Beanstalk UI调用同VPC内连RDS的Beanstalk API超时，求排查

咱们一步步拆解这个问题——你已经完成了基础的安全组配置，那咱们就从A到B的链路核心环节入手，毕竟ETIMEDOUT本质是发起连接后迟迟收不到响应，大概率是网络链路或配置细节出了问题：

1. 先确认A调用B的目标地址是否准确 #

• 你提到A和B都在负载均衡后用HTTPS，那A代码里配置的调用地址，是用B的负载均衡域名吗？还是Beanstalk的内部环境域名？
  • 如果用内部域名，先在A的实例里执行nslookup <B的内部域名>，看看DNS解析是否正常返回IP
  • 如果用LB域名，同样要确认解析正常，并且端口是443（毕竟是HTTPS）——别不小心写成80或者其他端口，这会直接导致连接失败
• 另外，一定要检查A的环境变量里存储的B地址是否正确，会不会是拼写错误或者旧地址？可以在A的实例里用echo $<B地址的环境变量名>验证

2. 在A的实例里直接测试连通性 #

既然能SSH登录B，那也登录A的实例做几个测试：

• 用curl -v https://<B的LB域名>/<你的测试API接口>发起请求，看是否能成功
  • 如果curl也报ETIMEDOUT，那肯定是网络链路的问题，和代码无关
  • 如果curl能正常返回结果，那问题出在A的代码配置里——比如代理设置错误、Node.js的网络配置（比如自定义Agent的参数不对）或者超时时间设置过短
• 也可以用telnet <B的LB域名> 443测试端口是否能打通，如果telnet连不上，那网络层面的问题实锤了

3. 重新核对安全组的细节（别忽略双向规则） #

你说B的安全组允许A的所有TCP入站，但这几个细节容易踩坑：

• 安全组入站规则的源地址：是A的实例所在的安全组，还是A的负载均衡的安全组？因为A的实例发起的出站流量是用自身的安全组，所以B的入站规则应该把A的实例安全组设为源，而不是A的LB安全组
• 检查B的安全组出站规则：很多人只关注入站，但如果B的出站规则没允许回包（比如只开放了到RDS的流量），那A发起的连接请求，B收到后无法回复，A这边就会超时
• 别忘了VPC的网络ACL！ACL是双向的，要确认A所在子网到B所在子网的ACL，入站和出站都允许TCP 443的流量——ACL默认是拒绝所有，所以必须手动添加允许规则

4. 检查B的负载均衡和Beanstalk状态 #

• 先看B的负载均衡健康检查：在AWS控制台里查看B的LB目标组，看看后端实例是不是健康的。如果实例都是不健康状态，LB会拒绝转发流量，A自然连不上
• 确认B的Beanstalk环境实例数量是否正常：有没有实例被终止、正在重启，或者实例数为0？这种情况下LB没有可用后端，也会导致超时
• 核对Node.js的监听端口：Beanstalk默认会把LB流量转发到5000端口（Node.js环境），要确认你的B服务确实监听了5000，或者在Beanstalk配置里修改了端口且和LB目标组的端口匹配——端口不匹配的话，LB根本没法把流量传给B的实例

5. 排查Node.js代码层面的潜在问题 #

如果前面的网络测试都正常，那就要看代码了：

• 检查A的HTTP请求超时设置：有没有把timeout设得太短？比如1秒，虽然ETIMEDOUT一般是连接阶段的问题，但如果B的API启动慢，也可能触发超时
• 有没有使用自定义的https.Agent？比如设置了maxSockets太小，或者keepAlive配置错误，导致连接池耗尽，无法建立新连接
• 加日志排查：在A的代码里打印调用B的目标地址、请求参数，确认代码确实用了正确的地址发起请求

6. 检查VPC路由表（如果跨子网/跨VPC） #

如果A和B在不同的子网或者VPC里，要确认路由表是否配置正确，允许A的子网到B的子网的流量。如果是跨VPC，还要确认VPC peering是否生效，路由表里有没有添加对应的路由条目

内容的提问来源于stack exchange，提问作者shan