构建Lambda与RDS Aurora：无公网访问的VPC是否需NAT网关及路由表？

咱们直接针对你的场景拆解所有疑问：

1. 是否需要创建NAT网关？ #

答案：不需要，除非你的Lambda需要访问公网资源

• 你的核心需求是RDS Aurora无需公网访问，Lambda仅需和Aurora通信。这种情况下，Lambda只要部署在和Aurora同VPC的私有子网内，通过VPC自带的本地路由就能直接访问Aurora，完全不需要NAT网关。
• 只有当Lambda需要调用公网服务（比如第三方API、或者AWS某些无VPC端点的服务）时，才需要NAT网关让Lambda出站访问公网。如果没这个需求，就省掉这个额外成本和配置。

2. 默认路由表是否足够？需要额外创建路由表吗？ #

答案：默认路由表完全够用，额外路由表是可选优化

• 每个VPC的默认路由表自带一条local路由，允许VPC内所有子网之间的自由通信（比如Lambda子网和Aurora子网互访）。只要你的私有子网都关联这个默认路由表，且不需要其他特殊路由规则（比如指向NAT网关的路由），就完全满足需求。
• 如果你有严格的安全隔离需求（比如想限制Lambda子网只能访问Aurora子网，不能碰VPC内其他资源），可以单独创建路由表并配置更严格的规则，但这不是必须的，属于进阶安全优化。

3. 仅创建含3个私有子网的VPC并关联Lambda，是否可行？ #

答案：可行，但要注意几个关键细节

• Lambda关联VPC时，要求至少2个跨可用区的子网（保证高可用性），3个当然没问题，多AZ部署反而更可靠。
• 安全组配置不能马虎：
  • Lambda的安全组要允许出站流量到Aurora的对应端口（MySQL默认3306，PostgreSQL默认5432）
  • Aurora的安全组要允许入站流量来自Lambda的安全组（别直接开0.0.0.0/0，遵循最小权限原则）
• 容易忽略的点：Lambda在VPC内如果没有NAT网关或VPC端点，无法向CloudWatch推送日志。哪怕你不需要公网访问，日志排查问题很重要，所以建议创建CloudWatch Logs的VPC端点（com.amazonaws.<你的区域>.logs），这样Lambda就能正常输出日志了。

内容的提问来源于stack exchange，提问作者Joey Yi Zhao