Cheat sheet

Nube y redes en una página

Lo esencial de los dos primeros módulos, para repasar antes de una entrevista, un examen o un diseño.

Infraestructura global

Región	Área geográfica con ≥ 3 AZs aisladas. Los datos no salen solos.
AZ	1 o más centros de datos; a < 100 km entre sí; latencia de 1 dígito de ms.
Local Zone	Subconjunto de servicios en una ciudad; extiende una región.
PoP	Borde de CloudFront y Route 53: caché, TLS, WAF, DDoS.
Wavelength	Cómputo dentro de la red 5G de un operador.
Outposts	Racks de AWS en tu centro de datos.

34 regiones comerciales · 124 AZs · 750+ PoPs · 15 cachés regionales (noviembre de 2026).

Global	IAM · Route 53 · CloudFront
Regional	VPC · S3 · Lambda · DynamoDB · ALB · Security Group
Zonal	Subred · EC2 · EBS · NAT Gateway

Lo zonal lo duplicas tú en varias AZs.

~200 km por milisegundo. RTT mínimo = 2 × distancia ÷ 200. Lo real suele ser 1,4 a 2 veces más.

Misma AZ	< 1 ms · sin costo con IP privada
Entre AZs	1 dígito de ms · se cobra por GB
Entre regiones	decenas a cientos de ms · se cobra por GB

Prefijo	IPs	En AWS	Salto
/16	65.536	65.531	—
/18	16.384	16.379	64 (3.º)
/20	4.096	4.091	16 (3.º)
/22	1.024	1.019	4 (3.º)
/24	256	251	1 (3.º)
/26	64	59	64 (4.º)
/27	32	27	32 (4.º)
/28	16	11	16 (4.º)

Bloque = 2^{(32 − prefijo)}. Red = múltiplo del bloque por debajo en el octeto donde corta la barra.

.0	Dirección de red
.1	Router de la VPC
.2	DNS de Amazon
.3	Reservada para uso futuro
última	Broadcast (no se usa, igual se reserva)

VPC y subredes: de /16 a /28. Rangos privados: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16.

22 / 3389	SSH / RDP (no los abras: usa SSM)
80 / 443	HTTP / HTTPS
53	DNS (UDP y TCP)
5432	PostgreSQL
3306	MySQL / MariaDB
1433	SQL Server
1521	Oracle
6379	Redis
500 / 4500	VPN IPsec (UDP)
1024–65535	Puertos efímeros (respuestas)

	SG	NACL
Nivel	Recurso (ENI)	Subred
Memoria	Stateful	Stateless
Reglas	Solo permitir	Permitir y negar
Orden	Todas	Por número, la primera gana
Fuente	CIDR o SG	Solo CIDR
Defecto	Niega entrada, permite salida	La default permite todo

Con NACL, abre la salida a 1024–65535 o la conexión se cuelga.

Gana la ruta más específica. La ruta local siempre existe.

Pública	0.0.0.0/0 → igw-…
Privada	0.0.0.0/0 → nat-… (de su misma AZ)
S3/DynamoDB	prefix list → vpce-… (Gateway, gratis)
On-prem	192.168.0.0/16 → tgw-… (y la ruta de regreso)

NAT: en subred pública, uno por AZ, cobra por hora y por GB.

Peering	1 a 1, no transitivo, sin costo por hora
Transit Gateway	Hub para muchas VPCs, VPN y DX
PrivateLink	Expone un servicio; sirve con rangos solapados
Site-to-Site VPN	IPsec, 2 túneles, hasta 1,25 Gbps por túnel
Direct Connect	Fibra dedicada, latencia estable

Herramientas: VPC Reachability Analyzer y VPC Flow Logs.