AWS Beanstalk PrivateLink无法连通，Lambda通过VPC端点访问API超时

你使用的com.amazonaws.us-east-2.elasticbeanstalk是AWS托管的Beanstalk控制层面管理API的VPC端点，仅用于调用Beanstalk的运维接口（如创建环境、上传版本等），不提供对你部署在Beanstalk上的自定义业务应用的内网访问能力，这是配置失效的核心原因。

方案1：为Beanstalk关联的ALB创建自定义VPC端点服务（适用于负载均衡型Beanstalk环境） #

• 第一步：创建VPC端点服务
  进入VPC控制台→端点服务，选择你Beanstalk环境绑定的应用负载均衡（ALB）作为关联资源，允许你的AWS账号作为该服务的允许消费主体。
• 第二步：创建对应接口型VPC端点
  新建接口端点，服务类别选择「其他端点服务」，输入上一步创建的端点服务名称，关联Lambda所在的私有子网，安全组放通80/443端口的入站流量。
• 第三步：解决Host头匹配问题
  你的Beanstalk ALB/ Web服务默认会校验请求的Host头，直接用VPC端点域名请求会因为Host不匹配被拒绝，两种解决方式：
  • 方式1：Lambda请求时手动指定Host头为你的Beanstalk应用域名，代码示例：

    def lambda_handler(event, context):
        import urllib3
        import json
        http = urllib3.PoolManager()
        # 新增Host头配置
        headers = {'Host': 'sample-app-dev.******.us-east-2.elasticbeanstalk.com'}
        r = http.request('GET', 'http://<你的自定义ALB端点DNS地址>/', headers=headers)
        print(r.data)
        
        return {
            'statusCode': 200,
            'body': json.dumps('Hello from Lambda!')
        }
    

  • 方式2：创建Route53私有托管区，关联你的VPC，添加一条CNAME记录将sample-app-dev.******.us-east-2.elasticbeanstalk.com解析到你的VPC端点DNS地址，Lambda直接请求原公网域名即可自动走内网转发，不需要修改代码。
• 第四步：补全安全组规则
  Beanstalk ALB/实例所在的安全组，需要新增入站规则，允许VPC端点的安全组访问80/443端口，而非仅放通公网流量。

方案2：同VPC内网直接解析（无额外成本，适用于所有Beanstalk环境） #

因为你的Lambda和Beanstalk部署在同一个VPC内，本身内网链路是通的，不需要额外创建VPC端点：

• 创建Route53私有托管区关联你的VPC，添加A记录将sample-app-dev.******.us-east-2.elasticbeanstalk.com解析到Beanstalk实例/ALB的内网IP
• 确保Beanstalk实例/ALB的安全组放通Lambda安全组的80/443入站请求即可

内容的提问来源于stack exchange，提问作者user2650277