无法将EC2实例连接到ElastiCache？故障排查求助

问题场景 #

在EC2实例中执行以下Python脚本时，print("nodes discovered")始终未执行，偶尔出现TimeoutError: [Errno 110] Connection timed out，多数情况无任何输出：

import elasticache_auto_discovery

elasticache_config_endpoint = "<my-elasticache-cluster-endpoint>:6379"
nodes = elasticache_auto_discovery.discover(elasticache_config_endpoint)
print("nodes discovered")

已知条件：

• EC2与ElastiCache Redis集群同VPC、同安全组，集群关联同VPC子网组
• EC2实例使用附加AmazonElastiCacheFullAccess策略的IAM角色，权限边界拒绝"Limited: Write"，允许"Full: Read, List, Tagging Limited: Write"
• 使用无效端点时会触发socket.gaierror: [Errno -2] Name or service not known，说明域名解析正常

排查与解决步骤 #

1. 验证安全组入站规则 #

即使EC2和ElastiCache共用安全组，默认规则可能不允许内部访问。需确认安全组入站规则是否放行EC2到Redis端口（6379）的流量：

• 规则类型选「Redis（6379）」
• 源选择EC2实例的安全组ID，或EC2所在的私有IP段

2. 检查ElastiCache集群状态 #

登录AWS控制台确认ElastiCache集群状态为available，所有节点均正常运行。集群处于创建、维护状态时会导致连接超时。

3. 确认使用配置端点 #

自动发现必须使用集群的配置端点（格式通常为<cluster-name>.cfg.<region>.cache.amazonaws.com:6379），而非单个主/从节点的端点。误用节点端点会导致自动发现机制失效。

4. 测试网络连通性 #

在EC2实例上用命令直接测试端口连通性：

# telnet测试
telnet <my-elasticache-cluster-endpoint> 6379
# 或nc测试
nc -zv <my-elasticache-cluster-endpoint> 6379

若连接失败，进一步排查VPC网络：

• 检查子网NACL是否放行6379端口的入站/出站流量
• 确认VPC路由表配置正确，无多余路由拦截
• 确保VPC启用了私有DNS解析（默认启用，若手动关闭需重新开启）

5. 排查IAM权限边界影响 #

虽然自动发现以读操作为主，但权限边界的"Limited: Write"限制可能意外拦截了某些必要操作。可临时将权限边界调整为允许所有ElastiCache操作，测试是否恢复正常。若正常，再细化权限边界规则。

6. 升级依赖库 #

确保elasticache_auto_discovery库版本与ElastiCache集群兼容，执行升级：

pip install --upgrade elasticache-auto-discovery

7. 添加异常捕获调试 #

修改脚本增加异常捕获，获取详细错误栈：

import elasticache_auto_discovery
import traceback

elasticache_config_endpoint = "<my-elasticache-cluster-endpoint>:6379"
try:
    nodes = elasticache_auto_discovery.discover(elasticache_config_endpoint)
    print("nodes discovered")
    print(f"Discovered nodes: {nodes}")
except TimeoutError:
    print("连接超时 - 检查网络访问配置")
    traceback.print_exc()
except Exception as e:
    print(f"未知错误: {e}")
    traceback.print_exc()

运行后根据错误信息定位具体问题。

内容的提问来源于stack exchange，提问作者gasbag_1