Un desarrollador actualizó una función de AWS Lambda para que se ejecute dentro de una subred privada de una VPC, con el fin de agrupar datos de API públicas. La VPC tiene un internet gateway adjunto y utiliza la configuración predeterminada de las ACL de red y los grupos de seguridad. Después del cambio, la función Lambda ya no puede acceder a las API públicas, a pesar de que las API son accesibles. ¿Cómo debería el desarrollador restaurar el acceso saliente a internet para la función Lambda?

La respuesta correcta es enrutar el tráfico saliente desde la subred privada a través de un public NAT gateway. Las funciones de Lambda en una subred privada necesitan un NAT Gateway para acceder a Internet. El NAT Gateway permite que las instancias en una subred privada inicien conexiones salientes a Internet mientras evita que Internet inicie conexiones a esas instancias. Permitir el tráfico saliente en la ACL de red o en el security group de la función Lambda es necesario, pero no suficiente. Las ACL de red y los security groups controlan el tráfico permitido, pero no proporcionan la ruta de red necesaria para que el tráfico de una subred privada llegue a Internet. Enrutar el tráfico a través de un nuevo internet gateway no funcionaría porque los internet gateways solo se usan para subredes públicas. Una subred privada no puede comunicarse directamente con un internet gateway.