AWS Lambda间歇性外部HTTP请求连接异常故障排查咨询

核心架构错误：Lambda同时关联公网/私网子网 #

你遇到的20分钟级偶发全断网问题，直接原因是混挂公网、私网子网的配置错误。
Lambda在VPC模式下启动弹性网卡（ENI）时，会从关联的所有子网中随机选择一个分配IP：

• 如果抽到私网子网的ENI：流量按路由表指向NAT网关，公网访问、同VPC内RDS私网访问都正常
• 如果抽到公网子网的ENI：Lambda在公网子网仅分配私网IP，不会自动绑定公网地址，完全无法通过互联网网关出公网，所有外发请求直接超时；而Lambda冷启动生成的执行环境、关联ENI的缓存复用周期刚好在20分钟左右，这就是故障每次持续约20分钟的原因——等抽到公网子网ENI的执行环境被自动回收，下次启动抽到私网子网ENI时服务就自动恢复。

你提到的「全挂私网子网就无法访问RDS」是认知误区：RDS属于VPC私网资源，只要关联的私网子网和RDS所属子网的安全组、网络ACL放通对应数据库端口，私网子网内的Lambda天然可以通过私网地址访问RDS，完全不需要关联公网子网。RDS本身不需要公网暴露的话，连通性和公网子网没有任何关联。

架构修复步骤 #

• 调整Lambda的VPC配置：移除所有公网子网的关联，仅绑定至少2个跨可用区的私网子网
• 校验私网子网路由表：确认0.0.0.0/0网段的路由目标为已部署的NAT网关，VPC内网网段（如10.0.0.0/16）的路由为local本地路由
• 校验访问控制规则：
  • Lambda绑定的安全组出向规则，放通到RDS服务端口、公网80/443端口的访问
  • RDS绑定的安全组入向规则，放通Lambda关联安全组作为来源的对应数据库端口访问
  • 关联子网的网络ACL不要拦截上述端口的出入向流量
• 校验NAT网关状态：确认NAT网关部署在公网子网、已绑定弹性公网IP，公网子网路由表0.0.0.0/0指向互联网网关；同时检查NAT网关带宽配额，避免突发流量打满带宽导致丢包（该场景仅会引发慢请求、部分超时，不会出现20分钟全断的情况）

现有配置与代码的其他隐患 #

• IAM权限缺失：当前配置的VPC相关权限缺少ec2:DescribeSubnets、ec2:UnassignPrivateIpAddresses两个必要权限，极端场景下会出现ENI创建/回收失败，导致网络初始化异常
• 代码逻辑问题：
  • 异常捕获分支打印的response是空值，无法输出实际报错信息，故障时无法定位是连接超时、DNS解析失败还是连接被拒绝
  • urllib3.PoolManager不要在函数内部初始化，要放在Lambda handler的全局作用域复用连接池，否则每次调用都新建连接池会耗尽临时端口，触发偶发连接失败
  • 修正后的最小可用测试代码参考：

import urllib3
from urllib3 import Timeout
import logging
logger = logging.getLogger()
logger.setLevel(logging.INFO)
# 连接池全局初始化，跨调用复用
http = urllib3.PoolManager(timeout=Timeout(connect=3, read=5), retries=False)

def ConnectTest():
    logger.info("Sending test request")
    url = "你的测试接口地址"
    headers = {"Accept": "application/json"}
    try:
        resp = http.request('POST', url, headers=headers)
        return resp.data
    except Exception as e:
        # 打印实际异常对象而非空值
        logger.error(f"Request failed, error: {str(e)}")
        raise

• 超时阈值设置不合理：1.3s的连接阈值过短，跨网请求的TCP握手、TLS协商本身存在网络波动，Lambda冷启动阶段还会叠加ENI初始化耗时，很容易触发无意义超时，建议公网请求连接超时设为3s、读超时设为5s更稳妥。

自动化诊断未发现问题的原因 #

AWSSupport-TroubleshootLambdaInternetAccess自动化脚本仅做静态配置快照校验，只会检查IGW、NAT、路由表规则是否存在，不会模拟Lambda随机选择子网分配ENI的流量路径，因此混挂子网时，脚本扫到私网子网路由配置正常就会返回成功，无法捕获随机选到公网子网的偶发故障。

内容的提问来源于stack exchange，提问作者JoshyDEWstive