AWS API Gateway与ECS App Mesh对接失败，寻求调试方案

1. 核对API Gateway集成核心配置 #

• 确认VPC链路关联的子网与ALB所在子网完全一致，必须覆盖ALB部署的所有可用区子网，不能遗漏。
• 验证集成的ALB ARN是否准确，避免选错同区域内其他同名/同类型ALB。
• 检查HTTP API路由：/{proxy+}的ANY路由是否已正确关联到VPC链路集成，且对应部署阶段（Stage）已发布生效。

2. 排查网络链路连通性 #

• 安全组规则校验：
  • 确认VPC链路的安全组出站规则允许访问ALB的监听端口（如HTTP 80、HTTPS 443），出站限制会直接阻断流量，即使入站全放开也无效。
  • 检查ALB安全组的入站规则，确保允许VPC链路安全组的IP段访问对应端口，可临时放开0.0.0.0/0测试，排除规则优先级或配置遗漏问题。
• 子网路由表检查：
  • 确认VPC链路所在子网的路由表包含ALB所在子网的本地路由（同一VPC默认存在，但需确认未被误删）。
  • 验证ALB所在子网的路由表允许返回流量到VPC链路子网。

3. 匹配API Gateway与ALB的协议配置 #

• 针对HTTP请求被拒绝、HTTPS返回500的现象：
  • 检查API Gateway集成协议与ALB监听协议是否一致：若ALB仅开启HTTPS监听，集成选HTTP会导致连接拒绝；反之ALB开HTTP、集成选HTTPS也会失败。
  • 若ALB使用HTTPS，确认API Gateway信任ALB的证书（AWS ACM证书默认信任，自定义证书需导入到API Gateway信任列表）。

4. 通过日志定位具体错误 #

• 开启API Gateway的访问日志，配置CloudWatch日志组，查看IntegrationError等关键字段，明确是连接超时、证书不匹配还是目标不可达导致的500错误。
• 开启ALB的访问日志，确认API Gateway的请求是否到达ALB：若无请求记录，问题出在VPC链路或安全组；若有请求但返回错误，需排查Mesh侧或ALB到Mesh的配置。

5. 验证VPC链路状态 #

• 使用AWS CLI检查VPC链路状态：

  aws apigatewayv2 get-vpc-link --vpc-link-id <你的VPC链路ID>
  

  确认状态为AVAILABLE，若为PENDING或FAILED，检查子网是否有足够可用IP、安全组是否存在冲突规则。

6. 检查ALB目标组配置 #

• 确认ALB目标组的健康检查正常，Mesh入口实例处于健康状态，目标组的端口、协议需与API Gateway集成的配置匹配。
• 验证目标组的流量转发规则：比如ALB监听443端口时，是否正确转发到Mesh入口的对应服务端口。

7. 简化配置做最小化测试 #

• 临时创建最简HTTP API：配置固定路径（如/test）的GET路由，集成到ALB的固定路径，排除{proxy+}路径转发的潜在问题。
• 暂时将ALB保留在公有子网测试，确认API Gateway能正常访问后，再逐步调整到私有子网并收紧安全组规则。

内容的提问来源于stack exchange，提问作者Mathieu Béliveau