AWS CLI SSM会话在HTTP代理环境下的连接问题分析

问题背景

在使用AWS CLI进行SSM(Session Manager)会话连接时，当客户端处于网络中转环境(如调试工具)下，会出现连接异常的情况。具体表现为：虽然初始HTTPS请求能够通过中转，但后续WebSocket(wss://)连接无法建立，导致终端会话挂起无响应。

现象描述

用户配置了完整的中转环境变量后，执行aws ssm start-session命令时观察到以下现象：

1. 初始HTTPS请求能够通过中转并被捕获
2. 终端显示会话已开始("Starting session with SessionId...")
3. 但后续WebSocket流量未出现在中转日志中
4. 终端会话完全挂起，无法响应Ctrl+C中断
5. 仅能通过kill命令强制终止

技术分析

连接流程解析

AWS SSM会话建立过程分为两个阶段：

1. 初始握手阶段：通过HTTPS向ssm.us-east-1.amazonaws.com发送StartSession请求
2. 会话通道建立：使用返回的StreamUrl(wss://ssmmessages.us-east-1.amazonaws.com)建立WebSocket连接

中转环境问题

在网络中转环境下，WebSocket连接面临以下挑战：

1. 协议升级问题：WebSocket需要从HTTP协议升级，某些中转可能不支持或不正确处理Upgrade头
2. 证书验证：中转可能修改或干扰TLS握手过程
3. 长连接维持：WebSocket需要保持持久连接，而中转可能有超时限制

解决方案验证

通过设置NO_PROXY=ssmmessages.us-east-1.amazonaws.com环境变量，可以绕过中转直接建立WebSocket连接，这证实了问题确实出在中转对WebSocket协议的处理上。

深入探讨

WebSocket与中转的兼容性

并非所有HTTP中转都能正确处理WebSocket连接。需要考虑以下因素：

1. 中转是否明确支持WebSocket协议(HTTP/1.1 Upgrade机制)
2. 中转是否保持连接足够长时间以维持会话
3. 中转是否修改了关键的WebSocket握手头信息

AWS服务特殊性

AWS服务对WebSocket连接有严格要求：

1. 必须保持原始握手头信息完整
2. 需要特定的TLS配置
3. 对连接稳定性要求较高

解决方案建议

临时解决方案

1. 使用NO_PROXY排除关键域名
2. 为SSM相关服务配置直接连接

长期解决方案

1. 升级到支持WebSocket的现代中转软件
2. 配置中转明确允许WebSocket连接
3. 考虑使用AWS PrivateLink等私有连接方式

最佳实践

对于需要在中转环境下使用AWS SSM的场景，建议：

1. 测试中转对WebSocket的支持程度
2. 为AWS服务配置专门的连接策略
3. 监控连接质量，确保会话稳定性
4. 考虑使用Session Manager插件等替代方案

总结

AWS CLI的SSM功能在中转环境下可能面临WebSocket连接问题，这主要源于中转软件对WebSocket协议的支持程度。理解连接流程和协议要求，可以帮助用户更好地配置环境，确保SSM会话的稳定建立。对于安全审计等必须使用中转的场景，建议采用部分绕过策略或升级中转解决方案。