AWS Lambda + NAT 网关的替代方案

Question

快速介绍我的场景：我有一个 VPC，其中包含一个 API 网关，该网关将其调用重定向到我的 Lambda 函数，然后它们访问 RDS 实例和外部 API 调用（互联网访问）。

它的结构

由于函数需要访问 RDS，我将 RDS 和 Lambda 放在同一个 VPC 中，从而在不公开访问的情况下正确保护 RDS。现在，由于 Lambda 在 VPC 中，它们需要一个 NAT 网关来访问互联网（几乎所有这些功能都需要调用第三方 API），这就是我面临的一个巨大问题。

问题

我有一个为少数用户（从 10 到 200 个用户）提供服务的小项目，使用我创建的无服务器设置，我预计成本会每月从 3.00 美元到 10.00 美元强>。这就是没有单个 NAT 网关的成本。现在，如果我们加上网关的价格，即 $0.045 per hour - 我什至没有考虑每 GB 数据传输 0.045 美元 - 那就是 >30 美元/月。如果我不创建另一个多可用区并减轻可能的可用区故障，那就太愚蠢了——所以 >2 个 NAT 网关需要 60.00 美元。

这不仅对我来说是不切实际的，而且它是否也会使通常遵循按需方法的整个无服务器结构的点失效？

如何解决？

我的一个替代方案是将 Lambda 移出 VPC（意味着没有 VPC）并通过某种机制访问 RDS，而不使其公开访问 - 这也是我失败的地方，如何安全地访问Lambdas函数在RDS VPC之外的场景中的RDS？

在最坏的情况下 - 我知道将我的 RDS 暴露给公众是不好的 - 但是暴露它的漏洞有多大？

请记住，我并不是在责怪 AWS 的价格，这只是专注于寻找 NAT 网关的替代品 - 我很欣赏解决这种情况的建议。另外，如果我做了一个完全错误的假设，我很抱歉，我是 AWS 生态系统的新手。

Answer 1

公共 RDS 实例可以解决您的成本问题，但我强烈建议您避免这样做，因为这意味着任何人都可以发现并尝试对其进行身份验证。

Lambdas

• 因为您的 lambda 需要与 Internet 以及您的 VPC 通信，所以它们必须位于 VPC 中。
• Lambda 也不能部署到公共子网中，因此它们必须位于私有子网中
• 因为他们需要与 Internet 通信，所以您的私有子网需要 NAT

幸运的是，使用 AWS 托管的 NAT 网关不是将 NAT 附加到私有子网的唯一选择，您还可以选择运行自己的 NAT 实例。

https://docs.aws.amazon.com/vpc/latest/userguide/VPC_NAT_Instance.html

虽然不再建议这样做（NAT 网关是托管的，因此是首选），但 AWS 仍提供 NAT 实例 AMI，您可以使用它们来完成相同的工作。您应该能够在每个私有子网中运行一个 t2.nano NAT 实例（在不同的 AZ 中以获得 HA），每个大约 5 美元。

这将为您每月节省 50 美元，这意味着您可以让您的 RDS 实例存在于私有子网中，而无需公开它。唯一的缺点是现在您必须自己管理 NAT 实例（打补丁等）。