Zugriff auf private Ressourcen in einer VPC

Serverlose Anwendungen mit AWS Lambda

Claudio Canales

Senior DevOps Engineer

Was ist eine VPC?

• Eine VPC ist dein privates Netzwerk in AWS.
• Sie bietet Adressraum, Routing und Firewall-Steuerung.
• Du bestimmst, wie Ressourcen verbunden sind.

Einfache Analogie: bewachte Wohnanlage

• Subnets sind Nachbarschaften.
• Security Groups sind die Zutrittsregeln.
• NAT ist der gemeinsame Ausgang ins öffentliche Internet.

Warum Lambda in einer VPC?

• Greife auf private Ressourcen zu, z. B. interne Services oder Datenbanken.
• Security Groups steuern, womit sich Lambda verbinden darf.

Was du konfigurierst

• Subnets auswählen.
• Eine Security Group auswählen.
• Lambda erhält eine IP in deiner VPC, um private Endpunkte zu erreichen.

Subnets: wo deine Funktion läuft

• Subnets bestimmen, wo die Funktion im Netzwerk läuft.
• Private Subnets haben keine direkte Internet-Route.
• Wähle Subnets, die alles erreichen, was dein Handler braucht.

Security Groups: Firewall-Regeln

• Security Groups sind Firewall-Regeln für das Netzwerk-Interface.
• Sie steuern eingehenden und ausgehenden Traffic.
• Ausgehende Regeln entscheiden oft, ob Lambda eine Datenbank erreicht.

ENIs und Cold Starts

• ENI = Elastic Network Interface.
• Lambda muss ggf. ein ENI erstellen und anhängen, bevor dein Handler startet.
• Diese Zusatzarbeit kann Cold-Start-Latenz erhöhen.

ENI-Analogie: Netzwerkkabel einstecken

• ENI = die Netzwerkverbindung deiner Funktion.
• Es wird im gewählten Subnet erstellt.
• Mehr Setup kann langsamere Cold Starts bedeuten.

Ausgehender Internetzugang

• Private Subnets erreichen i. d. R. nicht das öffentliche Internet.
• Ohne ausgehendes Routing laufen Aufrufe an öffentliche APIs in Timeouts.
• Üblich: ein NAT-Gateway.

Wann brauchst du NAT?

• NAT nötig bei Aufrufen öffentlicher Internet-Endpunkte.
• Für reine private VPC-Ressourcen oft nicht nötig.

Häufige Symptome bei Netzwerkfehlern

• Timeouts deuten auf fehlende Routen oder NAT hin.
• Verweigerte Verbindungen weisen auf Security-Group-Regeln hin.

Best Practices

• VPC nur für private Konnektivität nutzen.
• Setup schlank halten.
• Cold-Start-Latenz und Verbindungsfehler monitoren.

Wichtigste Punkte

• VPC gibt Lambda privates Networking.
• Du konfigurierst Subnets und Security Groups.
• ENIs können Cold-Start-Overhead verursachen.
• Private Subnets brauchen NAT für ausgehendes Internet.

Lass uns üben!

Serverlose Anwendungen mit AWS Lambda