En AWS, ¿por qué siempre creamos la puerta de enlace NAT y las instancias en una subred pública?

Ante todo, su afirmación no es del todo cierta. Aunque la puerta de enlace NAT (Internet Gateway) siempre se encuentra en la subred pública, sus instancias no tienen que residir allí. Tomémoslo desde arriba:

• La puerta de enlace NAT es exactamente lo que sugiere su nombre, una puerta de enlace entre dos redes diferentes. Utiliza la traducción de direcciones de red (NAT) y el enmascaramiento de IP para compartir el acceso a Internet a su red local (privada) desde una única IP pública.
• Las instancias pueden residir en una subred pública y tener una IP pública asignada directamente a ellas. Por otro lado, las IP públicas son finitas y tienen un costo asociado. Por lo tanto, en muchas ocasiones, las instancias pueden residir en una red privada (o una VPC en términos de AWS) y enrutar su tráfico de Internet a través de una de las puertas de enlace NAT mencionadas anteriormente.

Excepto el costo involucrado en tener una IP pública conectada a cada instancia, existen implicaciones de seguridad, y para eso es posible que desee que residan detrás de una puerta de enlace NAT.

• Exposición a instancias. Cuando a una instancia se le asigna una IP pública, es accesible desde cualquier parte del mundo. Mientras que a veces es exactamente lo que queremos, específicamente cuando alojamos sitios web de servicios públicos, aplicaciones y otros servicios, en algunos casos no lo hacemos, y exponerlo requiere más atención con respecto a la configuración de su firewall.
• Transferencia de datos. Cuando transferimos datos de un sistema a otro, siempre existe la posibilidad de que se filtren paquetes y se filtren datos confidenciales. Aunque hay formas de evitarlo con las conexiones VPN cifradas, si podemos mantener los datos dentro de la misma red privada, evitamos tener que pasar por la molestia de implementar tales soluciones.

Una puerta de enlace NAT (o una instancia de NAT) debe proporcionar acceso a “Internet” para instancias de subred privada. Las instancias privadas ya tienen una ruta a la subred pública en una VPC (por defecto). Todo lo que necesitan es una forma de ir un paso más allá de la subred pública e Internet.

Una instancia o puerta de enlace NAT puede proporcionar ese último salto, siempre que esté en la subred pública.

Además, siga mi página de FB:

Cloud Computing para principiantes, seminario en la nube