如何为API Gateway WebSocket私有集成创建VPC Link？

你在VPC Link创建页看到的两个选项对应两个不同版本的VPC Link，适配场景完全不同：

• 标注仅适用于REST API、支持直接选择NLB的是VPC Link 1.0，仅能给REST API使用，不兼容WebSocket API
• 仅提供VPC、子网、安全组配置入口的是VPC Link 2.0，同时支持HTTP API和WebSocket API的私有集成，是配置WebSocket私有集成需要选择的类型

具体配置步骤 #

1. 创建VPC Link 2.0 #

• 选择第二个VPC Link创建选项
• 自定义填写VPC Link名称
• 选择NLB所在的VPC
• 子网选择至少2个可用区的私有子网，建议和NLB部署的可用区、挂载后端目标的子网保持一致，减少跨可用区网络开销
• 关联安全组：入站规则放通你的WebSocket服务使用的端口（如80/443），源段可配置为VPC内网网段；出站规则保持默认放通全流量即可
• 提交创建后等待资源状态变为Available，通常等待时长为5-10分钟

2. 绑定WebSocket API私有集成 #

• 进入WebSocket API的路由配置页，分别为$connect、$disconnect以及业务自定义路由配置集成
• 集成类型选择「私有资源」
• VPC Link下拉选中此前创建的VPC Link 2.0
• 集成端点类型选择网络负载均衡器，选中你提前创建的私有NLB及对应监听端口
• 按需配置路径转发规则：无特殊需求可保持默认路径透传，有路径映射需求可在集成请求中配置路径覆写

配置注意事项 #

• VPC Link 2.0不在创建环节绑定NLB，NLB的关联是在API集成配置阶段完成的，这也是创建VPC Link 2.0时看不到NLB选择项的原因
• 仅内部（私有）NLB需要通过VPC Link做私有集成，公网NLB直接配置公网集成即可，不需要走VPC Link
• 除VPC Link关联的安全组外，NLB自身绑定的安全组、后端WebSocket服务实例的安全组，都需要放通来自VPC Link安全组的访问流量，否则会出现连接超时、握手失败问题
• NLB的空闲连接超时时间建议和业务需要的WebSocket长连接时长匹配，避免连接被意外中断

内容的提问来源于stack exchange，提问作者Aamir Rizwan