AWS Lambda无法访问Stripe服务 求故障排查方案

函数配置信息 #

• 关联默认VPC（含IGW，具备互联网访问能力）
• 关联全部3个默认子网
• 关联权限角色AWSLambdaVPCAccessExecutionRole
• 安全组：全量出站访问（所有TCP 0.0.0.0/0）
• 同一VPC/子网内的EC2实例可正常访问互联网
• 可访问同VPC内的EC2/MySQL（需求：同时访问私有VPC数据库与Stripe API服务）
• 超时时间设置为6秒

创建函数的CLI命令 #

aws lambda create-function --function-name  stripe_payment_post --runtime python3.8 \
--zip-file fileb://deployment.zip --handler stripe_payment_post.handler \
--role arn:aws:iam::xxxx74:role/project-lambda_db_access \
--vpc-config SubnetIds=subnet-xxxx70,SecurityGroupIds=sg-xxxxed

调用函数时的日志 #

[INFO]  2022-11-11T10:54:11.064Z    30be645a-8e03-4c15-b575-502cd2ecd218    message='Request to Stripe api' method=post path=https://api.stripe.com/v1/payment_intents
2022-11-11T10:54:17.046Z 30be645a-8e03-4c15-b575-502cd2ecd218 Task timed out after 3.01 seconds

Lambda处理函数代码 #

def handler(event, context):
    """
    处理租户POST请求，向MySQL数据库添加新租户
    """
    
    logger.info("LOG: "+str(event))


    stripe.api_key = 'sk_test_5xxxxx'
    
    try:
        intent = stripe.PaymentIntent.create(
            amount=11,
            currency='usd',
            payment_method_types=["card"]
        )
        client_secret = intent.client_secret
    except stripe.error.StripeError as e:
        errorCode = str(e)
    except Exception as e:
        errorCode = str(e)

    # API网关Lambda代理集成要求特定返回格式
    return {
        'statusCode': 200,
        'body': json.dumps({'client_secret': client_secret
        })
    }

故障原因与遗漏配置分析 #

核心问题：Lambda关联VPC子网后无公网IP，无法直接访问互联网 #

默认子网虽为公有子网（关联IGW），但Lambda部署到VPC时，仅会分配私有IP，不会自动获取公网IP——这和EC2不同，EC2在公有子网中会自动分配公网IP（若子网开启"自动分配公有IP"），但Lambda不支持此机制。因此即便子网有IGW，无公网IP的Lambda也无法直接发起互联网请求。

需补充的配置项 #

1. 配置NAT网关实现互联网访问
   这是VPC内Lambda访问互联网的标准方案：

   • 在VPC的公有子网中创建NAT网关，并绑定弹性IP
   • 修改Lambda所在默认子网的路由表，将0.0.0.0/0的路由指向NAT网关（而非直接指向IGW）
   • 确保NAT网关所在子网的路由表存在指向IGW的0.0.0.0/0路由，保证NAT网关自身能访问互联网

2. 验证IAM角色权限一致性
   你提到关联了AWSLambdaVPCAccessExecutionRole，但创建命令使用的是project-lambda_db_access角色，需确保该角色包含AWSLambdaVPCAccessExecutionRole的权限（允许Lambda管理弹性网络接口、获取VPC资源等），避免影响Lambda在VPC内的网络初始化。

3. 代码异常处理优化
   日志显示3.01秒即超时，说明Stripe请求触发底层网络超时。此外，若client_secret初始化失败（进入异常分支），返回时会因变量未定义报错，建议在异常分支中补充错误返回逻辑，或为client_secret设置默认值，便于排查问题。

验证方法 #

• 在Lambda所在子网启动EC2实例，关闭自动分配公有IP，配置相同路由表（指向NAT网关），测试能否访问Stripe API
• 在EC2控制台查看Lambda创建的弹性网络接口，确认其私有IP归属正确子网，且安全组配置无误

内容的提问来源于stack exchange，提问作者user2913139