CloudFront第二个行为无法连接，ALB /blogs/*路径访问报503错误求助

场景回顾 #

我们的目标是：仅允许用户通过CloudFront访问www.example.in及www.example.in/blogs/，直接访问ALB DNS则返回Access Denied。当前配置如下：

• 公网ALB配置两个监听器：HTTP:80将请求转发到443；HTTPS:443设置三条规则：
  1. 访问ALB DNS时返回403状态码及Access Denied提示
  2. 请求包含HTTP头X-Custom-Header且值为random-value-XXXXXXX时，转发到后端
  3. 请求包含上述自定义头且路径匹配/blogs/*时转发，但访问时出现503错误
• CloudFront和ALB已配置证书，/blogs/*行为使用与默认行为相同的源请求配置

排查与解决方案 #

ALB返回503错误通常和目标组可用性、规则匹配逻辑、路径转发配置相关，以下是具体排查步骤：

1. 检查目标组健康状态

• 登录AWS控制台，进入ALB对应的目标组，查看后端实例的健康检查状态：
  • 若实例状态不健康，核对健康检查的路径、端口、协议是否与后端服务一致
  • 确认后端服务正常运行，能响应健康检查请求
  • 检查安全组配置：ALB安全组需允许访问后端实例的健康检查端口，后端实例安全组需允许ALB的流量进入

2. 调整ALB规则匹配顺序

ALB规则按从上到下的优先级匹配，当前规则2（仅匹配自定义头）的范围比规则3（匹配自定义头+路径）更宽泛，所有带自定义头的请求会先触发规则2，导致规则3永远无法生效。

• 解决方案：将规则3移动到规则2的上方，让更具体的路径匹配规则优先触发

3. 验证CloudFront路径转发配置

• 确认CloudFront的/blogs/*行为：
  • 路径模式是否设置为/blogs/*
  • 源请求策略是否保留了原始路径，避免路径被修改导致ALB无法匹配
  • 检查缓存/源请求策略是否配置了转发X-Custom-Header到ALB

4. 核对ALB路径匹配语法

ALB的路径匹配支持前缀匹配或精确匹配：

• 若使用前缀匹配，路径可设置为/blogs/（带末尾斜杠）或/blogs/*（部分区域支持通配符）
• 避免路径条件出现语法错误，比如多余字符或不正确的通配符格式

5. 分析日志定位问题

• 查看ALB访问日志，确认请求是否到达ALB、匹配了哪条规则，以及目标组的响应状态
• 查看CloudFront日志，确认请求头、路径是否正确传递到ALB

总结 #

核心问题大概率是ALB规则的匹配顺序错误，导致/blogs/*的规则无法触发。调整规则顺序，将更具体的规则放在通用规则之前，再结合目标组健康状态检查，即可解决503错误。

内容的提问来源于stack exchange，提问作者Antham