同VPC下Lambda连接Elasticache Redis报ECONNREFUSED如何解决

注意：ElastiCache的IAM权限仅用于调用管控类API（比如创建集群、查看监控、修改参数组），不影响数据面的TCP连接，也不会因为权限不足返回ECONNREFUSED，这类连接被拒的问题全部来自网络或配置错误，按以下顺序排查即可：

网络配置排查 #

• 安全组规则校验
  • ElastiCache集群绑定的安全组，必须配置入方向规则：来源为Lambda挂载的安全组ID（或Lambda所在子网的CIDR网段），开放TCP 6379端口（开启TLS加密的集群默认端口为6380），填错来源、端口都会直接触发连接拒绝。
  • 如果Lambda绑定的安全组配置了出方向白名单，必须放通到Redis对应端口的TCP出站流量，默认全通出方向规则无需调整。
• 子网与网络ACL校验
  • 确认Lambda与ElastiCache集群部署在同一VPC下，二者所属子网之间路由互通。
  • 关联Lambda子网、ElastiCache子网的网络ACL（NACL）为无状态规则，必须同时放通对应Redis端口、以及临时端口段（1024-65535）的入站/出站TCP流量，缺任意一条规则都会被拦截。
  • 如果使用集群模式（Cluster Mode Enabled）的Redis，不要只配置单个分片节点地址，要填写集群的配置端点，否则节点跳转时可能出现连接异常。
• Redis服务端配置校验
  • 若开启了传输加密（TLS），必须使用6380端口连接，同时客户端要开启TLS配置，连6379端口会直接被拒。
  • 检查自定义参数组中的bind配置，不要手动修改绑定地址，默认配置即可，绑定到错误网卡会拒绝所有外部连接。

快速验证技巧：在和Lambda同VPC、同安全组的公有/私有子网中启动一台最小规格EC2实例，安装redis-cli工具后执行 redis-cli -h <你的Redis端点> -p <对应端口> 测试连接，如果EC2侧也无法连接，可直接判定为上述网络配置问题，和代码、IAM权限无关。

代码问题修正 #

原有代码存在两个明显问题：一是事件监听绑定在connect()调用之后，会错过初始化阶段的错误日志；二是每次Lambda触发都会新建客户端连接，既增加冷启动耗时，也容易触发Redis连接数上限；另外端口参数建议传数字类型，避免隐式转换问题。修正后的参考实现：

const redis = require("redis");
const AWS = require("aws-sdk");
const apig = new AWS.ApiGatewayManagementApi({
  endpoint: process.env.ApiGatewayEndpoint,
});

// 客户端实例定义在handler外，热启动时复用连接，降低耗时
let redisClient;

async function initRedisClient() {
  const client = redis.createClient({
    socket: {
      host: "botgo-cache.fhvwf2.ng.0001.aps1.cache.amazonaws.com",
      port: 6379, // 开启TLS的话改为6380，同时打开下方tls配置
      connectTimeout: 5000,
      // tls: true
    }
  });
  // 先绑定事件监听，再发起连接，避免遗漏初始化错误
  client.on("connect", () => {
    console.log("Redis connection established");
  });
  client.on("error", (err) => {
    console.error("Redis client runtime error:", err);
  });
  await client.connect();
  return client;
}

exports.handler = async (event, context) => {
  // 客户端不存在或连接断开时重新初始化
  if (!redisClient || !redisClient.isOpen) {
    redisClient = await initRedisClient();
  }

  const TEST_KEY = "test_node";
  await redisClient.json.set(TEST_KEY, ".", { node: 4303 });
  const value = await redisClient.json.get(TEST_KEY, {
    path: ".node",
  });
  console.log(`value of node: ${value}`);
  // 不要在handler末尾主动关闭连接，否则热启动无法复用连接
};

内容的提问来源于stack exchange，提问作者Prabhjot Singh