求助：Amazon AWS环境下HTTPS访问WebSocket出现握手超时问题

我之前在AWS上部署WebSocket服务时也碰到过一模一样的坑，折腾了好一阵才找到根源，给你梳理几个最可能的排查方向，按顺序试试应该能解决：

1. 先检查安全组和网络ACL的端口权限 #

WebSocket over HTTPS依赖443端口，这是最容易被忽略的基础配置：

• 检查EC2实例/ECS任务的安全组：确保入站规则允许TCP 443（生产环境建议限制客户端IP范围，测试阶段可暂时放开0.0.0.0/0）
• 检查子网的网络ACL：入站和出站规则都要允许TCP 443流量——网络ACL是双向拦截的，出站没开也会导致握手失败
• 额外注意：如果后端服务用的是自定义端口（比如8080），还要确保ALB到后端实例的端口在安全组里是允许的

2. 应用负载均衡（ALB）的配置验证 #

如果用了ALB转发流量，这是故障高发区：

• 确认ALB的Listener配置：有没有创建443端口的HTTPS监听器，并且关联了有效AWS ACM证书（证书必须覆盖你的访问域名）
• 检查目标组设置：目标组协议和后端匹配即可（比如后端用HTTP，目标组选HTTP），ALB会自动处理WebSocket升级，但要确保目标组健康检查正常——健康检查失败的话，ALB不会转发流量，直接导致超时
• 验证Listener规则：有没有把WebSocket的路径（比如/ws）正确转发到对应目标组，别不小心转到了普通HTTP服务的目标组
• 排查WAF规则：如果ALB绑定了WAF，要检查是否拦截了Upgrade: websocket请求头，这类规则会直接阻断握手

3. SSL证书有效性检查 #

证书问题会直接导致握手失败：

• 确认ACM证书是已颁发状态，且域名完全匹配（比如你访问wss://api.yourdomain.com，证书必须覆盖这个域名）
• 用命令验证证书链完整性：在本地终端运行openssl s_client -connect your-domain:443，看输出里是否有Verify return code: 0 (ok)，如果有错误，说明证书链缺失或无效
• 注意：自签名证书在生产环境会被客户端拒绝，测试环境需确保客户端手动信任该证书

4. 后端服务的WebSocket升级配置 #

如果后端用了反向代理或自定义服务，要确保支持WebSocket升级：

• 比如Nginx反向代理，必须添加以下配置来支持握手：

  location /ws {
      proxy_pass http://your-backend-service;
      proxy_http_version 1.1;
      proxy_set_header Upgrade $http_upgrade;
      proxy_set_header Connection "upgrade";
      proxy_set_header Host $host;
  }
  

• 如果是Node.js等自定义服务，确认服务正确处理Upgrade请求头（比如ws库默认支持，但要确保监听端口和ALB/安全组配置一致）
• 在后端实例上运行netstat -tulpn | grep 443（或自定义端口），确认服务在正常监听

5. CloudFront（若使用）的配置检查 #

如果用了CloudFront作为CDN，需注意：

• 在CloudFront行为设置里，开启「WebSocket支持」（前提是Origin为ALB或支持WebSocket的后端）
• 确保Origin Protocol Policy设置为「HTTPS Only」或「Match Viewer」，避免HTTP到HTTPS的转发冲突
• 给WebSocket路径（比如/ws/*）设置专属缓存策略，选择「不缓存」——长连接不需要缓存，错误的缓存配置会导致握手异常

6. 客户端与外部网络排查 #

最后排除客户端和外部环境问题：

• 确认客户端用的是wss://协议，而非ws://——用ws://访问443端口必然超时
• 换个网络环境测试（比如手机热点），排除企业内网防火墙拦截WSS流量的可能
• 查看浏览器控制台Network标签，观察握手请求的状态码：5xx说明后端/ALB故障；4xx可能是路径或权限问题

如果以上都排查完还是不行，可以抓包分析：在EC2实例上运行tcpdump port 443 -w handshake.pcap，发起请求后用Wireshark打开抓包文件，确认是否收到客户端握手请求、后端是否有响应。

内容的提问来源于stack exchange，提问作者Rahul Koshti