可通过 Internet 访问的可公开访问的 RDS 和 Lambda答案

【问题标题】：Publicly accessible RDS and Lambda with Internet access可通过 Internet 访问的可公开访问的 RDS 和 Lambda
【发布时间】：2020-08-01 11:21:57
【问题描述】：

我有一个需要访问 RDS 和互联网的 lambda 函数。那里的一切都表明必须设置 NAT 网关；有问题的 RDS 是可公开访问的，如果我允许从所有 IP 连接到 RDS，则 lambda 能够连接到它；但是，我想避免这种情况。有没有办法确定分配给 lambda 函数的可能 IP 范围并将该范围列入安全组中的白名单>？

【问题讨论】：

白名单 IP 被认为是不安全的。您是否试图避免 NAT 成本？通过设置 NAT EC2 实例有一种更便宜的方法
让您的 RDS 数据库可公开访问是一个糟糕的安全选择。此外，当应用程序通过其 DNS 名称连接到数据库时，DNS 名称将解析为 public IP 地址，导致流量退出 VPC，然后返回。这也会导致 1c /GB 数据传输费用。

标签： amazon-web-services aws-lambda amazon-rds aws-nat-gateway

【解决方案1】：

将您的 Lambda 定位到您的 VPC、私有子网并为 Lambda 设置安全组。之后，将 Lambda 安全组添加到 RDS 安全组的入站源。然后，Lambda 将与 RDS 私下通信。

私有子网应通过 NAT 网关将目标 0.0.0.0/0 路由到 Internet，NAT 应位于公有子网中。然后，私有子网就可以安全地连接到互联网了。

【讨论】：