AWS ALB未接收VPC全部流量：间歇性丢包问题排查求助

一、关于VPC流日志的常见误解 #

VPC流日志的ACTION=ACCEPT仅表示数据包已被允许到达ALB的弹性网络接口（ENI），但不代表ALB成功接收并处理了完整的HTTP请求：

• 流日志基于数据包维度记录，只要数据包通过了NACL和安全组的校验到达ENI，就会标记为ACCEPT；但如果TCP握手未完成（如SYN包到达但ACK未回传）、请求数据包不完整，ALB不会生成访问日志。
• ALB访问日志是基于完整HTTP请求/响应的应用层记录，只有当ALB成功处理请求并转发（或返回响应）时才会生成日志，二者的记录维度完全不同。

二、除安全组外的VPC内丢包原因排查 #

1. 网络ACL（NACL）配置问题 #

NACL是无状态防火墙规则，需同时检查入站和出站规则：

• 若入站规则允许流量到ALB，但出站规则拒绝ALB返回的ACK/响应数据包，会导致TCP握手失败，请求无法完成，ALB不会记录日志，但VPC流日志仍会标记ACCEPT（因为入站数据包已到达ENI）。
• 检查NACL规则是否存在临时拒绝条目，或规则优先级是否覆盖了允许规则。

2. ALB连接队列或并发限制 #

ALB有内置的连接处理上限，当流量突发超过阈值时：

• 新的连接请求会被ALB的连接队列丢弃，此时VPC流日志显示数据包到达，但ALB未处理请求，因此无访问日志。
• 查看CloudWatch指标：RejectedConnectionCount（被拒绝的连接数）、TargetConnectionErrorCount（目标组连接错误数）、ConnectionCount（并发连接数），确认是否存在连接溢出情况。

3. TCP层传输异常 #

即使数据包到达ALB ENI，TCP层的异常也会导致请求无法被处理：

• TCP握手失败：源端发送SYN包后未收到ALB的SYN-ACK，或ACK包丢失，导致连接未建立，ALB不会生成日志。
• TCP重置（RST）：ALB可能因连接超时、资源不足等原因发送RST包终止连接，此时流日志会记录RST数据包，但ALB访问日志无对应条目。
• 检查流日志中的PROTOCOL、FLAGS字段，确认是否存在异常的TCP标记（如RST、FIN）。

4. ALB弹性网络接口（ENI）资源瓶颈 #

ALB的ENI有带宽和数据包处理能力限制：

• 当突发流量超过ENI的Bandwidth或PacketsPerSecond阈值时，部分数据包会被ENI丢弃，此时流日志可能仍标记ACCEPT（取决于丢弃时机），但ALB未收到完整请求。
• 查看CloudWatch中ENI的PacketsDropCount指标，确认是否存在ENI丢包。

5. VPC路由表配置问题 #

• 若ALB所在子网的路由表存在错误（如指向黑洞路由、未正确指向互联网网关/中转网关），可能导致ALB无法将请求转发到目标组；若路由问题导致ALB无法接收完整请求，则可能无日志生成。
• 检查ALB子网的路由表，确认所有必要的路由条目（如到目标组子网的路由、到源端的路由）是否存在且有效。

6. 目标组健康状态波动 #

• 若目标组内的EC2实例健康状态频繁切换，ALB可能在选择目标时暂时无可用实例，此时会丢弃请求（或返回503）；如果请求在ALB转发前就被丢弃，可能不会生成访问日志。
• 查看CloudWatch指标UnhealthyHostCount、HealthCheckFailedCount，确认目标组健康状态是否稳定。

内容的提问来源于stack exchange，提问作者Fraser Lennon