Diseño de red en Amazon VPC - Configuración de subredes y optimización de NAT Gateway
Presentamos el diseño de separación de subredes públicas/privadas, la gestión por capas de Security Groups y la reducción de costos de NAT Gateway mediante Gateway VPC Endpoints.
Descripción general de VPC
VPC es un servicio que construye una red virtual lógicamente aislada en AWS. Se define el rango de direcciones IP con bloques CIDR y se controla la red con subredes, tablas de rutas, Security Groups y Network ACLs. La separación entre subredes públicas y privadas establece los límites de seguridad entre los recursos expuestos a Internet y los recursos internos.
Diseño de subredes y NAT Gateway
Las subredes públicas tienen una ruta hacia el Internet Gateway y alojan ALB y NAT Gateway. Las subredes privadas no tienen ruta directa a Internet y alojan EC2, RDS y Lambda. NAT Gateway proporciona comunicación saliente desde subredes privadas (actualizaciones de paquetes, llamadas API), pero genera cargos por hora y por procesamiento de datos. Para el acceso a S3 y DynamoDB se utilizan VPC Endpoints (tipo gateway, gratuitos), evitando pasar por NAT Gateway y reduciendo costos. VPC Flow Logs registra el tráfico a nivel de ENI en CloudWatch Logs o S3, y se utiliza para detectar accesos no autorizados e investigar fallos de comunicación.
Diseño de Security Groups y NACL
Los Security Groups son firewalls stateful a nivel de instancia que solo definen reglas de permiso. Se recomienda separar los Security Groups por capa de aplicación (ALB), capa de lógica de negocio (EC2/ECS) y capa de datos (RDS), referenciando los IDs de Security Group para la comunicación entre capas. Las Network ACL son firewalls stateless a nivel de subred que pueden definir tanto permisos como denegaciones. Se utilizan para bloquear explícitamente el acceso desde rangos de IP específicos o para control grueso a nivel de subred. Se recomienda habilitar VPC Flow Logs para analizar el tráfico denegado por Security Groups y NACL, y revisar periódicamente la adecuación de las reglas. Para ampliar conocimientos sobre diseño de redes, también puede consultar libros especializados en Amazon.
Optimización de costos de NAT Gateway
NAT Gateway genera cargos por procesamiento de datos (aproximadamente 0,062 USD por GB) y por hora (aproximadamente 0,062 USD/hora), y los costos aumentan rápidamente en entornos con gran volumen de comunicación saliente. La medida de reducción más efectiva es configurar Gateway VPC Endpoints (gratuitos) para la comunicación con S3 y DynamoDB, evitando que pase por NAT Gateway. Para servicios AWS de acceso frecuente como ECR, CloudWatch Logs y STS, se configuran Interface VPC Endpoints para reducir el volumen de datos procesados por NAT Gateway. En configuraciones multi-AZ con NAT Gateway en cada AZ, no se generan cargos de transferencia de datos entre AZs, pero el cargo por hora se multiplica por el número de AZs. Se recomienda hacer seguimiento mensual de los costos de NAT Gateway con Cost Explorer y evaluar cuantitativamente el efecto de reducción al agregar VPC Endpoints.
Resumen
VPC es un servicio que asegura la seguridad de red en múltiples capas mediante separación de subredes, Security Groups y Network ACLs. Se separan los Security Groups por capa de aplicación, lógica de negocio y datos, y se analiza el tráfico con VPC Flow Logs. Se establece conectividad privada gratuita a S3/DynamoDB con Gateway VPC Endpoints y se optimizan los costos de procesamiento de datos de NAT Gateway.