Accesso a risorse private in una VPC

Applicazioni serverless con AWS Lambda

Claudio Canales

Senior DevOps Engineer

Cos'è una VPC?

• Una VPC è la tua rete privata in AWS.
• Fornisce spazio di indirizzi, routing e controlli firewall.
• Decidi tu come si connettono le risorse.

Un'analogia semplice: condominio recintato

• Le subnet sono quartieri.
• I security group sono le regole al cancello.
• Il NAT è l'uscita condivisa verso Internet pubblico.

Perché eseguire Lambda in una VPC?

• Raggiungi risorse private come servizi interni o database.
• I security group controllano a cosa può connettersi Lambda.

Cosa configuri

• Seleziona le subnet.
• Scegli un security group.
• Lambda ottiene un IP nella tua VPC per raggiungere endpoint privati.

Subnet: dove gira la funzione

• Le subnet definiscono dove gira la funzione nella rete.
• Le subnet private non hanno una rotta Internet diretta.
• Scegli subnet che raggiungano ciò che serve al tuo handler.

Security group: regole firewall

• I security group sono regole firewall per l'interfaccia di rete.
• Controllano traffico in ingresso e in uscita.
• Le regole in uscita spesso determinano se Lambda può raggiungere un database.

ENI e cold start

• ENI = Elastic Network Interface.
• Lambda può dover creare e collegare un ENI prima di invocare l'handler.
• Questo setup extra può aumentare la latenza del cold start.

Analogia ENI: collegare un cavo di rete

• ENI = la connessione di rete della tua funzione.
• Viene creato nella subnet selezionata.
• Più setup può significare cold start più lenti.

Accesso Internet in uscita

• Le subnet private di solito non raggiungono Internet pubblica.
• Senza routing in uscita, le chiamate a API pubbliche vanno in timeout.
• Approccio comune: un NAT gateway.

Quando serve il NAT?

• Serve il NAT quando chiami endpoint su Internet pubblico.
• Il NAT può non servire se usi solo risorse private nella VPC.

Sintomi comuni di rete errata

• Timeout suggeriscono rotte o NAT mancanti.
• Connessioni rifiutate indicano regole dei security group.

Best practice

• Usa la VPC solo per connettività privata.
• Tieni il setup minimo.
• Monitora latenza di cold start ed errori di connessione.

Punti chiave

• La VPC dà a Lambda rete privata.
• Configuri subnet e security group.
• Gli ENI possono aggiungere overhead al cold start.
• Le subnet private richiedono NAT per l'uscita su Internet.

Passiamo alla pratica!

Applicazioni serverless con AWS Lambda