同VPC内Lambda调用ECS前置ALB时出现Runtime.Unknown错误

1. 检查Lambda的VPC与权限配置 #

• 确认Lambda所在的子网路由表存在指向ALB所在子网的路由，确保流量能正常抵达ALB
• 验证Lambda的安全组出站规则：允许向ALB的监听端口（通常为80/443）发起TCP请求
• 检查Lambda执行角色权限：需具备ec2:CreateNetworkInterface、ec2:DescribeNetworkInterfaces、ec2:DeleteNetworkInterface权限，否则Lambda无法在VPC内创建弹性网络接口（ENI），直接导致网络不通

2. 验证ALB与目标组状态 #

• 检查ALB的安全组入站规则：允许来自Lambda所在子网/安全组的TCP流量访问监听端口
• 查看ALB目标组的健康检查状态：若目标组内ECS任务全部不健康，ALB会返回5xx错误，触发Lambda的Runtime.Unknown异常
• 确认ALB DNS解析正常：在Lambda代码中添加日志，执行nslookup <ALB-DNS>（对应运行时实现，比如Python用socket.gethostbyname(alb_dns)），检查是否能解析到ALB的私有IP

3. 测试Lambda内的网络连通性 #

• 在Lambda代码中加入TCP连通性测试：比如用nc -zv <ALB-IP> <PORT>（Node.js或Python可借助第三方库实现），确认能成功建立TCP连接
• 检查VPC DNS配置：确保Lambda所在子网的DNS服务器设置为VPC默认的Route 53 Resolver（通常为VPC CIDR段+2），避免自定义DNS导致解析失败

4. 排查Spring Boot应用侧问题 #

• 查看ECS任务的Spring Boot日志：确认请求是否到达应用，是否存在路径不匹配、权限拦截（如IP白名单、CSRF校验）等报错
• 验证目标组配置的端口与协议：需和Spring Boot应用监听的端口（默认8080）、协议（HTTP/HTTPS）完全一致
• 检查应用运行状态：是否有异常退出、内存不足、线程池耗尽等情况，导致无法处理请求

5. 检查Lambda调用代码细节 #

• 确认请求协议：若ALB监听HTTPS，确保Lambda代码使用HTTPS调用，且信任AWS根证书（避免证书验证失败）
• 调整Lambda超时时间：若API响应较长，默认3秒超时可能导致调用失败，可尝试延长至10秒以上
• 捕获详细错误信息：在代码中添加try-catch块，输出完整错误堆栈（比如Python用traceback.format_exc()），替代模糊的Runtime.Unknown报错

内容的提问来源于stack exchange，提问作者GlidingSwords997