NAT Gateway para subredes privadas en AWS

Curso de AWS Certified Solutions Architect Associate

Contenido del curso

Fundamentos de AWS

Identidad, Acceso y Gobernanza Multicuenta

Servicios de Computo en AWS

Contenedores en AWS

Redes en AWS

Escalamiento y balanceo en AWS

Almacenamiento en AWS

Bases de datos en AWS

Migración en AWS

Monitoreo y Auditoria en AWS

DNS y CDN en AWS

Servicios de Seguridad

Serverless

Servicios de Datos en AWS

Servicios de AI y ML em AWS

64
Servicios de IA y ML en AWS
04:09 min

Servicios de Backup y Recuperación ante desastres

Architect Solutions Certificate

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:006:42

NAT Gateway para subredes privadas en AWS

Curso de AWS Certified Solutions Architect Associate

Clase 21 de 69

Clase 21 / 69

Recursos

¿Cómo habilitar acceso a Internet en subredes privadas dentro de una VPC de AWS sin exponerlas a tráfico entrante? La respuesta corta es usar un NAT gateway, pero entender el porqué te servirá tanto para el examen de certificación como para diseñar arquitecturas reales en producción.

Esta guía te interesa si estás preparando la certificación de AWS Solutions Architect o si necesitas configurar redes seguras y altamente disponibles para cargas productivas.

¿Qué es una VPC en AWS y por qué importa?

Una Virtual Private Cloud es una red lógicamente aislada dentro de AWS que te permite separar entornos según el caso de uso. Tendrás al menos una VPC por cada región habilitada en tu cuenta, y dentro de ella puedes activar varias zonas de disponibilidad para asegurar que tu infraestructura siga funcionando aunque falle una ubicación física [01:02].

¿Qué es una VPC? Es una red privada virtual dentro de AWS donde defines tus propios rangos de IP, subredes y reglas de enrutamiento. Funciona como tu propio centro de datos lógico en la nube.

¿Cuál es la diferencia entre subredes públicas y privadas?

Dentro de cada zona de disponibilidad creas al menos una subred, y aquí viene la decisión clave: pública o privada.

Las subredes públicas tienen acceso a Internet de entrada y salida por defecto. Las usas para servidores que dan la cara a tus clientes.
Las subredes privadas no tienen acceso a Internet ni de entrada ni de salida. Son ideales para bases de datos o servicios internos donde la seguridad manda.
Ambas pueden comunicarse entre sí dentro de la misma VPC mediante enrutamiento local [01:55].

¿Qué tipos de gateways existen y cuándo uso cada uno?

Los gateways son las puertas que conectan tu VPC con el exterior, y elegir el correcto define la postura de seguridad de tu arquitectura.

El Internet Gateway permite conexiones bidireccionales y se asocia normalmente con subredes públicas. El NAT gateway permite tráfico saliente desde subredes privadas, pero bloquea cualquier intento de entrada. Para tráfico IPv6 existe el egress only Internet Gateway, que cumple la misma función protectora pero para esa versión del protocolo [05:50].

¿Cómo funcionan las tablas de enrutamiento dentro de una VPC?

Las tablas de enrutamiento son las reglas que deciden hacia dónde va el tráfico. En el ejemplo típico verás dos reglas en una subred pública:

La regla 10.0.0.0/16 con target local permite que las instancias se comuniquen dentro de la VPC.
La regla 0.0.0.0/0 apunta al Internet Gateway y abre la salida hacia Internet.
Las subredes privadas, en cambio, solo tienen la regla local hasta que les agregas un NAT gateway [03:18].

¿Cómo se conectan las subredes privadas a Internet con un NAT gateway?

Aquí está el corazón de la pregunta del examen. Cuando una instancia EC2 en una subred privada necesita descargar actualizaciones de software, no puedes asignarle una IP pública porque la expondrías. La solución es un NAT gateway ubicado en una subred pública.

