同VPC下AWS Lambda连接Elastic Search超时问题求助

核心场景 #

同一VPC内的Lambda与Elasticsearch（ES）实例，Lambda连接ES频繁触发超时，但可通过Kibana正常访问ES。当前配置信息：

• Lambda角色已授权全量es:*权限
• VPC允许所有资源访问
• 双方关联安全组已放开所有入站/出站流量（0.0.0.0/0）
• Lambda部署在VPC的2个公有子网+2个私有子网中

针对性排查方向 #

1. 子网路由与访问路径不匹配 #

• 公有子网部署的Lambda：若ES为私有访问模式（无公网IP），公有子网的Lambda默认会尝试走公网访问ES，没有对应入口就会超时。检查公有子网路由表，确认存在指向VPC内网的本地路由（如10.0.0.0/16指向本地网关），确保能访问ES内网IP。
• 私有子网部署的Lambda：私有子网需NAT网关才能访问公网，若ES为内网部署，需确认私有子网路由表可直接到达ES所在子网；同时检查子网可用IP数量，若IP不足，Lambda无法创建弹性网络接口（ENI），也会引发超时。

2. ES访问模式与端点误用 #

• 确认ES的访问模式：若ES配置为公网访问，但私有子网的Lambda无NAT网关，私有子网内的Lambda无法访问公网，会出现超时（Kibana能访问可能因为其有公网访问路径）。
• 检查Lambda调用的ES端点：是否误用了公网端点？若ES为内网部署，私有子网Lambda无NAT时，调用公网端点必然失败，需改用ES的内网端点。

3. Lambda资源与配额限制 #

• ENI配额与子网IP：Lambda并发执行时会占用子网的ENI，若VPC的ENI配额耗尽，或子网可用IP不足，Lambda无法创建ENI会导致连接超时。可在AWS控制台查看VPC的ENI使用情况、子网可用IP数量。
• Lambda内存配置：内存过低会影响网络IO性能，适当调高内存（如从128MB调整至512MB），测试是否解决超时问题。

4. 网络ACL（NACL）隐性限制 #

网络ACL是无状态规则，需检查ES所在子网、Lambda所在子网的NACL，确认同时放开了ES对应端口（默认443或9200）的入站与出站流量。若仅放开入站未放开出站返回流量，会触发超时。

5. VPC内网DNS解析问题 #

确认VPC已启用DNS解析功能，且ES的内网端点能被Lambda所在子网的DNS正确解析。可通过VPC内的EC2实例测试解析ES端点，验证是否存在解析失败的情况。

内容的提问来源于stack exchange，提问作者leon