配置VPC后AWS Lambda连接外部MySQL超时，如何调整VPC设置？

我来帮你一步步排查这个VPC配置导致Lambda连不上数据库的问题，你遇到的情况其实挺常见的，咱们从几个核心点入手解决：

1. 先确认VPC的公网访问路径是否通畅 #

Lambda放到VPC私有子网后，默认是没有直接访问公网的权限的——你得通过NAT网关来中转流量，这是关键：

• 检查你的Lambda所在子网是否关联了NAT网关，而且这个NAT网关必须部署在公有子网里（绑定了互联网网关IGW）。
• 查看子网对应的路由表，确认0.0.0.0/0（所有公网流量）的下一跳是NAT网关，而不是直接指向IGW（私有子网不能这么配置）。
• 可以在Lambda里加一段测试代码，比如用nc -zv <数据库公网IP> <端口>（Linux环境）或者Python的socket模块测试端口连通性，看看能不能打通数据库的端口。

2. 修正安全组与白名单的核心误区 #

你提到已经添加了数据库IP的规则，但这里有个很容易踩坑的点：

• 数据库端的白名单：必须放行的是NAT网关的公网IP，而不是Lambda的私有IP！因为Lambda通过NAT网关访问公网时，对外暴露的源IP是NAT网关的公网IP，不是Lambda自身的私有IP。之前本地测试用的是你的本地公网IP，现在换成VPC环境，一定要把NAT网关的公网IP加到数据库的允许列表里。
• Lambda的安全组：只需要配置出站规则，允许TCP流量到数据库的IP/端口（比如MySQL是3306，PostgreSQL是5432），入站规则可以保持默认拒绝（因为Lambda是主动发起连接的一方，不需要外部主动访问）。
• VPC网络ACL：这是无状态的防火墙，所以入站和出站都要配置：
  • 出站规则：允许到数据库IP/端口的TCP流量
  • 入站规则：允许从数据库IP/端口返回的TCP流量（响应Lambda的请求，源端口是数据库端口，目标端口是Lambda的随机临时端口）

3. 验证DNS解析是否正常 #

如果你的数据库是用域名访问的，Lambda在VPC里可能会遇到解析问题：

• 检查VPC的DNS配置：确保enableDnsSupport和enableDnsHostnames都设置为true，不然VPC的DNS服务器可能无法解析公网域名。
• 可以在Lambda代码里添加一段解析测试，比如Python的socket.gethostbyname("你的数据库域名")，打印出解析后的IP，确认和数据库的公网IP一致。

4. 调整Lambda的基础配置 #

• 检查Lambda的超时时间：默认超时是3秒，数据库连接可能需要更长时间，建议暂时调到10秒以上，排除超时时间过短的问题。
• 确认Lambda部署到的是至少两个不同可用区的私有子网，避免单个子网故障导致的连接问题。

5. 简化测试场景定位问题 #

创建一个极简的Lambda函数（比如只包含数据库连接代码，没有业务逻辑），用相同的VPC配置部署测试：

• 如果这个极简函数也连接失败，那问题肯定在VPC网络层面，回到前面的步骤重新排查；
• 如果极简函数能成功连接，那问题可能出在原代码的其他配置上，比如连接池设置、数据库驱动版本等。

内容的提问来源于stack exchange，提问作者Junah201