AWS Lambda调用同VPC内Rest端点遇403及超时问题排查

一、关于Lambda权限策略的可能性 #

Lambda调用公网HTTP端点本身不需要额外的IAM权限，但要检查Lambda执行角色的VPC相关权限：

• 确认执行角色是否包含ec2:CreateNetworkInterface、ec2:DescribeNetworkInterfaces、ec2:DeleteNetworkInterface这三个权限——没有这些权限的话，Lambda无法创建弹性网络接口（ENI），导致无法接入VPC网络。不过你能收到CloudFront的响应，说明网络基本连通，这个可能性偏低，但仍可排查执行角色的权限配置。

二、CloudFront层面的403排查 #

当前返回的是CloudFront的JSON格式403，而非WAF的HTML错误页，说明WAF已放行，问题出在CloudFront或其关联的Origin配置：

• 检查缓存行为的请求限制：查看CloudFront缓存行为是否设置了基于请求头、Cookie、查询参数的访问规则，比如是否强制要求特定的Origin、Authorization头，而Lambda的HttpClient请求未携带这些头。对比Workspace中JUnit的请求头，看是否存在差异。
• Origin Access Control（OAC）/ Origin Access Identity（OAI）配置：如果CloudFront与后端API（如API Gateway）使用了OAC/OAI，确认是否正确配置了CloudFront访问Origin的权限。若配置错误，CloudFront会直接返回403，请求无法到达Origin。
• CloudFront自定义错误响应：检查是否配置了自定义403响应模板（返回JSON格式），同时查看CloudFront访问日志中的sc-status和cs-status字段，判断403是CloudFront自身拦截还是Origin返回后被转发的。
• Origin的安全组/网络ACL：若后端API在VPC内，确认Origin所在子网的安全组是否允许CloudFront的IP段访问；同时检查网络ACL是否放行CloudFront到Origin的流量。

三、Apache HttpClient的配置问题 #

偶尔出现10秒连接超时，大概率和HttpClient的配置有关：

• 连接池复用：Lambda是无状态的，若每次调用都创建新的HttpClient实例，会导致连接资源耗尽。确保复用HttpClient实例，并配置合理的连接池大小（如setMaxTotal、setDefaultMaxPerRoute）。
• 超时参数配置：检查HttpClient的连接超时、Socket超时设置是否合理，避免因默认超时过短或过长导致异常。
• SSL/TLS证书校验：Lambda环境的JDK可能缺少部分根证书，导致与CloudFront的SSL握手失败或超时。对比Workspace中JDK的证书库，确认Lambda环境的证书是否齐全，或在HttpClient中配置自定义信任管理器。
• 代理配置：如果VPC内使用了代理服务器，确认HttpClient是否正确配置了代理参数，Workspace的测试环境可能已自动配置代理，而Lambda中遗漏。

四、VPC网络层面的排查 #

• NAT网关状态：Lambda在VPC内访问公网依赖NAT网关，检查NAT网关是否正常运行、带宽是否充足，是否存在流量限制或瓶颈。若NAT网关异常，会导致请求超时或被丢弃。
• 安全组与网络ACL：确认Lambda所在子网的安全组允许出站到CloudFront的443端口；NAT所在子网的网络ACL允许出站到0.0.0.0/0的443端口，以及入站的响应流量。
• DNS解析：在Lambda中添加日志，打印CloudFront域名的解析IP，确认是否能正常解析。若解析失败，会导致连接超时或无法建立连接。

五、日志与监控手段 #

• CloudFront访问日志：开启CloudFront访问日志，查看c-ip（NAT网关的出口IP）、x-edge-request-id、x-edge-detail-record等字段，明确请求被拦截的具体环节。
• Lambda请求日志：在代码中打印完整的请求头、请求体、响应头和响应体，与Workspace的JUnit请求做对比，找出差异点。
• WAF日志：再次检查WAF日志，确认请求确实未触发任何拦截规则，避免遗漏隐藏的规则组。
• VPC Flow Logs：开启Lambda所在子网的VPC Flow Logs，查看是否有流量被安全组或网络ACL拒绝，排查网络层面的异常。

内容的提问来源于stack exchange，提问作者L_G