API Gateway HTTP API调用VPC内ALB的IP范围及REST API替代方案问询

核心结论：HTTP/REST API通过VPC链接访问VPC内资源时，无需关注公网IP #

当你使用VPC链接（PrivateLink）让API Gateway（不管是HTTP API还是REST API）访问VPC内的ALB时，API Gateway会在你指定的VPC子网中创建弹性网络接口（ENI），所有请求都是通过这些ENI以私有IP的形式在VPC内部通信，不会走公网。

ALB安全组的正确配置方式 #

• 直接允许VPC链接所在子网的私有IP段访问ALB的监听端口（比如80/443）
• 或者更精准地，找到VPC链接对应的ENI的私有IP，将这些IP加入ALB的入站安全组规则

关于NAT网关+Lambda方案的解释 #

你看到的那种方案是一种替代思路：

• 将Lambda部署在你的VPC内（配置VPC权限，使其能访问ALB）
• API Gateway调用Lambda，再由Lambda转发请求到ALB
• 这里的NAT网关其实是多余的（除非Lambda需要访问公网资源），这种方案本质是用Lambda做中转，绕开VPC链接的配置，但会增加额外的复杂度和运行成本，并非最优解

REST API的IP相关问题 #

• 如果REST API是公网模式（直接暴露公网端点，不通过VPC链接），它的请求来自AWS全球服务IP范围，但这个范围非常大且会定期更新，不适合直接加入安全组规则
• 如果REST API通过VPC链接访问VPC内资源，和HTTP API完全一致，依赖VPC内的ENI通信，没有固定公网IP

内容的提问来源于stack exchange，提问作者100ELL