寻求支持源NAT、代Lambda建mTLS的AWS托管服务方案

问题（翻译后） #

AWS Lambda作为REST客户端，需要与位于本地环境VPN隧道后方的服务器通信，希望通过AWS托管服务实现以下能力：

1. 源NAT：让本地服务器看到的所有请求均来自单一固定IP；
2. mTLS代理：由托管服务代所有Lambda完成mTLS客户端认证，无需Lambda自身配置；
3. 支持私有网络通信，流量通过VPN路由到本地环境。
   是否存在满足需求的服务或服务组合？同时怀疑代客户端建立mTLS存在技术挑战。

解决方案 #

完全可以通过AWS托管服务的组合满足所有需求，具体实现方式如下：

1. 私有网络通信与VPN路由

将Lambda部署在AWS VPC的私有子网内，通过AWS Site-to-Site VPN建立与本地环境的加密隧道，确保所有请求通过私有网络路由到本地服务器，全程不走公网。如果涉及多VPC或复杂本地网络架构，可搭配AWS Transit Gateway统一管理VPN连接和跨网络路由。

2. 源NAT实现单一出口IP

在VPC的公有子网部署NAT网关，并为其分配固定弹性IP。修改私有子网的路由表，将指向本地环境的流量路由到该NAT网关，这样本地服务器收到的所有请求源IP都会是NAT网关的固定弹性IP，实现单一源地址的要求。若使用Transit Gateway，也可启用其NAT功能，统一所有经TGW路由的流量出口IP。

3. mTLS代理（代Lambda完成客户端认证）

这部分可以通过两种托管方案实现，无需Lambda自身配置mTLS证书：

• 方案一：Gateway Load Balancer (GWLB) + 代理容器
  用GWLB托管基于Envoy或NGINX的mTLS客户端代理（可通过ECS/EKS部署容器）。将Lambda的请求路由到GWLB，由代理层加载统一的客户端证书，完成与本地服务器的mTLS握手。此方案灵活性高，可自定义代理逻辑。
• 方案二：AWS App Mesh
  为Lambda配置App Mesh虚拟节点，App Mesh的Envoy sidecar会自动处理mTLS客户端认证（只需在App Mesh中配置AWS私有CA及对应证书）。同时App Mesh可集成VPC路由，让流量通过VPN流向本地服务器，配合NAT网关实现源IP统一。此方案更简洁，无需维护代理容器。

补充说明 #

代客户端实现mTLS的核心是通过中间代理层统一处理证书和握手逻辑，AWS的托管服务可以很好地支撑这一架构，不存在不可逾越的技术挑战，只需根据自身架构复杂度选择合适的方案。

内容的提问来源于stack exchange，提问作者Michał Rzepecki