无法为私有AWS API Gateway建立SSH隧道的问题排查

1. 403错误和忽略TLS证书无关 #

你遇到的403 Forbidden不是因为忽略证书（-k参数），核心原因是请求的Host头不匹配：

• 当你用curl localhost:8888/dev/<my endpoint>时，curl默认发送的Host头是localhost:8888，但AWS API Gateway的私有API是绑定在<api-id>.execute-api.eu-west-1.amazonaws.com这个域名上的，它只会处理Host头匹配该域名的请求。
• 因为Host头不对，API Gateway甚至没有把这个请求关联到你的API，所以你的访问日志里完全看不到记录，直接返回403。
• -k只是跳过了TLS证书的域名验证，但没法修正Host头的问题，所以即使加了-k还是会403。

2. 这类SSH隧道完全可以成功搭建 #

你的隧道命令是正确的，只需要调整本地请求的方式，让它符合API Gateway的要求：

方法一：指定Host头并保留证书验证（推荐）

不用-k，而是用--resolve参数让curl把API域名解析到本地的8888端口，这样既满足证书的域名验证，又能正确发送Host头：

curl --resolve <api-id>.execute-api.eu-west-1.amazonaws.com:8888:127.0.0.1 https://<api-id>.execute-api.eu-west-1.amazonaws.com:8888/dev/<my endpoint>

这个命令会告诉curl：当访问<api-id>.execute-api.eu-west-1.amazonaws.com的8888端口时，直接连接127.0.0.1，这样证书里的域名和请求的域名一致，不需要忽略证书，同时Host头也是正确的API域名，API Gateway会正常处理请求。

方法二：指定Host头并忽略证书（临时测试用）

如果不想处理证书验证，也可以保留-k，但必须加上正确的Host头：

curl -k -H "Host: <api-id>.execute-api.eu-west-1.amazonaws.com" https://localhost:8888/dev/<my endpoint>

这种方式也能让请求被API Gateway正确识别，但跳过证书验证有安全风险，只适合临时测试。

3. API Gateway私有REST API确实不支持明文HTTP #

你说得没错，VPC内的私有API Gateway REST API只支持HTTPS访问，因为VPC端点（PrivateLink）本身就是基于TLS加密的，没有HTTP选项。所以你只能通过HTTPS隧道的方式来做本地测试，没法用明文HTTP简化流程。

内容的提问来源于stack exchange，提问作者JHH