私有子网内Lambda经NAT网关访问白名单API故障排查

1. 域名解析问题（核心排查点） #

错误提示明确是Name or service not known，说明Lambda无法解析test-api域名，这是首要排查点：

• 检查VPC及子网的DNS配置：确认VPC的Enable DNS hostnames和Enable DNS support已开启，同时Lambda所在私有子网的这两个选项也需开启。
• 验证DNS服务器能力：如果使用AWS默认DNS（VPC网段的第二个IP，如10.0.0.2），需确认该DNS能解析Route 53私有托管区的test-api域名；如果使用自定义DNS服务器，需确保其能正常解析该内部域名。
• 直接测试Lambda内的解析：在Lambda代码中添加import socket; print(socket.gethostbyname('test-api'))，执行后查看日志，确认是否能返回ALB的私有IP。

2. 路由表与NAT网关关联验证 #

虽然配置了私有子网路由表指向NAT网关，但需确认实际关联关系：

• 检查子网-路由表绑定：确认Lambda所在的私有子网确实关联了配置好NAT网关的路由表，避免误绑定到其他无NAT规则的路由表。
• 确认NAT网关状态：检查NAT网关是否处于available状态，且部署在已关联Internet Gateway的公有子网内。
• 路由条目优先级：查看路由表是否存在更具体的路由规则（如特定网段的路由）覆盖了默认的0.0.0.0/0指向NAT网关的规则，导致流量分流。

3. 安全组与网络ACL规则检查 #

• Lambda安全组：虽然已配置全量出站规则，但需确认ALB的安全组是否允许Lambda所在私有子网的IP段访问443端口（因为Lambda访问同VPC内的ALB走内网流量，使用ENI的私有IP，而非NAT网关的公网IP）。
• 子网网络ACL：检查私有子网的网络ACL是否允许出站443端口流量，同时允许入站的临时端口（通常是1024-65535）响应流量。

4. Lambda VPC配置有效性验证 #

• 确认子网选择正确性：检查Lambda关联的私有子网是否是配置了NAT网关路由的子网，避免误选未配置NAT的私有子网。
• 验证ENI所属子网：查看Lambda创建的ENI的私有IP所在子网，确认该子网的路由表确实有指向NAT网关的默认路由。
• 重建Lambda ENI：重新触发Lambda函数，让其重新生成ENI，再查看流日志是否有NAT网关的流量记录（有时候ENI初始化异常会导致路由异常）。

5. 内部流量路由逻辑确认 #

由于test-api是Route 53私有域名，Lambda在VPC内访问时应直接走内网到ALB，而非经过NAT网关。其他API能正常访问说明内网路由通畅，因此：

• 测试直接访问ALB私有IP：在Lambda代码中替换域名为ALB的私有IP发起请求，确认是否能连通，以此排除DNS问题。
• 确认ALB的目标组健康状态：检查ALB的目标组是否正常，确保后端API服务能正常响应请求。

内容的提问来源于stack exchange，提问作者serp002