La teva VPC està dividida en subxarxes públiques i privades. Però com es connecta realment a internet? Aquí entren dos components amb noms semblants però funcions diferents: l’Internet Gateway i el NAT Gateway. Confondre’ls és habitual, així que els deixarem claríssims amb analogies.

L’Internet Gateway és el component que connecta la teva VPC amb internet. Permet que el tràfic entri i surti entre la teva xarxa i el món exterior. Sense ell, la teva VPC està totalment aïllada d’internet.

Analogia: L’Internet Gateway és la porta principal de la teva parcel·la que dona al carrer públic. Per ella entren els visitants (usuaris que accedeixen al teu web) i surten els teus enviaments. Sense aquesta porta, ningú de fora pot entrar i tu no pots sortir.

Característiques clau:

• N’hi ha un per VPC (és un component a nivell de tota la VPC).
• És bidireccional: permet tràfic d’entrada i de sortida.
• Només les subxarxes públiques l’utilitzen (recorda: una subxarxa és pública precisament perquè té una ruta cap a l’IGW).
• És gratuït i d’alta disponibilitat (ho gestiona AWS).

Important: tenir un Internet Gateway no fa que tot a la teva VPC estigui exposat. Només els recursos en subxarxes públiques, amb IP pública i amb una regla de ruta cap a l’IGW, són accessibles. Els Security Groups (Capítol 4) continuen controlant quin tràfic concret es permet.

Aquí hi ha el component que resol el problema que plantegem al subcapítol anterior: com permet als recursos privats sortir a internet (per descarregar actualitzacions, cridar una API externa…) sense deixar que internet entri a ells?

El NAT Gateway (Network Address Translation Gateway) fa exactament això: és una porta de sortida de sentit únic per a les subxarxes privades.

Analogia: El NAT Gateway és com una porta del darrere amb un porter que només deixa sortir, no entrar. Els teus empleats (recursos privats) poden sortir a fer encàrrecs (descarregar actualitzacions, cridar serveis externs) i tornar amb el que han anat a buscar. Però ningú del carrer pot utilitzar aquesta porta per entrar. La iniciativa sempre parteix de dins.

Com funciona a la pràctica:

1. Un servidor a la subxarxa privada vol descarregar una actualització.
2. La seva petició surt a través del NAT Gateway (que està en una subxarxa pública).
3. El NAT Gateway utilitza l’Internet Gateway per arribar a internet.
4. La resposta torna pel mateix camí fins al servidor privat.
5. Però internet no pot iniciar una connexió cap a aquest servidor privat. Només respon al que el servidor ha demanat.

Exemple real: La teva base de dades està en una subxarxa privada (ben protegida). Un cop al mes necessita descarregar pegats de seguretat d’internet. Gràcies al NAT Gateway, pot fer-ho de manera segura: surt a buscar els pegats, però continua sent inaccessible des de fora. El millor dels dos mons: protegida però amb capacitat d’actualitzar-se.

A diferència de l’Internet Gateway (gratuït), el NAT Gateway costa diners: pagues per cada hora que està actiu i per cada GB de dades que hi passen. En arquitectures grans, pot convertir-se en una sorpresa a la factura.

Dada pràctica: El NAT Gateway és una de les causes freqüents de costos inesperats a VPC. Per alta disponibilitat en necessites un per AZ, cosa que multiplica el cost. Existeixen alternatives més barates per a certs casos (com una «NAT instance» autogestionada, o utilitzar VPC endpoints per parlar amb serveis d’AWS sense passar per NAT, que veurem al subcapítol 6.5). Tingues-ho en compte quan optimitzis costos (Capítol 25).

Ajuntant tot el que portem del capítol:

• L’Internet Gateway (IGW) és la porta principal bidireccional entre la teva VPC i internet. L’utilitzen les subxarxes públiques. És gratuït.
• El NAT Gateway és una sortida de sentit únic: deixa que els recursos privats surtin a internet (per actualitzar-se, etc.) però impedeix que internet entri. Es col·loca en una subxarxa pública. Es paga.
• La regla mental: IGW = entrada i sortida (públic); NAT = només sortida (privat protegit).
• Vigila el cost del NAT Gateway: per hora + per dades, i en necessites un per AZ per alta disponibilitat.

Al següent subcapítol veurem les «normes de trànsit» que fan que tot això funcioni: les Route Tables (quin camí segueix el tràfic) i les Network ACLs (un tallafoc a nivell de subxarxa).