Een ontwikkelaar heeft een AWS Lambda-functie bijgewerkt om binnen een privé-subnet van een VPC te draaien, zodat deze gegevens van openbare API's kan groeperen. De VPC heeft een internetgateway en maakt gebruik van standaard netwerk-ACL- en security group-instellingen. Na de wijziging kan de Lambda-functie de openbare API's niet langer bereiken, hoewel de API's wel bereikbaar zijn. Hoe moet de ontwikkelaar de uitgaande internettoegang voor de Lambda-functie herstellen?

De Lambda-functie bevindt zich nu in een privé-subnet. Privé-subnets hebben geen directe route naar een Internet Gateway (IGW) en kunnen dus niet rechtstreeks communiceren met het internet. Een NAT Gateway (Network Address Translation Gateway) in een openbaar subnet is de juiste oplossing. Deze stelt instanties in privé-subnets in staat om uitgaande verbindingen met het internet te initiëren, terwijl het internet geen inkomende verbindingen naar die instanties kan initiëren. Het toestaan van uitgaand verkeer in de netwerk-ACL of security group is noodzakelijk, maar lost het ontbreken van een route naar het internet niet op. Het routeren via een nieuwe internetgateway is onjuist, omdat een privé-subnet nooit direct via een IGW communiceert; daarvoor is altijd een NAT-apparaat nodig.