AWS Lightsail站点突发CloudFront 502错误排查求助（无近期变更）

一、验证CloudFront源站配置 #

• 检查CloudFront分发的源设置：确认源域名是Lightsail实例的公网IP或其默认域名，若此前用异常CNAME作为源，临时替换为实例公网IP测试连通性
• 检查Lightsail实例安全组规则：确保允许80/443端口的入站流量（可先临时允许所有IP测试，验证后再收紧规则）
• 直接访问源站：在浏览器输入Lightsail实例公网IP，确认WordPress本身可正常加载；若源站无法访问，先排查实例服务状态（如重启Apache/Nginx，或直接重启Lightsail实例）

二、修复CNAME记录异常 #

• 登录域名服务商控制台，核对CNAME记录的目标值：确保指向CloudFront分发的专属域名（格式如dxxxxxx.cloudfront.net），若记录被篡改或过期，重新配置正确目标
• 调整CNAME的TTL值：设置为300秒（5分钟）加速解析生效，本地执行dig your-domain.com CNAME或nslookup your-domain.com验证解析结果
• 检查CloudFront备用域名配置：在CloudFront分发的“备用域名”列表中确认已添加自定义域名，且AWS Certificate Manager（ACM）的SSL证书覆盖该域名（注意ACM证书需部署在us-east-1区域且验证状态正常）

三、排查CloudFront 502错误深层原因 #

• 开启CloudFront访问日志：将日志存储到S3桶，下载后查看具体错误细节，比如是否存在源站连接超时、拒绝请求等记录
• 检查Lightsail实例资源占用：登录实例后执行top查看CPU/内存使用率，df -h检查磁盘是否满额，资源耗尽会导致源站无法响应CloudFront请求
• 验证SSL证书有效性：在ACM控制台确认证书未过期、域名验证状态正常，证书异常会导致CloudFront与源站的HTTPS连接失败

四、应急恢复方案 #

• 临时绕过CloudFront：将域名A记录直接指向Lightsail实例公网IP，先恢复站点访问，后续再排查CloudFront配置问题
• 重启Lightsail实例：若实例网络或服务出现临时异常，重启可快速恢复（操作前建议备份实例数据）

内容的提问来源于stack exchange，提问作者cornDog