如何为VPC内的AWS Lambda实现高性价比的公网访问？

方案1：给Lambda的ENI绑定弹性IP（EIP） #

Lambda部署在公有子网时，自动创建的弹性网络接口（ENI）默认没有公网IP，无法主动访问公网。给这些ENI绑定EIP后，配合公有子网指向互联网网关（IGW）的路由表，就能直接访问公网。

配置步骤： #

• 打开EC2控制台的「网络接口」页面，通过标签lambda-function-name筛选出你的Lambda对应的ENI。
• 选中ENI，点击「操作」→「关联弹性IP」，选择可用的EIP完成绑定（AWS默认每个账号有5个免费EIP，超出需小额付费）。
• 确认Lambda所在公有子网的路由表，确保存在0.0.0.0/0指向IGW的默认路由。

优缺点： #

• ✅ 成本极低：EIP仅在未关联时产生闲置费用，绑定ENI后无额外成本，远低于NAT网关。
• ❌ 并发受限：Lambda的ENI数量随并发数增加，EIP有配额限制，高并发场景需申请配额提升。
• ❌ 需手动/自动化维护：Lambda自动伸缩时会创建/销毁ENI，需手动绑定或用CloudFormation/Terraform自动化绑定流程。

方案2：用低成本NAT实例替代NAT网关 #

用一台低配置EC2实例做NAT，替代昂贵的托管式NAT网关，成本能降到原来的1/10甚至更低（比如用t2.micro实例，每月仅3-5美元，还能蹭免费 tier）。

配置步骤： #

• 在公有子网启动一台t2.micro EC2实例，必须禁用「源/目标检查」（否则无法转发流量）。
• 给实例分配EIP，确保它能正常访问公网。
• 修改Lambda所在子网的路由表，添加默认路由0.0.0.0/0指向该NAT实例的私有IP。
• 配置安全组：允许Lambda的安全组出站访问NAT实例的安全组，同时允许NAT实例的安全组出站访问公网（比如开放443端口）。

优缺点： #

• ✅ 成本极低：免费 tier 实例几乎零成本，付费也远低于NAT网关。
• ✅ 支持高并发：只要实例带宽足够，能支撑大量Lambda的公网请求。
• ❌ 需少量维护：要定期更新系统、监控实例状态，不如NAT网关省心。

方案3：拆分Lambda函数，分离VPC与公网逻辑 #

把业务拆成两个独立的Lambda：一个在VPC内处理RDS/ElastiCache，另一个不进VPC（默认能访问公网），用中间件实现两者通信。

配置步骤： #

• 保留现有Lambda（函数A），仅处理VPC内的数据库/缓存操作。
• 创建新Lambda（函数B），不配置VPC，编写公网访问逻辑（比如调用google.com.br）。
• 用SQS或SNS做中间件：函数A处理完VPC内逻辑后，发送任务到SQS；函数B配置SQS触发器，处理公网请求后将结果写入S3或回调函数A。

优缺点： #

• ✅ 零额外网络成本：完全利用Lambda默认网络特性，不需要任何额外网络资源。
• ✅ 架构清晰易扩展：两个函数独立扩容，互不影响，适合长期迭代的项目。
• ❌ 增加异步复杂度：需要处理中间件的消息投递、错误重试等问题。

方案选择建议 #

• 并发量低（<5）：优先选方案1，配置简单成本最低。
• 并发量高且能接受少量维护：选方案2，性价比最高。
• 追求托管式无维护：选方案3，架构更灵活。

内容的提问来源于stack exchange，提问作者Arthur Luiz