.NET 4.6.1服务部署AWS后调用外部API超时报错原因咨询

问题描述 #

我正在开发一个服务，通过HttpClient.PostAsync方法调用外部Web API接口获取数据。该服务基于.NET Framework 4.6.1构建，在localhost本地环境运行一切正常，但将代码部署到测试环境后触发如下报错：

System.Net.WebException: Unable to connect to the remote server System.Net.Sockets.SocketException: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond XX.XX.XXX.XX:443。at System.Net.Sockets.Socket.InternalEndConnect(IAsyncResult asyncResult) at System.Net.Sockets.Socket.EndConnect(IAsyncResult asyncResult) at System.Net.ServicePoint.ConnectSocketInternal(Boolean connectFailure, Socket s4, Socket s6, Socket& socket, IPAddress& address, ConnectSocketState state, IAsyncResult asyncResult, Exception& exception) --- End of inner exception stack trace --- at System.Net.HttpWebRequest.EndGetRequestStream(IAsyncResult asyncResult, TransportContext& context) at System.Net.Http.HttpClientHandler.GetRequestStreamCallback(IAsyncResult ar)

我的代码部署在AWS平台，所调用的Web API也部署在另一台AWS服务器上。请问该报错的触发原因是什么？是否是防火墙拦截了两端的通信？

问题解答 #

这个报错属于典型的TCP层连接建立失败，和.NET业务代码逻辑无关，本地运行正常是因为本地网络到目标API的连通性无限制，AWS环境下触发该问题的常见原因按优先级排序如下：

• 最高概率：安全组规则拦截
  AWS资源默认的安全组策略会拒绝所有非显式放行的流量，需要同时确认两端的安全组配置：
  1. 部署你的服务的AWS实例的出站规则，是否放开了到目标API服务器IP、443端口的HTTPS访问权限
  2. 部署目标Web API的AWS实例的入站规则，是否放开了你的服务所在实例的公网/私网IP的443端口访问权限
     若两台实例在同一VPC内，建议优先用私网IP通信，规避公网安全策略限制和带宽消耗。
• NACL（网络访问控制列表）限制
  如果你为VPC配置了NACL，需要同时检查NACL的入站、出站规则，是否允许两端的443端口通信。注意NACL是无状态策略，需要同时放行请求流量和响应流量。
• 路由配置错误
  若两台AWS实例不在同一个VPC，且未配置VPC对等连接、中转网关等跨VPC路由策略，私网IP无法直接互通。需要确认你调用API时用的是公网IP，且目标实例已绑定公网IP、公网路由表配置正常。
• 目标端服务或本地防火墙拦截
  首先排查目标服务器的443端口是否正常启动监听，目标服务器内部的防火墙（Windows防火墙、Linux iptables/firewalld等）是否拦截了443端口的外部访问。
• 代理配置不匹配
  若你的测试环境AWS实例需要走代理访问网络，你需要在HttpClient中显式配置代理，.NET Framework默认会读取系统级代理配置，若系统代理配置错误也会导致连接失败，代理配置示例代码如下：

  var handler = new HttpClientHandler
  {
      Proxy = new WebProxy("你的代理地址:端口", false),
      UseProxy = true
  };
  var httpClient = new HttpClient(handler);
  

验证方法 #

直接登录部署你的服务的AWS服务器，执行对应系统的端口连通性测试命令：

• Windows实例PowerShell执行：Test-NetConnection XX.XX.XXX.XX -Port 443
• Linux实例执行：nc -zv XX.XX.XXX.XX 443 或 telnet XX.XX.XXX.XX 443
  若上述命令返回连接失败，即可100%确认是网络策略问题，和业务代码无关。

内容的提问来源于stack exchange，提问作者Shashank Awasthy