如何解决未包含在可达性分析器工具中的 AWS 资源类型之间的连接问题？ （例如 Lambda 函数）

Question

我将 Lambda 函数部署到 VPC 中的公共子网中，我正在尝试连接到 VPC 外部的 Lambda 函数，但我遇到了连接问题。

我相信安全组设置和 IAM 策略将允许连接，但我不确定从 VPC 内连接到 VPC 外 Lambda 是否存在问题。

AWS 控制台、AWS CLI 或其他任何地方是否有我可以用来排查连接失败位置的工具？ 我之前使用过 Reachability Analyzer，但它只适用于少数资源类型，例如 EC2 实例。

我已尝试从我的 VPC 内 Lambda 内部调用 VPC 外 Lambda，但该请求不起作用，而且我没有看到任何有关所发生情况的有用信息。 我尝试运行可达性分析器，但它不允许您测试 Lambda 函数是否可达。

我原以为该请求会起作用，但我不确定是否需要配置 VPC 接口端点，因为我正在从 VPC 内 Lambda 连接到 VPC 外 Lambda。

我是网络新手，非常感谢任何帮助。

Answer 1

我将 Lambda 函数部署到 VPC 中的公共子网中，我正在尝试连接到 VPC 外部的 Lambda 函数，但我遇到了连接问题。

VPC 中的 Lambda 函数永远不会获得分配给它的公共 IP。 所以它无法连接到 VPC 之外的任何东西。 它不能使用连接到公共子网的 Internet 网关，因为它没有公共 IP。

通过“连接到 VPC 外部的 Lambda 函数”，您真正在做的是连接到 VPC 外部的 AWS API。 您永远不会“连接”到 Lambda 函数，因为 Lambda 函数没有运行，只是闲置着等待您的请求。 在请求进入AWS Lambda Invoke API之前，Lambda 函数并不真正存在，此时 AWS 启动 Lambda 函数的一个实例并将调用负载传递给它。

要解决此连接问题，您需要在您的 VPC 中创建一个AWS Lambda VPC 端点，以处理源自您的 VPC 的 Lambda API 请求。 或者您需要将 VPC Lambda 函数移动到私有子网，并使用到 NAT 网关的路由。 私有子网中的 Lambda 函数可以通过 NAT 网关路由请求来访问 VPC 外部的事物。

---

我原以为该请求会起作用，但我不确定是否需要配置 VPC 接口端点，因为我正在从 VPC 内 Lambda 连接到 VPC 外 Lambda。

这不是 VPC 接口端点的工作方式。 VPC 接口端点的全部目的是允许 VPC 内的资源访问 VPC 外存在的部分 AWS API。 VPC 接口端点绝对允许您在 VPC 中运行的 Lambda 函数访问 Lambda Invoke API，以触发 VPC 外 Lambda 函数的执行。