VPC内Lambda无法连接DynamoDB VPC终端节点，报资源暂不可用

兄弟，我之前踩过类似的坑，结合AWS VPC和Lambda的特性，给你梳理几个排查方向和解决办法，应该能帮到你：

1. 先确认Lambda的VPC网络资源是否充足 #

• 检查子网可用IP和ENI配额：Lambda在VPC内运行时，每个并发执行的实例都会占用一个弹性网卡（ENI）的IP。如果你的Lambda并发量较高，而所在子网的可用IP不足，或者账户的ENI配额耗尽，就会出现连接资源不足的问题。
  • 解决办法：先到VPC控制台查看Lambda所在子网的可用IP数量，不够的话要么扩展子网CIDR，要么切换到IP更充足的子网；如果是ENI配额不足，直接到AWS支持中心提交配额提升申请即可。
• 再核对Lambda执行角色的权限：别嫌麻烦，再确认下执行角色是否包含所需的DynamoDB操作权限（比如dynamodb:GetItem/PutItem），同时必须拥有ec2:CreateNetworkInterface、ec2:DescribeNetworkInterfaces、ec2:DeleteNetworkInterface这几个VPC相关权限——没有这些权限，Lambda连ENI都无法创建，更别提访问终端节点了。

2. 核对VPC网关终端节点的配置细节 #

• 子网、安全组、路由表一个都不能错：
  • 终端节点必须和Lambda处于同一个VPC，且终端节点的安全组要允许Lambda所在安全组发起的443端口出站请求；反过来，Lambda的安全组也要放行向终端节点IP段发起的443端口流量。
  • 检查Lambda所在子网的路由表，必须存在一条指向DynamoDB前缀列表（格式为pl-xxxx）的路由，目标是VPC网关终端节点的ID。如果路由指向互联网网关，流量会走公网，必然导致连接问题。
• 查看终端节点状态：到VPC控制台的终端节点页面，确认状态为available，如果是pending或failed，直接重建终端节点即可。

3. 代码层面的连接复用问题 #

• 全局初始化DynamoDB客户端：很多人会犯的错误是在handler函数内部每次都新建DynamoDB客户端，高并发场景下会迅速耗尽Socket资源，从而触发这个错误。
  • 举个C#的示例，把客户端初始化放在全局作用域以复用连接：

    // 全局作用域初始化，复用连接池
    private static readonly AmazonDynamoDBClient _dynamoClient = new AmazonDynamoDBClient();
    
    public async Task FunctionHandler(ILambdaContext context)
    {
        // 直接复用全局客户端进行操作
        var response = await _dynamoClient.GetItemAsync(new GetItemRequest { ... });
    }
    

• 调整HTTP连接数配置：如果使用了自定义HttpClient，可以将ServicePointManager.DefaultConnectionLimit设置为与Lambda并发上限匹配的值，避免因连接数不足导致的资源耗尽。

4. 用EC2做连通性验证 #

找一台和Lambda处于同子网、同安全组的EC2实例，登录后用telnet dynamodb.<你的区域>.amazonaws.com 443或curl https://dynamodb.<你的区域>.amazonaws.com测试连通性。如果EC2也无法连接，说明问题出在VPC终端节点或网络配置；如果EC2能正常连接，那大概率是Lambda的代码或配置细节有问题。

另外，记得去Lambda的CloudWatch日志里深挖细节，比如是否有ENI创建失败的日志、DNS解析失败的信息，这些都能帮你快速定位问题。

内容的提问来源于stack exchange，提问作者Jeyarama Jegan