如何使用 nat 网关限制 VPC 中的 inte.net 访问？

Question

我已经设置了一个带有两个 su.nets public和private的 VPC。 VPC 中有很多 lambda，其中一些需要 inte.net 访问。 所以我在 VPC 上添加了 NAT 网关。 但是，它使每个 lambda 都能够获得 inte.net 访问权限。 我如何控制哪些 lambda 可以在具有 NAT 网关的 VPC 中具有 inte.net 访问权限？

Answer 1

我假设 lambda 需要访问部署它们的 su.net 中的某些资源。

如果是这种情况，那么我建议您创建一个具有所需设置的安全组，并将该安全组分配给您想要限制访问的所有 lambda。

如果不是这种情况，您可以简单地删除 lambda 级别的 VPC 关联。

Answer 2

NAT 网关没有安全组(SG) 或访问策略。 因此，您无法使用 NAT 控制对 inte.net 的访问。 但是您可以考虑一些替代措施：

• 创建一个没有路由到 NAT 的私有 su.net ，并将您的 lambda 函数放在那里。 没有到 NAT 的路由，来自这个 su.net 的任何东西都无法与 inte.net 通信。
• 创建一个具有自定义传出规则的特殊 SG ，例如，只允许传出流量到您的 VPC 的 CIDR，或者只允许它们与之通信的 SG。
• 仅为 lambda 函数创建专用私有 VPC ，并将其与您的主要 VPC 对等。 VPC 对等互连是不可传递的，这意味着您的函数将无法使用来自主 VPC 的 NAT。

Answer 3

简单回答：任何连接到公共 su.net 的 AWS Lambda function 都将无法访问 Inte.net。

这是因为public su.net的路由表不通过NAT Gateway发送流量，Lambda function本身无法使用Inte.net Gateway访问Inte.net。