启用 VPC 后，AWS Lambda 服务无法访问目标组答案

【问题标题】：AWS Lambda service can't access target group when VPC is enabled启用 VPC 后，AWS Lambda 服务无法访问目标组
【发布时间】：2017-10-20 07:14:13
【问题描述】：

我有一个目标组，它在应用程序负载均衡器后面有两个 EC2 实例。我正在尝试构建一个 lambda 服务来监控负载均衡器侦听器之外的 EC2 实例健康状态。如果未启用 VPC，此 lambda 将按预期工作。启用 VPC 后，以下代码将失败：

client = boto3.client("elbv2", region_name=default_region_name)
tg_res = client.describe_target_groups(Names=[self.name])

API describe_target_groups 将停留在那里直到超时。

此 VPC 确实为所有 IP 提供 Internet 访问和安全组入站/出站临时开放。

我们将不胜感激。

==========更新=================== 从 lambda 日志中，超时发生在：

Starting new HTTPS connection (1): elasticloadbalancing.us-west-2.amazonaws.com

我检查了网络设置，并确定此 VPC 具有 NAT 配置。

【问题讨论】：

参考此链接：aws.amazon.com/blogs/aws/…
您能否提供有关配置的更多详细信息 - 您是将 Lambda 函数链接到公共子网还是私有子网？如果是私有的，是否有 NAT 网关或 NAT 实例可以访问 Internet？负载均衡器上的安全组配置是什么？

标签： amazon-web-services amazon-ec2 lambda

【解决方案1】：

您可能需要编辑您的 aws lambda 函数以添加 VPC 支持。你可以阅读更多关于here

【讨论】：

【解决方案2】：

通过分配另外两个仅限内部访问的子网来解决此问题。 1) 两个 EC2 实例位于一个 ALB 后面。 EC2 实例位于子网中，例如：west-2a-public、west-2b-public。这两个子网面向 Internet，可以分配公共 IP。 2）我将 lambda 服务分配到同一个子网：west-2a-public 和 west-2b-public 但它不起作用。 3) 然后我将 lambda 服务分配到另外两个子网：west-2a-private 和 west-2b-private。这两个子网有 NAT，但没有公共 IP 分配。

我猜是路由器映射的问题，但我需要时间来准确找出根本原因。到目前为止，它有效。

【讨论】：

解决了我的问题。谢谢！你知道这段时间的根本原因吗？
Ops，完全忘记了这一点，因为我现在主要在 Azure 上。很高兴它有帮助。

【解决方案3】：

我认为造成这种情况的原因如下：首先，您需要一个 NAT 网关来访问 Internet 以使用此处描述的 Lambda 函数： https://aws.amazon.com/de/blogs/aws/new-access-resources-in-a-vpc-from-your-lambda-functions/

Internet 访问 - 只要您启用此功能特定功能，该功能不再可以访问互联网默认。如果您的函数需要这种类型的访问，您将需要在您的 VPC 中设置托管 NAT 网关（请参阅新建 - 托管适用于 AWS 的 NAT（网络地址转换）网关了解更多信息信息）或运行您自己的 NAT（请参阅 NAT 实例）。

其次，如果您有一个 EC2 实例或其他服务（例如负载均衡器）需要从 Internet 入站访问，那么您还需要一个 Internet 网关。 但是，不能将 Internet 网关和 NAT 分配给一个子网。因此，您需要设置两个子网。

这是一篇描述正确设置和配置的文章： https://marcelog.github.io/articles/aws_lambda_internet_vpc.html

【讨论】：