跨AWS账户VPC对等连接时Redis连接间歇性失败排查

• 安全组规则异常
  即便VPC对等和路由配置正确，Redis所在账户B的安全组仍可能存在问题：

  • 检查入站规则是否完整允许账户A的ECS任务子网CIDR段访问6379端口，若仅开放了部分IP，会导致部分请求匹配成功、多数被拦截。
  • 确认安全组是否有规则优先级冲突，比如拒绝规则优先级高于允许规则，偶尔匹配到允许规则时连接成功，其余时候被拒绝。
  • 若ECS用Fargate或动态端口模式，需确保安全组允许任务ENI对应的IP段，而非仅ECS集群的固定IP。

• Redis实例网络配置问题

  • 检查Redis的bind配置是否包含跨VPC对等的子网IP范围，若仅绑定本地子网IP，跨VPC请求会无法正常建立连接。
  • 确认Redis是否绑定了正确的私有IP，若误绑定公网IP，可能出现偶尔走公网连接成功、多数走内网失败的情况。
  • 查看Redis的maxclients参数，若连接数达到上限，新请求会被拒绝触发超时；当有连接释放时，偶尔能成功建立新连接。

• VPC对等连接隐性故障

  • 检查VPC对等连接状态是否为active，AWS底层网络波动或对等连接未完全生效，会导致间歇性连接失败。
  • 验证双方路由表的路由条目：账户A的ECS子网路由表需指向VPC对等连接，账户B的Redis子网路由表也需添加指向账户A VPC的路由，且路由未被其他条目覆盖。

• ECS任务网络模式问题

  • 若ECS任务使用bridge模式，网络转发环节可能存在不稳定，建议切换为awsvpc模式，让任务直接获取VPC私有IP，减少转发故障。
  • 检查ECS任务的ENI是否存在IP耗尽或接口故障，导致任务偶尔能获取正常网络接口、多数时候无法正确路由。

• DNS解析不稳定

  • 在ECS任务内多次执行nslookup my_redis，查看解析结果是否一致。若my_redis域名偶尔解析到正确私有IP、多数解析到错误地址（如公网IP或废弃IP），会导致连接时断时续。
  • 若使用Route 53私有托管区，需确认两个账户的VPC都已关联该托管区，否则跨账户私有DNS解析会失败。

• 客户端超时参数配置

  • 检查Redis客户端的socket_timeout等参数，若超时时间过短，网络延迟较高时会触发超时；网络状况良好时则能成功连接，可尝试调大超时阈值（如设置为10秒以上）测试稳定性。

内容的提问来源于stack exchange，提问作者gotqks