SST项目中Lambda函数在无NAT的VPC中的使用实践

背景介绍

在AWS云环境中，Lambda函数与VPC的结合使用是一个常见的架构模式。传统上，当我们需要让Lambda函数访问VPC内的资源（如RDS数据库、ElastiCache等）时，通常会将Lambda部署到VPC中。然而，这种配置往往会带来一个隐含需求——Lambda函数需要互联网访问能力。

问题本质

SST框架的sst.aws.Function组件在设计时默认要求VPC必须配置NAT网关，这实际上限制了某些特定场景下的使用。例如：

1. 纯内部服务场景：Lambda只需要访问VPC内的资源（如RDS、内部API等），不需要任何互联网访问
2. IPv6专用场景：服务仅通过IPv6与外部通信，使用出口专用互联网网关即可，无需NAT网关
3. 成本敏感场景：希望避免NAT网关产生的额外费用

技术实现原理

AWS Lambda的VPC集成实际上是将函数部署到您指定的子网中。当不配置NAT时：

• Lambda函数无法发起IPv4的出站互联网连接
• 但仍可正常访问VPC内的资源
• 如果VPC配置了IPv6和出口专用互联网网关，仍可通过IPv6访问互联网

SST框架的演进

最初版本的SST框架强制要求VPC必须配置NAT网关，这虽然确保了大多数场景下的网络连通性，但也限制了一些特殊用例。在社区反馈后，SST团队在v3.10.14版本中将此限制从错误降级为警告，给予了开发者更多灵活性。

最佳实践建议

1. 明确网络需求：在设计架构时，明确Lambda函数是否需要互联网访问
2. 安全考虑：无NAT的配置实际上增加了安全性，避免了意外外联
3. 成本优化：对于纯内部服务，可以节省NAT网关的费用（约$32/月/可用区）
4. 混合部署：可以考虑将需要互联网访问的函数和有内网需求的函数部署到不同的VPC配置中

配置示例

// 创建一个不强制要求NAT的VPC
const vpc = new sst.aws.Vpc("MyVpc", {
  nat: false, // 明确禁用NAT
});

// 创建仅访问内网的Lambda函数
new sst.aws.Function("InternalFunction", {
  vpc: vpc,
  handler: "src/internal.handler",
});

注意事项

1. 无NAT配置下，Lambda将无法访问任何AWS公共服务端点（如S3、DynamoDB等），除非配置VPC端点
2. 函数初始化时间可能会受到影响，因为无法下载外部依赖
3. 日志推送至CloudWatch Logs需要确保有VPC端点或通过代理解决

通过理解这些技术细节，开发者可以更灵活地设计符合实际需求的Serverless架构，在安全性、成本和功能之间取得平衡。