Deweloper zaktualizował funkcję AWS Lambda, aby działała w prywatnej podsieci VPC, dzięki czemu może grupować dane z publicznych API. VPC ma dołączoną bramę internetową (internet gateway) i używa domyślnych ustawień sieciowych list kontroli dostępu (network ACL) oraz grup bezpieczeństwa (security group). Po zmianie funkcja Lambda nie może już dotrzeć do publicznych API, mimo że API są osiągalne. Jak deweloper powinien przywrócić funkcji Lambda wychodzący dostęp do Internetu?

Funkcja Lambda działająca w prywatnej podsieci VPC nie ma bezpośredniego dostępu do Internetu, nawet jeśli VPC posiada bramę internetową. Brama internetowa jest przeznaczona dla podsieci publicznych. Aby funkcja Lambda w prywatnej podsieci mogła uzyskać dostęp do publicznych API, ruch wychodzący musi być skierowany przez bramę NAT (NAT Gateway) lub instancję NAT. Brama NAT umożliwia instancjom w prywatnej podsieci inicjowanie połączeń wychodzących do Internetu, jednocześnie uniemożliwiając połączenia przychodzące z Internetu. Pozostałe opcje są nieprawidłowe: Zezwolenie na ruch wychodzący w sieciowej liście kontroli dostępu (NACL) lub grupie bezpieczeństwa jest konieczne, ale nie wystarczy, ponieważ brakuje mechanizmu routingu do Internetu z prywatnej podsieci. Skierowanie ruchu przez nową bramę internetową jest błędne, ponieważ brama internetowa jest już dołączona do VPC i służy podsieciom publicznym; nie rozwiązuje problemu dostępu z podsieci prywatnej.