La VPC por defecto

Cada Región de tu cuenta trae una VPC por defecto, lista para usar:

• Rango 172.31.0.0/16.
• Una subred /20 en cada AZ, que asigna IP pública a lo que lances.
• Un Internet gateway y, en la tabla de rutas principal, la ruta 0.0.0.0/0 hacia él.
• Un security group y una network ACL por defecto, que verás más adelante.

Sirve para empezar rápido; para producción, crea tu VPC con subredes privadas.

Subredes públicas y privadas

Qué es: una subred es un rango de IP dentro de la VPC, un trozo de su CIDR, que vive en una sola AZ. Lo que la hace pública o privada no es un ajuste propio, sino su tabla de rutas:

• Pública: su tabla de rutas tiene una ruta a un Internet gateway, la puerta de la VPC a Internet (el bloque siguiente). Lo que tenga IP pública ahí puede hablar con Internet.
• Privada: sin ruta al Internet gateway. Desde Internet nadie llega a ella.
• Tabla de rutas: cada subred tiene una; si no eliges, usa la principal de la VPC. Todas incluyen la ruta local, que comunica todo lo de dentro de la VPC.

Analogía: en el edificio de la VPC, la recepción tiene puerta a la calle y el archivo no. Dónde falla la analogía: aquí la puerta es una línea en una tabla de rutas. Borras la ruta y la subred pública se vuelve privada, sin mover nada.

Ejemplo real: Clínica Vértice pone su web en una subred pública, 10.20.1.0/24, y la base de datos en una privada, 10.20.2.0/24; se hablan por la ruta local. Así se responde la pregunta 1 del inicio: las distingue la ruta al Internet gateway. Para alta disponibilidad (Sesión 2), repite el par en otra AZ.

Úsalo cuando: separes lo que recibe tráfico de Internet (pública) de lo que no (privada). No lo uses cuando: quieras una subred en dos AZ: no existe; crea una por AZ.