La Ciudad VPC

Las redes asustan porque se explican con siglas: VPC, IGW, NAT, SG, NACL, CIDR. En esta lección las cambiamos por algo que todos conocemos: un conjunto residencial cerrado dentro de una ciudad. Cada pieza de la red de AWS tiene un equivalente: la portería, las torres, el mensajero, los porteros y las señales de tránsito.

Explora el mapa. Cada parte se puede tocar: verás qué es, cómo se ve en la consola, cómo se configura con Terraform o la CLI, sus límites y los errores que más se cometen.

IsométricaPlano

La ciudad en 3D.

Pasa el mouse para ver qué es cada pieza; haz clic para abrir su ficha. En el celular, usa los botones de abajo.

InternetRegiónVPCZona de disponibilidadInternet GatewaySubred públicaApplication Load BalancerNAT GatewayTabla de rutasSubred privadaSecurity GroupNetwork ACLPuertoVPC EndpointSubred de datosBase de datosTransit GatewayVPC PeeringSite-to-Site VPNDirect ConnectOficina del cliente

Amazon Virtual Private Cloud

VPC

AnalogíaUn conjunto residencial cerrado, con su propio rango de direcciones.

Qué esEn la consolaCómo se configuraLímitesErrores comunes

Una VPC es una red virtual aislada. Le das un rango de direcciones IPv4 en notación CIDR, por ejemplo 10.10.0.0/16 (65.536 direcciones), y dentro creas subredes.

Por defecto nada entra ni sale: tú decides qué puertas abrir. Cada región trae una default VPC creada por AWS para pruebas rápidas; para proyectos reales crea la tuya.

Su tamaño va de /16 a /28. Si te quedas corto, puedes agregar bloques CIDR secundarios.

Guía de usuario de Amazon VPC ↗

El mapa en una tabla

Las tres preguntas que se hace un paquete

Cada vez que algo intenta llegar a tu aplicación, la ciudad le hace tres preguntas. Si alguna dice que no, el paquete se devuelve.

1. ¿Hay camino? Las tablas de rutas tienen una señal hacia donde va (portería, mensajero, terminal).
2. ¿El guardia de la torre lo deja pasar? La NACL de la subred permite el puerto, de ida y de vuelta.
3. ¿El portero del apartamento lo deja entrar? El Security Group del recurso tiene una regla que lo permite.

Un diseño de referencia

Lo que ves en el mapa es el diseño más común para una aplicación web en producción: tres capas (pública, privada y datos) repetidas en dos zonas de disponibilidad.

• Pública: solo el balanceador y los NAT Gateway (uno por AZ).
• Privada: la aplicación, sin IP pública. Sale a internet por el NAT de su misma AZ.
• Datos: la base de datos Multi-AZ, sin ruta a internet, solo accesible desde la aplicación.
• Endpoints para S3 y otros servicios de AWS, para no pagar NAT ni salir a internet.