CloudFront与ALB源站通信报502错误OriginConnectError排查咨询

OriginConnectError的核心触发原因是CloudFront边缘节点和源站ALB建立TCP连接或TLS握手阶段直接失败，请求根本没转发到后端应用层，结合你直接解析到ALB访问正常的前提，按以下优先级排查即可：

1. 网络访问规则拦截（最高发） #

• 检查ALB绑定的安全组：必须放通CloudFront全量出口IP段的对应监听端口（通常是443），禁止只放通零散IP或办公网段。CloudFront出口IP动态变化，直接关联AWS托管的com.amazonaws.global.cloudfront.origin-facing前缀列表放通即可，不需要手动维护IP段。
• 检查ALB所在子网的网络ACL规则：确认入站/出站没有拦截对应端口、临时端口段的流量，不要有针对境外IP段的全局拦截规则。
• 如果ALB上挂了WAF、第三方防火墙规则，检查是否有拦截美国区域IP（CloudFront回源节点大量分布在us-east-1区域）、异常UA的规则。

2. 回源协议/端口配置不匹配 #

• 核对CloudFront源站配置的端口：必须和ALB监听器实际开放的端口一致，比如ALB只开443监听器，源站配置填80会直接连不上。
• 核对源站TLS版本配置：如果源站协议策略选了HTTPS回源，要确认ALB监听器支持的TLS版本和CloudFront配置的最低源站TLS版本匹配——CloudFront默认最低TLSv1.2，若ALB监听器只开TLSv1.0/1.1会直接握手失败。

3. ALB证书/SNI配置不兼容（次高发） #

• 你ALB绑定的*.example.com证书本身没问题，但CloudFront回源时会用源站配置里填写的域名做SNI匹配和证书域名校验：如果源站配置填的是ALB默认的公网域名（格式类似xxx.eu-west-1.elb.amazonaws.com），ALB返回的*.example.com证书和访问域名不匹配，CloudFront会直接中断TLS连接抛出错误。
  • 修复方式：要么源站地址填和证书匹配的自定义域名（比如alb-origin.example.com，解析指向ALB），要么配置自定义回源Host头，同时保证ALB对应监听器的默认证书（无SNI匹配时返回的证书）是公网受信任的有效证书，不能用自签证书、私网CA签发的未导入CloudFront信任链的证书，且证书链完整、未过期未吊销。

4. ALB属性配置错误 #

• 确认你用的是公网ALB：如果是内部私网ALB，没有公网路由可达，CloudFront公网回源会直接失败，这种场景必须搭配CloudFront源站访问控制（OAC）和私网连接才能打通。
• 检查ALB监控指标：如果RejectedConnectionCount、TargetConnectionErrorCount有突增，说明ALB容量不足触发连接限流，CloudFront新建连接被拒绝也会报这个错——你手动测试流量低不会触发，但CloudFront回源的新建连接速率更高时可能触发限流。

快速验证手段 #

• 找一台us-east-1区域的公网EC2，执行openssl s_client -connect <ALB公网地址>:443 -servername <回源使用的域名>模拟TLS握手，如果这一步无法正常返回证书、完成握手，问题完全出在ALB侧的网络或TLS配置，和CloudFront无关。
• 临时把CloudFront源站换成其他公网可正常访问的HTTPS站点，如果回源正常，可直接排除CloudFront侧配置故障。

内容的提问来源于stack exchange，提问作者DKo