无法从Spring Boot应用连接AWS ElastiCache Redis Serverless的排查求助

报错信息 #

Unable to connect to seerbitbackend-9fekty.serverless.euw2.cache.amazonaws.com/<unresolved>:6379

同时Redis CLI连接提示operation timed out。

可能原因 #

• DNS解析失败：报错中的<unresolved>明确显示客户端无法解析Redis实例的私有域名。ElastiCache Serverless默认使用VPC私有DNS，公网环境下无法直接解析该域名。
• 网络隔离：即使安全组开放了0.0.0.0/0，ElastiCache Serverless默认仅允许VPC内访问。如果Spring Boot应用不在同VPC，且未通过VPC peering、VPN等方式打通网络，公网环境根本无法触达实例。
• TLS配置不匹配：若Redis实例强制启用了TLS加密，客户端未配置SSL或使用了错误端口（TLS默认端口6380）会导致连接失败。
• 额外访问控制：ElastiCache Serverless可能配置了IAM访问策略或IP白名单，即使安全组放行，这些限制也会拦截连接。

诊断与解决步骤 #

1. 验证DNS解析能力 #

在Spring Boot应用所在环境执行以下命令，检查是否能解析Redis域名：

nslookup seerbitbackend-9fekty.serverless.euw2.cache.amazonaws.com
# 或
dig seerbitbackend-9fekty.serverless.euw2.cache.amazonaws.com

• 如果解析失败：说明应用环境无法访问AWS私有DNS。解决方式包括将应用迁移到同VPC，或配置DNS转发（通过Route 53 Resolver）。
• 如果能解析出私有IP：继续排查网络连通性。

2. 确认网络部署架构 #

• 检查Spring Boot应用是否与Redis实例在同一个VPC内：
  • 若是同VPC：检查VPC的网络ACL（双向规则）是否允许6379端口的入站/出站流量（安全组是实例级，网络ACL是子网级，容易被忽略）。
  • 若不在同VPC：ElastiCache Serverless不支持直接公网访问，需通过以下方式打通网络：
    • 配置VPC peering或AWS Transit Gateway连接两个VPC。
    • 若应用在本地，通过AWS Direct Connect或VPN连接到VPC。

3. 检查TLS配置 #

• 登录AWS控制台查看ElastiCache Serverless实例的TLS设置：
  • 若启用了强制TLS：修改Spring Boot配置，启用SSL并使用正确端口：

    spring.redis.ssl.enabled=true
    spring.redis.port=6380
    

  • 若未启用TLS：确保客户端配置中spring.redis.ssl.enabled=false，端口保持6379。

4. 测试同VPC内的连通性 #

在Redis实例所在VPC内启动一个EC2实例，安装Redis CLI后执行：

redis-cli -h seerbitbackend-9fekty.serverless.euw2.cache.amazonaws.com -p 6379 ping

• 若成功返回PONG：说明Redis实例本身正常，问题出在Spring Boot应用的网络环境或客户端配置。
• 若仍超时：检查VPC路由表是否有正确的路由指向Redis子网，以及网络ACL规则是否拦截了流量。

5. 排查IAM访问控制 #

如果Redis实例配置了基于IAM的访问控制，需确保Spring Boot应用拥有对应的IAM权限：

• 为应用所在的EC2实例/ECS任务附加允许访问ElastiCache的IAM角色。
• 客户端需配置IAM认证（比如使用Lettuce客户端的IAM认证插件），测试时Redis CLI需添加IAM认证参数：

  redis-cli -h seerbitbackend-9fekty.serverless.euw2.cache.amazonaws.com -p 6379 --auth "$(aws elasticache generate-auth-token --user default --region eu-west-2)"
  

内容的提问来源于stack exchange，提问作者Omorinsola Mustapha