如何通过AWS VPC端点向IOT发布/订阅事件及Lambda发布失败排查

你遇到的超时问题核心原因是代码中指定了IoT公网端点，运行在私有子网的Lambda在无NAT网关的场景下没有公网访问能力，无法访问公网IoT端点，因此请求超时。添加NAT网关后私有子网获得公网访问能力，因此功能正常，你此前创建的IoT数据VPC端点在此过程中并未被使用。

方案1：无NAT网关，使用已创建的VPC端点访问IoT #

你可以通过以下配置直接通过私有网络访问IoT，无需配置NAT网关：
创建IoT VPC端点时已选中Lambda所在的两个私有子网，系统会自动在对应子网的路由表中添加指向VPC端点的路由，无需手动配置路由规则，只需完成以下任意一项配置即可：

• 方式一：修改代码中的endpoint参数
  将你代码中endpoint变量的值替换为你创建的com.amazonaws.eu-central-1.iot.data类型VPC端点的私有DNS地址，该地址可在AWS控制台VPC端点的详情页查询，格式通常为<端点ID>.iot-data.eu-central-1.vpce.amazonaws.com
• 方式二：启用VPC端点私有DNS，无需修改代码
  进入VPC端点的配置页，开启「私有DNS名称」功能，开启后你VPC内的请求会自动将IoT公网域名解析为VPC端点的私有IP，无需修改现有代码的endpoint配置即可走私有网络访问IoT服务。

补充校验项：确认VPC端点关联的安全组已允许来自Lambda安全组的TCP 443端口入站流量，你当前配置的允许所有流量规则可满足要求。

方案2：保留NAT网关配置 #

如果你的业务场景中Lambda本身需要访问其他公网服务，可以直接保留当前的NAT网关配置，私有子网路由表绑定NAT网关的公网路由即可，无需额外修改IoT相关配置。

内容的提问来源于stack exchange，提问作者Naveen