфейс с правилом группы безопасности, которое разрешает исходящие подключения к порту TCP 2049 на одной из целей монтирования файловой системы, либо по IP-адресу (диапазон CIDR), либо по группе безопасности.

EFS группы безопасности