AWS环境中ALB请求挂起的可能原因及推荐诊断工具咨询

• 目标组配置异常：健康检查阈值设置过严导致正常目标实例被误判为不健康，请求被转发到空资源池；或是粘性会话配置错误，旧会话持续指向已经下线的目标实例。
• 网络层规则限制：ALB或后端目标所在子网的网络ACL入站/出站规则存在流量截断，或是安全组对后端响应端口的放行规则不全，导致ALB收不到后端返回的响应报文。
• 后端服务性能瓶颈：目标实例CPU/内存使用率过高、磁盘IO阻塞，或是应用进程线程池被占满，无法处理ALB转发的请求，也未返回超时响应。
• ALB自身配置限制：空闲超时时间设置过长导致大量半开连接占用ALB连接配额，或是开启的WAF规则存在误拦截，部分请求被检测后未返回阻断响应直接挂起。
• TLS协商异常：ALB绑定的SSL证书链不完整、客户端支持的TLS版本与ALB配置的TLS策略不匹配，协商过程无响应导致请求挂起。
• 报文大小超限：请求头或请求体大小超过ALB阈值（默认请求头最大16KB、请求体最大1MB，可手动调整），ALB未返回413状态码直接丢弃请求导致挂起。

• AWS原生工具
  • ALB访问日志：开启后可记录每个请求的请求时间、目标响应时间、状态码、客户端IP等字段，重点排查request_processing_time、target_processing_time、response_processing_time三个字段，可直接定位超时发生在哪个链路。
  • VPC流日志：开启ALB、后端目标所在子网的流日志，排查是否存在REJECT类型的流量，快速定位网络ACL、安全组的拦截问题。
  • CloudWatch指标：重点监控ALB的TargetResponseTime、ActiveConnectionCount、RejectedConnectionCount、HTTPCode_ELB_5XX指标，以及后端目标组的HealthyHostCount指标，判断ALB和目标组的运行状态。
  • AWS X-Ray：给ALB和后端应用开启X-Ray追踪，可全链路可视化请求的流转过程，精准定位请求阻塞的具体环节。
• 通用调试工具
  • curl/wget：在客户端侧或同VPC的测试实例上直接模拟请求，添加-v参数打印请求全链路的协商、响应过程，定位是否为TLS、报文格式导致的问题。
  • tcpdump/tshark：在ALB后端目标实例上抓包，对比ALB转发的请求是否到达目标、目标是否返回响应，排查后端服务的处理异常。
  • ab/wrk：压力测试工具，可模拟并发请求复现挂起问题，判断是否为高并发场景下的连接配额不足导致的故障。

内容的提问来源于stack exchange，提问作者Santosh Baruah