El flujo es así: la instancia privada manda tráfico a 0.0.0.0/0, su tabla de enrutamiento lo envía al NAT gateway, este lo reenvía al Internet Gateway, y la respuesta vuelve por el mismo camino. El tráfico de entrada sin solicitar queda bloqueado, manteniendo la seguridad [04:54].

¿Qué es una IP elástica? Es una dirección IP pública estática que puedes asociar a instancias EC2 u otros servicios. Si la instancia se apaga, conservas la IP y puedes reasignarla a otra sin perderla [04:13].

¿Qué pasa si uso IPv6 en lugar de IPv4?

AWS soporta dual stack desde hace años, lo que significa que tus instancias pueden manejar IPv4 e IPv6 simultáneamente. El cambio relevante: para subredes privadas con IPv6 usas un egress only Internet Gateway en lugar de un NAT gateway. La función es idéntica, solo cambia el artefacto.

¿Cuáles son las buenas prácticas al diseñar una VPC en AWS?

AWS crea una VPC por defecto en cada región que habilites, pero esa VPC viene con subredes públicas abiertas a Internet. Sirve para pruebas rápidas, no para producción.

Crea una custom VPC donde tú decidas cuántas subredes públicas y privadas necesitas.
Distribuye tus subredes en al menos dos o tres zonas de disponibilidad para alta disponibilidad.
Define tablas de enrutamiento específicas según el rol de cada subred.
Refuerza tus conocimientos de redes antes de diseñar arquitecturas críticas; el curso de redes de Platzi es un buen punto de partida [06:25].

Volviendo a la pregunta inicial sobre cómo habilitar Internet en subredes privadas con tres zonas de disponibilidad: necesitas crear NAT gateways en las subredes públicas y actualizar las tablas de enrutamiento de las subredes privadas para que la ruta 0.0.0.0/0 apunte a esos NAT gateways. ¿Cuál fue tu respuesta? Déjala en los comentarios.

Gustavo Bautista Hernández

Hace un año

La respuesta correcta es la Opción A:

"Crear tres NAT Gateways, uno para cada subred pública en cada AZ. Crear una tabla de rutas privada para cada AZ que reenvíe el tráfico que no sea de la VPC al NAT Gateway de su AZ."

¿Por qué es la respuesta correcta?

Esta solución cumple con todos los requisitos del escenario:

Alta disponibilidad: Al colocar un NAT Gateway en cada Zona de Disponibilidad (3 en total), se elimina el punto único de fallo. Si una AZ falla, las otras dos siguen funcionando independientemente.
Arquitectura correcta: Los NAT Gateways deben ubicarse en las subredes públicas (que tienen acceso directo a Internet a través del Internet Gateway).
Enrutamiento apropiado: Cada subred privada tiene su propia tabla de rutas que dirige el tráfico destinado a Internet (0.0.0.0/0) al NAT Gateway en su propia AZ.
Permite actualizaciones: Las instancias EC2 en subredes privadas pueden descargar actualizaciones de software desde Internet a través de sus respectivos NAT Gateways.
Optimización de tráfico: El tráfico no cruza entre AZs innecesariamente, reduciendo latencia y costos de transferencia de datos.

¿Por qué las otras opciones no son correctas?

Opción B - "Crear tres instancias NAT...":

Incorrecta: Las instancias NAT son una solución legacy y menos recomendada que NAT Gateway. Requieren más gestión manual, no son tan altamente disponibles ni escalables, y AWS recomienda usar NAT Gateway en su lugar.

Opción C - "Crear una segunda gateway de Internet en una de las subredes privadas...":

Incorrecta:
- Solo puede haber un Internet Gateway por VPC
- Un Internet Gateway no puede estar en una subred privada (contradice su definición)
- Las subredes privadas por definición no tienen ruta directa a un Internet Gateway

Opción D - "Crear una gateway de Internet de solo salida (egress-only)...":

Incorrecta:
- Los Egress-Only Internet Gateways son exclusivamente para IPv6, no para IPv4
- El enunciado especifica que se utilizan bloques CIDR IPv4
- Esta solución no funcionaría para el escenario descrito

