AWS Lambda无法连接同子网同安全组的RDS实例问题求助

我来帮你捋捋这个超时问题，你已经做了不少基础配置（同VPC、同安全组/子网、权限全开），但还是踩了VPC环境里的常见坑，咱们一步步排查：

1. 优先检查Lambda安全组的出站规则 #

很多人只关注RDS的入站规则，却忽略了Lambda所在安全组的出站权限：

• 确保Lambda的安全组出站规则允许访问RDS的端口（默认MariaDB是3306），目标可以设置为RDS的安全组ID（推荐，更安全），或者RDS的私有IP/子网CIDR。
• 如果之前只开了入站没开出站，Lambda根本发不出请求，自然会超时。

2. 验证子网的路由表配置 #

Lambda和RDS在同VPC，但子网的路由表可能没配置互通：

• 检查Lambda所在子网的路由表，有没有本地路由条目（目标为VPC的CIDR范围，下一跳是local）。没有这条的话，子网内的资源无法访问VPC内的其他私有资源。
• 确认RDS所在子网的路由表也有同样的本地路由，确保双向可达。

3. 确认RDS的私有网络配置 #

• 检查RDS实例是否开启了私有访问（不要勾选"公开访问"，你之前移出VPC能连，说明凭据没问题，但在VPC里要保证RDS用私有IP提供服务）。
• 验证RDS的端点是否解析到私有IP：可以在VPC内的EC2上执行nslookup <RDS端点>，看返回的是不是VPC内的IP地址。

4. 安全组入站规则的精准配置 #

你提到开放全流量能连，说明问题出在安全组的访问控制上：

• 把RDS安全组的入站规则改成仅允许Lambda的安全组访问3306端口，而不是0.0.0.0/0。用安全组ID作为源比CIDR更可靠，避免子网IP变化导致的问题。

5. 额外验证步骤 #

如果上面的配置都没问题，试试这些方法定位：

• 在VPC内启动一台EC2实例，放在和Lambda相同的子网、安全组里，用同样的凭据连接RDS。如果EC2能连，说明问题在Lambda的VPC配置；如果EC2也超时，那就是VPC/子网/安全组的基础配置有问题。
• 检查Lambda的VPC配置是否选择了至少两个子网（Lambda需要多子网实现高可用，单子网可能出现资源调度问题）。
• 查看Lambda的CloudWatch日志，有没有DNS解析失败的提示？如果有，检查VPC的DNS配置是否开启了Amazon DNS（自定义VPC需要确保DNS服务器设置为VPC的DNS地址，通常是VPC主IP+2）。

内容的提问来源于stack exchange，提问作者William Moore