Saltar al contenido
CLF-C02Sesión 6 · Redes y VPC

Hazlo tú (20 min)

Recorres la VPC por defecto, creas una VPC con subred pública y privada, y la borras.

Costo: $0. La VPC, las subredes, las tablas de rutas, el Internet gateway, los security groups y las network ACL no tienen cargo adicional. Aquí no creas lo que sí cobra: NAT gateways, IP públicas en uso ni máquinas virtuales.

Plan gratuito: Amazon VPC figura entre los servicios gratuitos del registro simplificado, pero AWS no lo confirma para toda cuenta del plan gratuito. Si no te deja crear la VPC, no pases al plan de pago: haz las partes A y D.

Identidad: entras como estudio-diario, con MFA. Para crear y borrar (partes B y C y la limpieza) cambias al rol laboratorio, como en la Sesión 5. No uses el usuario raíz.

Parte A · Explorar la VPC por defecto (como estudio-diario).

  1. Entra con estudio-diario, elige la Región de la Sesión 2 y abre VPC desde el buscador.
  2. En Your VPCs, busca la que tiene Default VPC en Yes y su IPv4 CIDR, 172.31.0.0/16. Si no existe, sigue con la parte B; no la crees.
  3. En Subnets, filtra por esa VPC. Cuenta una subred por AZ, cada una /20, con Auto-assign public IPv4 address en Yes.
  4. En Route tables, abre la de esa VPC, pestaña Routes: 172.31.0.0/16 hacia local y 0.0.0.0/0 hacia un igw-…. Por eso sus subredes son públicas.
  5. En Network ACLs, abre la de esa VPC. En Inbound rules verás la regla 100, que permite todo, y la regla *, que niega lo demás.

No modifiques la VPC por defecto.

Parte B · Crear tu VPC (con el rol).

  1. En el menú de arriba a la derecha, elige Switch role › laboratorio, en la misma Región.
  2. En la consola de VPC, elige Create VPC y, en Resources to create, VPC and more.
  3. En Name tag auto-generation escribe lab-s06 y en IPv4 CIDR block, 10.0.0.0/16. Elige No IPv6 CIDR block y Tenancy en Default.
  4. En Number of Availability Zones (AZs) elige 1. En Number of public subnets, 1, y en Number of private subnets, 1.
  5. Revisa estas tres opciones: el asistente puede traer otras marcadas.
    • NAT gateways: None. Cualquier otra opción crea un NAT gateway, que cobra por hora.
    • VPC endpoints: None. Son accesos privados a servicios que no necesitas; algunos cobran.
    • Egress only internet gateway: No.
  6. En el panel Preview deben aparecer la VPC, dos subredes, sus tablas de rutas y un Internet gateway, sin NAT gateway. Elige Create VPC y luego View VPC.

Parte C · Revisar rutas y crear un security group (con el rol).

  1. En la pestaña Resource map de tu VPC, sigue las líneas: la subred pública llega al Internet gateway por su tabla de rutas; la privada, no.
  2. En Route tables, abre la tabla pública de lab-s06, pestaña Routes: local y 0.0.0.0/0 hacia el igw-…. La tabla privada solo tiene local.
  3. En Security groups, elige Create security group, con nombre web-lab-s06, una descripción y la VPC lab-s06-vpc.
  4. En Inbound rules, elige Add rule, tipo HTTPS y origen Anywhere-IPv4. Observa que no hay opción de negar y que la regla de salida ya permite todo. Elige Create security group.

Comprueba: explicas qué hace pública a una subred y por qué web-lab-s06 no necesita regla de salida para responder.

Limpieza (con el rol, antes de Switch back):

  1. En Your VPCs, marca lab-s06-vpc y elige Actions › Delete VPC. La consola lista lo que borra con ella: subredes, tablas de rutas, Internet gateway, network ACL y web-lab-s06. Escribe delete y confirma.
  2. Comprueba que en Your VPCs solo queda la VPC por defecto y que NAT gateways y Elastic IPs están vacíos.
  3. Si creaste un NAT gateway por error, la VPC no se deja borrar. Bórralo en NAT gateways › Actions › Delete NAT gateway y libera su IP pública en Elastic IPs › Actions › Release Elastic IP addresses: ambos cobran por hora. Luego repite el paso 1.
  4. Elige Switch back: vuelves a ser estudio-diario, solo lectura.

Parte D · Diseñar en papel (5 min). Dibuja la red de Clínica Vértice en dos AZ: la web accesible desde Internet y la base de datos, no. Incluye CIDR, Internet gateway, rutas y un security group por capa.

Comprueba: una subred pública y una privada por AZ; solo las tablas públicas envían 0.0.0.0/0 al Internet gateway; la base de datos admite tráfico solo desde el security group de la web.

77