配置AWS API Gateway对接VPC内Lambda时是否需要部署NAT Gateway？

问题现象根因解释 #

你对VPC私有子网网络规则的理解本身没有错，只是当前的API Gateway调用Lambda的链路，根本不涉及Lambda的公网访问能力，也不涉及公网直接访问VPC内资源的场景：

• 你印象中「私有子网资源需要NAT网关才能对外交互」的场景，仅适用于私有子网内的资源主动发起对公网的出站请求，或是公网用户直接访问私有子网内资源的公网IP的场景，和你当前的调用链路完全不匹配。
• 常规的API Gateway Lambda集成走的是AWS内部的服务调用链路，不会经过你VPC的网络栈：Lambda是否部署在VPC中，仅会影响Lambda代码运行时主动发起的出站请求的网络路径，完全不影响API Gateway通过AWS内部服务接口调用Lambda的逻辑。
• 就算你用的是API Gateway VPC私有集成对接Lambda，整条链路也是API Gateway访问你VPC内的VPC端点/负载均衡，再转发到Lambda，全程走AWS内网或VPC内部网络，同样不需要公网接入，也不需要Lambda具备公网访问能力。
• 你配置的VPC互联网网关、指向IGW的公网路由，仅对VPC内拥有公网IP的资源生效，私有子网内的资源默认没有公网IP，就算绑定了对应路由表也无法直接通过IGW通信，这部分配置对当前的调用链路没有任何影响。
• 你修改Lambda安全组入站规则的操作，刚好放行了API Gateway的调用源段（如果是私有集成则是VPC端点/负载均衡的IP段），自然就能打通调用链路。

注意：如果你的Lambda代码逻辑中需要主动调用公网的第三方接口，这时候才需要给私有子网配置NAT网关，否则Lambda的出站公网请求会失败，但这和API Gateway调用Lambda的入站链路完全无关。

内容的提问来源于stack exchange，提问作者Alex F