Una VPC és la teva parcel·la tancada, però dins necessites organitzar-la en zones. Aquestes zones s’anomenen subxarxes (subnets), i la decisió més important és quines seran públiques (accessibles des d’internet) i quines privades (ocultes i protegides). Aquest és el cor del disseny de xarxes segures a AWS.

Una subxarxa és una divisió de la VPC amb el seu propi rang d’adreces (un tros del CIDR de la VPC). Cada subxarxa viu en una zona de disponibilitat (AZ) concreta.

Analogia: Si la VPC és la teva parcel·la tancada, les subxarxes són els diferents carrers o zones dins d’ella. Una zona dóna a l’entrada principal (pública); una altra està a l’interior, sense accés directe des de fora (privada).

Per exemple, si la teva VPC és 10.0.0.0/16, podries dividir-la així:

Cada /24 dóna unes 250 adreces. Fixa’t que hi ha subxarxes en dues AZ diferents: això és per a l’alta disponibilitat que vam veure al Capítol 3.

Aquí hi ha el concepte central. La diferència no està en la subxarxa en si, sinó en si té o no una ruta cap a internet:

Definició pràctica: una subxarxa és pública si té una ruta cap a un Internet Gateway (la porta a internet, subcapítol 6.3). Si no la té, és privada. Aquesta ruta és el que la fa pública o no. Ho veurem amb detall al subcapítol 6.4 (route tables).

Aquesta és la decisió de disseny que defineix la seguretat de la teva arquitectura:

Recursos que necessiten ser accessibles des d’internet:

• Servidors web que els usuaris visiten.
• Balancejadors de càrrega (Capítol 13) que reben el trànsit.
• NAT Gateways (subcapítol 6.3).

Recursos sensibles que no han de estar exposats:

• Bases de dades (mai exposis una base de dades a internet!).
• Servidors d’aplicació amb lògica de negoci interna.
• Sistemes interns, cues, processos de fons.

Exemple real — arquitectura web típica:

Internet
   │
   ▼
[Subxarxa pública]  ← Balancejador de càrrega + servidor web
   │ (es comunica internament)
   ▼
[Subxarxa privada]  ← Servidor d’aplicació + Base de dades

Els usuaris només arriben a la subxarxa pública. La base de dades, a la subxarxa privada, és invisible des d’internet: només el servidor d’aplicació (dins la VPC) pot parlar amb ella. Encara que un atacant comprometés alguna cosa, la base de dades segueix sense tenir porta d’entrada des de fora.

Posa en subxarxes públiques només el que ESTRICTAMENT necessita accés des d’internet. Tot la resta, en subxarxes privades.

Això aplica el principi de defensa en profunditat: com menys coses exposis, menor és la superfície d’atac. Una base de dades en una subxarxa privada és molt més segura que una accessible des d’internet, encara que totes dues tinguin contrasenya.

Recorda el subcapítol 3.2: per a alta disponibilitat, crea subxarxes en almenys dues AZ. Així, si una AZ falla, la teva aplicació segueix funcionant des de l’altra.

Per això el disseny habitual «mínim decent» té quatre subxarxes: una pública i una privada a cadascuna de dues AZ.

Bona pregunta que sempre sorgeix: si la base de dades o un servidor estan en una subxarxa privada (sense accés a internet), com descarreguen actualitzacions de programari, per exemple?

La resposta és el NAT Gateway, que permet als recursos privats sortir a internet (per descarregar coses) sense permetre que internet entri a ells. És un carrer de sentit únic cap a fora. Ho veurem en detall al següent subcapítol.

• Una subxarxa és una divisió de la VPC, ubicada en una AZ, amb el seu propi rang d’IPs.
• Pública = té ruta a internet (per al que ha de ser accessible). Privada = sense ruta directa a internet (per al que és sensible).
• Regla d’or: exposa només el imprescindible en subxarxes públiques; posa bases de dades i sistemes interns en subxarxes privades.
• Reparteix subxarxes en diverses AZ per a alta disponibilitat (disseny típic: pública + privada en 2 AZ).
• Els recursos privats poden sortir a internet de manera segura mitjançant un NAT Gateway (següent subcapítol).

Al següent subcapítol veurem les dues «portes» de la teva xarxa: el Internet Gateway (entrada/sortida pública) i el NAT Gateway (sortida segura per al que és privat).