关联Lambda@Edge至CloudFront触发originConnectError（502）问题求助

核心排查与修复方向 #

1. 检查Lambda@Edge的VPC配置 #

• 如果Lambda@Edge关联了VPC，即使是无操作函数，CloudFront调用时也会走VPC网络。若VPC没有配置NAT网关，函数将无法访问公网环境下的NLB，直接触发连接错误。
• 验证：临时移除Lambda的VPC关联配置，重新绑定到CloudFront测试。

2. 确认无操作函数的请求完整性 #

• 确保no-op函数完全原样返回请求对象，避免无意中修改了源连接的关键参数（比如协议、端口）。标准Node.js无操作函数示例：

exports.handler = (event, context, callback) => {
  const request = event.Records[0].cf.request;
  callback(null, request);
};

3. 排查Envoy Gateway的TLS兼容性 #

• 如果CloudFront配置为HTTPS访问源，需确认Envoy的TLS证书是否被AWS信任（比如使用ACM颁发的证书），同时检查SNI配置是否匹配CloudFront请求的源域名。
• 验证：临时将CloudFront源切换为HTTP协议，测试是否仍出现502错误。

4. 检查安全组与访问控制 #

• 确认Envoy所在VPC的安全组、NLB的安全组是否开放对应端口给CloudFront的边缘节点IP范围。CloudFront的IP段可通过AWS官方提供的IP列表配置。

5. 查看边缘节点日志 #

• 到CloudWatch Logs中查看Lambda@Edge在CloudFront边缘区域的执行日志，获取originConnectError的具体错误细节（比如DNS解析失败、SSL握手超时、连接超时），定位核心问题。

6. 对比Envoy与Gloo的配置差异 #

• 检查Envoy Gateway是否默认关闭了Gloo支持的某些兼容特性，比如HTTP版本兼容（HTTP/1.1 vs HTTP/2）、连接超时设置、请求头处理规则等，调整Envoy配置对齐原Gloo的兼容逻辑。

内容的提问来源于stack exchange，提问作者makaron