AWS Lambda连接SFTP时，如何获取正确的防火墙白名单IP范围

首先明确：Lambda使用的VPC内部私有IP（如10.x.x.x这类）无法直接映射到AWS公布的公网出站IP范围，因为这些内部IP是AWS VPC内的复用地址，Lambda对外发起请求时会通过VPC的网络组件（互联网网关或NAT网关）转换为公网IP，而这个转换后的公网IP才属于AWS官方公布的IP段。

给你几个可行的解决方案：

• 如果Lambda部署在公共子网：
  Lambda对外访问的公网IP属于对应AWS区域的EC2服务IP范围。你可以从AWS公布的IP列表里，筛选出对应region、service字段为EC2的IP段，把这些范围加入SFTP服务器的防火墙白名单即可。

• 如果Lambda部署在私有子网：
  配置NAT网关并绑定固定的弹性公网IP（EIP），此时Lambda的所有出站流量都会通过这个EIP访问外部。直接把这个EIP添加到白名单，这是最精准的方式，不需要开放大范围IP。

• 额外提示：
  不要尝试去做内部IP到公网IP的映射——AWS不会提供这类映射关系，而且内部IP是多租户复用的，同一个内部IP可能对应不同的公网出口，完全没有实用价值。

内容的提问来源于stack exchange，提问作者JRomeo