AWS API Gateway限制仅OpenVPN IP访问偶发匿名无权限报错

偶发权限报错核心原因 #

• OpenVPN出口存在多个公网IP，资源政策仅配置了部分IP，未覆盖所有出口地址
• API Gateway同时开启了其他身份验证方式（如IAM授权、Cognito授权），和资源政策IP限制逻辑产生冲突
• API前端配置了CDN/CloudFront代理，API Gateway默认取代理节点IP而非终端真实IP，导致IP校验偶发不通过
• 资源政策的API ARN配置不完整、IP漏写CIDR后缀，导致部分请求路径/IP未命中允许规则

具体配置修复步骤 #

1. 校准OpenVPN出口IP范围 #

连接VPN后多次执行curl ifconfig.me，确认是否有多个公网IP返回，把所有出现的IP都补充到资源政策的允许列表中。
参考正确的资源政策示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "execute-api:Invoke",
            "Resource": "arn:aws:execute-api:<区域ID>:<AWS账号ID>:<API ID>/*/*/*",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "第一个VPN出口IP/32",
                        "第二个VPN出口IP/32"
                    ]
                }
            }
        }
    ]
}

注意Resource字段要替换为你的API完整ARN，不要缺段，你报错中的ARN是截断状态，很可能是之前写的ARN范围不对导致部分路径校验不通过。

2. 关闭冲突的授权配置 #

进入API Gateway对应API的配置页，找到「资源」下的「方法请求」配置，把授权项设置为NONE，仅保留资源政策做IP限制即可，避免双重授权冲突。

3. 修复代理场景下的IP识别问题 #

如果API前端接入了CloudFront/其他CDN，需要调整校验逻辑：要么在CDN层先做IP限制，API Gateway仅放开CDN节点IP段的访问权限；要么在API Gateway开启X-Forwarded-For头校验，调整资源政策的Condition规则，同时允许CDN节点IP和真实终端VPN IP。

4. 强制部署配置生效 #

修改完资源政策和授权配置后，必须点击「部署API」，将修改同步到对应的访问阶段，未部署的配置不会生效，这也是偶发异常的高频诱因。

内容的提问来源于stack exchange，提问作者Mohammad Fawaz