Miguel Angel Reyes Moreno

Hace un año

Gracias por este gran aporte

Fundamentos de AWS

Certificación AWS Solutions Architect Associate: Fundamentos y Preparación

Preparación para certificación AWS Arquitecto de Soluciones

Configuración de presupuestos en AWS para controlar costos

Los 6 pilares del Well-Architected Framework

Identidad, Acceso y Gobernanza Multicuenta

Cómo evitar brechas de seguridad con IAM

Creación de usuarios administrador y practicante en AWS IAM

Gestión de cuentas con AWS Organizations

Detecta recursos AWS expuestos con Access Analyzer

Cómo gestionar múltiples cuentas AWS

Servicios de Computo en AWS

Servicios de cómputo AWS: EC2, procesadores Graviton y AMIs

Compute Savings Plan para EC2 y Lambda

Cómo lanzar tu primera instancia EC2

Optimizar latencia en EC2 con tenencia dedicada

Cómo consultar metadatos de EC2 con IMDSv2

AWS Outposts: ejecutar AWS en tu data center

Despliegue de app web en Elastic Beanstalk

Contenedores en AWS

Contenedores en AWS: ECS, EKS y ECR

Gestión de imágenes de contenedores con ECR y Fargate

Configuración de clusters, tareas y servicios en Amazon ECS

Redes en AWS

Direccionamiento IP y bloques CIDR para redes AWS

NAT Gateway para subredes privadas en AWS

Configuración de instancias públicas y privadas con NAT Gateway

NACL y Security Groups en AWS

Cómo reparar un Security Group en EC2

Conectividad híbrida en AWS: VPC Peering, Transit Gateway y Endpoints

Escalamiento y balanceo en AWS

Tipos de balanceadores de carga en AWS

Configuración de balanceadores de carga en AWS para alta disponibilidad

Autoescalamiento en EC2 con Auto Scaling Groups

Cómo crear un Auto Scaling Group en EC2

Almacenamiento en AWS

Tipos de almacenamiento en AWS: EBS, EFS y S3

Instance Store vs EBS en AWS

EFS vs FSx para compartir archivos en AWS

Creación y configuración de volúmenes EBS en AWS

Transfer Acceleration para datos globales en S3

Configuración de EFS para compartir almacenamiento entre instancias

Recuperar objetos borrados en Amazon S3

Bases de datos en AWS

Bases de datos relacionales vs no relacionales en AWS

Cómo funciona DynamoDB en AWS

Creación y configuración de bases de datos Dynamo en AWS

Elasticache y DAX

RDS vs Aurora: réplicas y alta disponibilidad

Cómo configurar Aurora con alta disponibilidad en RDS

Migración en AWS

Estrategias de migración AWS: las 6 R para trasladar aplicaciones

Cómo migramos 500 TB a AWS sin downtime

Migración de datos con AWS Snow Family: opciones y características

DMS y SCT para migrar bases de datos en AWS

Monitoreo y Auditoria en AWS

CloudTrail y EventBridge en arquitecturas AWS

Monitoreo de AWS con CloudWatch

DNS y CDN en AWS

Zonas locales y de borde en AWS

CloudFront vs Global Accelerator en AWS

Failover en Route 53 para arquitectura activo-pasiva

Configuración de políticas de geoproximidad en AWS Route 53

Servicios de Seguridad

KMS vs CloudHSM para datos regulados

AWS Shield y WAF contra ataques DDoS

Servicios AWS para detectar vulnerabilidades

GuardDuty y Trusted Advisor para detectar amenazas en AWS

Serverless

API Gateway y Lambda en arquitecturas serverless

Creación y configuración de funciones Lambda para automatización

AWS SQS: Tipos de filas y configuración para arquitecturas serverless

AWS SNS y Step Functions para comunicación y workflows visuales

Servicios de Datos en AWS

Servicios de datos en AWS para tu examen

Kinesis, EMR, Glue

Casos de uso de Amazon Redshift en AWS

Servicios de AI y ML em AWS

Servicios de IA y ML en AWS

Servicios de Backup y Recuperación ante desastres