AWS跨VPC场景下Lambda访问ElastiCache超时故障排查求助

这种超时问题我之前排查过不少，大概率是网络连通性的问题——毕竟你已经配置了AWSLambdaVPCAccessExecutionRole和AmazonElastiCacheFullAccess，IAM权限层面应该没问题。咱们一步步来定位问题：

1. 先确认跨VPC网络是否打通 #

ElastiCache默认仅允许同一VPC内的资源访问，如果你Lambda和ElastiCache分属两个不同VPC，必须先建立跨VPC的网络连通：

• 配置VPC对等连接：确保两个VPC的CIDR段无重叠，并且双方VPC的路由表都添加了指向对等连接的路由条目（把对方VPC的IP段指向对等连接ID）。
• 若涉及多个VPC，也可以用中转网关来统一管理跨VPC路由，适合更复杂的网络架构。
• 注意：如果Lambda没有配置任何VPC（处于公网环境），那绝对无法访问ElastiCache——因为ElastiCache默认没有公网IP，只能通过VPC内网访问。

2. 检查安全组与网络ACL配置 #

这是最容易踩坑的点：

• ElastiCache安全组：必须允许来自Lambda所在VPC的安全组（或Lambda弹性网络接口的IP段）的对应端口访问：
  • Redis默认端口：6379
  • Memcached默认端口：11211
• Lambda安全组：要允许出站流量到ElastiCache的端口和IP段。
• 子网网络ACL：ElastiCache所在子网和Lambda所在子网的网络ACL都要允许对应端口的入站、出站流量（网络ACL是无状态的，双向都得开）。

3. 验证ElastiCache端点正确性 #

别小看这一步，我见过不少人用错端点导致超时：

• 确保你使用的是ElastiCache的业务访问端点：比如Redis的主节点端点/集群端点，Memcached的节点端点/配置端点，而不是控制台里的管理类端点。
• 可以在Lambda代码里添加日志，打印你正在访问的端点地址，确认没有拼写错误：

  import logging
  logger = logging.getLogger()
  logger.setLevel(logging.INFO)
  
  def lambda_handler(event, context):
      cache_endpoint = "your-elasticache-endpoint.xxxx.cache.amazonaws.com"
      logger.info(f"Connecting to ElastiCache endpoint: {cache_endpoint}:6379")
      # 后续连接逻辑
  

4. 检查Lambda的VPC配置细节 #

• 确认Lambda已经关联了目标VPC，并且选择的子网是具备跨VPC访问能力的子网（比如配置了对等路由的子网）。
• 检查Lambda的弹性网络接口（ENI）是否正常创建：如果Lambda并发过高，可能会因为ENI配额不足导致无法建立网络连接，但这种情况一般会直接报错而非超时，不过也可以在Lambda控制台的“配置>网络”里查看ENI状态。
• 无需为Lambda配置NAT网关（除非Lambda需要访问公网资源），只要路由能指向ElastiCache所在VPC即可。

5. 用EC2测试连通性，缩小排查范围 #

• 在ElastiCache所在VPC启动一台EC2，用以下命令测试端点是否正常：

  telnet your-elasticache-endpoint.xxxx.cache.amazonaws.com 6379
  # 或者用nc
  nc -zv your-elasticache-endpoint.xxxx.cache.amazonaws.com 6379
  

  如果EC2能连通，说明ElastiCache本身没问题；如果连不上，先排查ElastiCache的状态和安全组。
• 再在Lambda所在VPC启动一台EC2，同样测试连通性：如果EC2能通但Lambda不能，问题大概率出在Lambda的安全组或ENI配置上；如果EC2也不通，那就是跨VPC网络的问题。

内容的提问来源于stack exchange，提问作者sjishan