为何Kinesis Fire Hose限制HTTP端点仅用443端口或无端口？

AWS Kinesis Firehose 对自定义HTTP端点的端口做了限制，仅允许使用标准的80（HTTP）和443（HTTPS）端口，这导致你尝试投递到https://my-custom-endpoint.acme.io:9443时创建请求失败。这个限制主要基于以下几点原因：

• 安全基线控制：非标准端口常被用于规避常规安全检测，限制为通用端口能降低恶意流量利用特殊端口发起攻击的风险，符合行业通用Web安全合规要求，也能减少用户侧的安全配置负担。
• 基础设施兼容性优化：绝大多数云服务、CDN、负载均衡器都是针对80/443端口做默认优化的。如果放开非标准端口，Firehose需要适配更多边缘网络场景的路由规则，反而可能导致更多用户遇到网络连通性问题。
• 运维复杂度降低：统一使用标准端口能让用户无需额外配置安全组、防火墙规则来放行特殊端口，排查网络问题时也能减少变量，简化整体运维流程。

可行的替代方案 #

如果你业务上确实需要用非通用端口接收事件，可以通过以下方式绕过这个限制：

• 反向代理中转：在Firehose和目标服务之间部署反向代理（比如Nginx、AWS Application Load Balancer），让代理监听443端口，再将请求转发到内部的9443端口。示例Nginx配置片段：

server {
    listen 443 ssl;
    server_name my-custom-endpoint.acme.io;

    ssl_certificate /path/to/your-cert.pem;
    ssl_certificate_key /path/to/your-key.pem;

    location / {
        proxy_pass https://your-internal-service:9443;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

• 调整目标服务端口：如果业务架构允许，直接将接收Firehose事件的服务改为监听443端口，这是最直接的解决方式，不需要额外的中转组件。
• 借助AWS API Gateway：用API Gateway作为中间层，配置API Gateway接收Firehose的请求，再通过集成规则转发到非标准端口的后端服务。API Gateway还能提供流量监控、请求校验等额外能力，适合复杂的业务场景。

内容的提问来源于stack exchange，提问作者Kode Charlie