使用Terraform添加AWS Network Firewall端点作为路由遇问题

错误原因 #

报错是因为aws_networkfirewall_firewall.Transit_FW.firewall_status.sync_states是列表类型，直接访问.attachment.endpoint_idTerraform无法识别具体要取列表里的哪一个元素。每个sync_states元素对应一个可用区的防火墙实例。

解决方案1：直接访问单AZ防火墙的端点ID（适合单AZ部署） #

如果你的Network Firewall是单AZ部署，直接通过列表索引指定第一个元素即可：

resource "aws_route_table" "Inspection_VPC_IGW_Ingress_RT" {
  vpc_id = aws_vpc.Inspection_VPC.id
  
  route {
    cidr_block      = "172.0.0.0/8"
    vpc_endpoint_id = aws_networkfirewall_firewall.Transit_FW.firewall_status.sync_states[0].attachment.endpoint_id
  }

  tags = {
    Name = "Inspection_VPC_RT_IGW"
  }
}

解决方案2：使用Network Firewall的ENI配置路由（满足你的需求） #

如果要通过network_interface_id配置路由，同样需要从sync_states列表中提取对应AZ的ENI ID：

单AZ场景 #

resource "aws_route_table" "Inspection_VPC_IGW_Ingress_RT" {
  vpc_id = aws_vpc.Inspection_VPC.id
  
  route {
    cidr_block            = "172.0.0.0/8"
    network_interface_id  = aws_networkfirewall_firewall.Transit_FW.firewall_status.sync_states[0].attachment.network_interface_id
  }

  tags = {
    Name = "Inspection_VPC_RT_IGW"
  }
}

多AZ场景（自动为每个AZ配置路由） #

如果是多AZ部署的防火墙，建议用for_each遍历sync_states，为每个AZ的ENI创建对应路由：

resource "aws_route_table" "Inspection_VPC_IGW_Ingress_RT" {
  vpc_id = aws_vpc.Inspection_VPC.id
  
  dynamic "route" {
    for_each = aws_networkfirewall_firewall.Transit_FW.firewall_status.sync_states
    content {
      cidr_block            = "172.0.0.0/8"
      network_interface_id  = route.value.attachment.network_interface_id
    }
  }

  tags = {
    Name = "Inspection_VPC_RT_IGW"
  }
}

补充说明 #

• sync_states列表中的每个元素包含对应可用区的防火墙实例状态，其中attachment字段包含endpoint_id（VPC端点ID）和network_interface_id（ENI ID）。
• 多AZ场景下使用dynamic "route"可以自动匹配每个AZ的防火墙ENI，无需手动指定索引。

内容的提问来源于stack exchange，提问作者charles uneze