Internet gateway vs NAT gateway

Criterio	Internet gateway	NAT gateway
Sentido del tráfico	Entrada y salida	Solo salida iniciada desde dentro
A quién sirve	Subredes públicas	Subredes privadas
Dónde está	Adjunto a la VPC	En una subred pública
Costo	Sin cargo (sí la transferencia de datos)	Por hora y por GB procesado
Palabra clave en el examen	“Acceso a Internet”, “subred pública”	“Privada”, “actualizaciones”, “sin conexiones entrantes”

Security groups

Qué es: un security group es un firewall virtual con estado que se asocia a cada recurso, como una máquina virtual, y controla su tráfico de entrada y de salida.

• Solo reglas de permitir: lo que no está permitido se niega. No puedes escribir “niega esta IP”.
• Con estado: si una regla deja entrar una petición, la respuesta sale sola.
• Al crearlo: no trae reglas de entrada, así que nada entra, y trae una de salida que permite todo.
• Origen de cada regla: un rango CIDR u otro security group. Si un recurso tiene varios, se evalúan todas sus reglas juntas. Sin cargo adicional.

Analogía: el portero de un edificio con lista de invitados, que deja volver a quien vio salir. Dónde falla la analogía: el portero puede vetar a alguien; el security group no tiene lista negra, solo de invitados.

Ejemplo real: Clínica Vértice crea el security group web, que permite el puerto 443 desde 0.0.0.0/0, y bd, que permite el puerto de la base de datos solo desde web. Un servidor web nuevo con web llega a la base de datos sin tocar reglas.

Úsalo cuando: protejas cualquier recurso: es la protección principal que AWS recomienda. No lo uses cuando: debas bloquear una IP concreta: eso lo hace la network ACL.