解决连接VPC的Lambda函数调用SNS.publish时挂起的问题

问题背景 #

Lambda函数关联VPC后，调用snsClient.publish()会挂起直至超时，脱离VPC则正常运行；同一VPC同子网的EC2执行相同代码无问题，同时S3操作也出现类似挂起情况。已配置SNS VPC端点、提升超时时间、授予全量SNS权限，但问题仍存在。

排查方向及解决建议 #

1. 子网路由表验证 #

• 若依赖Internet Gateway访问AWS服务：确认Lambda关联子网的路由表中存在0.0.0.0/0指向IGW的路由条目，确保流量能流出VPC到公网。
• 若使用VPC端点：
  • SNS需配置Interface类型端点，要确认路由表添加了SNS服务前缀（如com.amazonaws.us-west-2.sns）指向该端点的路由。
  • S3需配置Gateway类型端点，路由表必须添加S3服务前缀指向Gateway端点，且该端点要关联到Lambda所在的子网。
• 注意：EC2和Lambda可能使用不同的子网路由表，务必检查Lambda绑定的子网对应的路由表配置。

2. VPC端点与安全组匹配检查 #

• 安全组规则：Lambda的安全组需允许出站到443端口（HTTPS），目标可以是VPC CIDR或VPC端点的安全组；同时VPC端点的安全组要允许来自Lambda安全组的443端口入站流量。
• 端点类型确认：SNS只能用Interface端点，S3只能用Gateway端点，不要混淆类型配置。

3. Lambda执行角色的网络权限 #

确认Lambda执行角色包含以下EC2相关权限，否则无法正常创建和管理VPC内的弹性网络接口（ENI）：

{
  "Effect": "Allow",
  "Action": [
    "ec2:CreateNetworkInterface",
    "ec2:DescribeNetworkInterfaces",
    "ec2:DeleteNetworkInterface"
  ],
  "Resource": "*"
}

4. 网络ACL规则排查 #

网络ACL是无状态防火墙，需检查Lambda所在子网的ACL：

• 出站规则允许443端口的流量（访问AWS API）。
• 入站规则允许临时端口范围（通常1024-65535）的返回流量，确保AWS服务的响应能回到Lambda的ENI。

5. VPC端点策略验证 #

VPC端点自身的策略会限制访问权限，需确认策略允许Lambda执行角色访问对应服务：

• 以SNS端点为例，策略需包含：

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::REDACTED:role/your-lambda-role"
  },
  "Action": "sns:Publish",
  "Resource": "arn:aws:sns:us-west-2:REDACTED:keiths-test-topic"
}

6. DNS解析测试 #

在Lambda代码中添加DNS解析测试，验证是否能解析AWS服务域名：

import socket
def lambda_handler(event, context):
    # 测试SNS域名解析
    try:
        ip = socket.gethostbyname("sns.us-west-2.amazonaws.com")
        print(f"SNS DNS resolved to: {ip}")
    except Exception as e:
        print(f"DNS resolution failed: {e}")
    # 原有代码...

如果解析失败，可能是VPC的DNS配置问题（如未启用DNS支持，或自定义DNS服务器无法解析AWS域名）。

内容的提问来源于stack exchange，提问作者kcantrel