如何为VPC内Lambda配置静态私有IP适配Tableau白名单？

针对Lambda动态IP无法加入Tableau白名单、ALB内部IP变更导致失效的问题，以下是几个低成本且完全基于私有子网的可行方案：

方案1：为Lambda绑定弹性网络接口（ENI）获取固定私有IP #

这是最直接的方案，让Lambda拥有固定不变的私有IP，无需额外中转节点：

• 创建弹性网络接口（ENI）：在目标VPC的私有子网中创建ENI，手动指定一个静态私有IP（选子网内未被分配的IP），配置允许Lambda流量入站、访问Tableau端口的安全组。
• 配置Lambda附加ENI：编辑Lambda函数的VPC设置，添加刚才创建的ENI。确保Lambda执行角色拥有ec2:AttachNetworkInterface、ec2:DescribeNetworkInterfaces权限。
• 白名单配置：将ENI的静态私有IP加入Tableau的IP允许列表。

优点：无额外计算资源成本，IP永久固定，配置简单；缺点：Lambda和ENI必须在同一可用区，跨可用区需额外绑定多个ENI。

方案2：用低成本EC2作为固定IP转发节点 #

利用一台低配置EC2实例做流量中转，为Lambda提供固定源IP：

• 部署EC2实例：在私有子网启动一台t2.micro（免费层可用）实例，分配静态私有IP，开启系统IP转发（Linux实例可通过echo 1 > /proc/sys/net/ipv4/ip_forward临时配置，写入rc.local实现开机自启）。
• 调整路由表：修改Lambda所在子网的路由表，将指向Tableau的流量路由到该EC2的私有IP。
• 安全组配置：允许Lambda所在子网的流量访问EC2，同时允许EC2访问Tableau的端口。
• 白名单配置：将EC2的静态私有IP加入Tableau的允许列表。

优点：成本极低（免费层实例几乎无成本），支持跨可用区流量转发；缺点：需维护EC2实例可用性（可配置自动恢复）。

方案3：AWS Transit Gateway（适合多VPC场景） #

若架构涉及多个VPC，可通过Transit Gateway配置静态源IP路由：

• 创建Transit Gateway并关联所有相关VPC的私有子网。
• 在Transit Gateway中配置路由规则，将Lambda流量通过带固定私有IP的中转节点转发到Tableau。
• 将中转节点的固定IP加入Tableau白名单。

优点：适配复杂多VPC架构；缺点：相比前两个方案有少量额外成本，适合大规模VPC需求场景。

注意事项 #

• 所有资源必须部署在私有子网，禁用公网IP分配，确保流量完全在VPC内部流转。
• 静态私有IP需选自子网可用IP范围，避免与自动分配IP冲突。

内容的提问来源于stack exchange，提问作者Nitesh