VPC Lambdaで IPv6のアウトバウンド通信が可能になりました

VPC Lambdaで IPv6のアウトバウンド通信が可能になりました

VPCLambda が IPv6 のアウトバウンド通信をサポート。 IPv6をサポートする外部APIを、NAT Gateway を経由しない利用が可能になりました。
Clock Icon2023.10.13

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

2023年10月12日、

AWS Lambdaのアップデートで、 VPC を利用する Lambda が IPv6 のアウトバウンド通信をサポートしました。

今回、VPC Lambdaから IPv6 のアウトバウンド通信用の egress-only internet gateway を経由して、 シークレットマネージャのエンドポイントが利用できる事を確認する機会がありましたので、紹介させて頂きます。

VPC

VPCの作成

ウィザードを利用して、検証用のVPCを作成しました。

VPC作成

Amazon 提供の IPv6アドレスの割当と、 Egress Only インターネットゲートウェイを有効、NAT Gatewayは存在しないVPCを作成しました。

VPCプレビュー

ルートテーブル

ルートテーブル

プライベートサブネットで利用するルートテーブル、 デフォルトルートは IPv6用の Egress Only インターネットゲートウェイのみを設定。 IPv4アドレスでのVPC外部への通信はできない環境としました。

Lambda

VPC設定

東京リージョン含む、VPC Lambdaで IPv6のアウトバウンド通信がサポートされたリージョンでは、 「デュアルスタックのサブネットの IPv6 トラフィックを許可」の設定が可能になりました。

VPCLambda設定

  • 「デュアルスタックのサブネットの IPv6 トラフィックを許可」をチェック
  • Egress Only インターネットゲートウェイのみ利用可能なプライベートサブネットを指定しました。

検証コード

Boto3(Python)を利用。 DualStack、IPv6をサポートしている secretsmanager のAPIを実行するコードを用意しました。

import boto3
client = boto3.client('secretsmanager')
def lambda_handler(event, context):
    response = client.list_secrets()
    print(response)

テスト

シークレットマネージャのAPI、実行結果を得る事ができました。

Lambnda成功

IPv6 トラフィックを許可なし

「デュアルスタックのサブネットの IPv6 トラフィックを許可」のチェックを外した場合、 エラー(タイムアウト)となりました。

Lambdaエラー

まとめ

これまで、VPC起動のLambdaが、VPC外のエンドポイントにアクセスするためには、 NAT Gateway、 VPCエンドポイントなどを経由する必要がありました。

NAT Gateway を 大量の通信が発生するトラフィックで利用した場合、処理データ 1 GB あたり 0.045USD(北米価格)の従量課金が発生。 また、可用性を担保するためルチAZ配置した場合、維持管理コストが負担となる事がありました。 IPv6 のEgress Only インターネットゲートウェイは、従来のインタネットゲートウェイ(IGW)と同等のコストで利用可能です。

VPC Lambdaから DualStack対応済み、IPv6をサポートするAPIを利用する場合には、今回のアップデートを是非お試しください。

Share this article

facebook logohatena logotwitter logo

© Classmethod, Inc. All rights reserved.