Fundamentos de VPC
Subredes, route tables, internet y NAT gateways, y la frontera entre security groups y network ACLs.
Todos los demás temas de este dominio dan por sentado que la VPC debajo está bien construida. Este tema la construye. Vas a planificar un rango de direcciones que después no vas a poder redimensionar, partirlo en subredes que viven cada una en una sola zona de disponibilidad, apuntar las route tables al gateway correcto y poner los 2 firewalls delante del resultado. Son las piezas que nombra directamente la habilidad 5.1.1 del examen, y las mismas que la habilidad 5.3.1 te pide diagnosticar cuando una conexión falla.
Qué cubre este tema
- Planificación de CIDR: los tamaños de bloque permitidos, los rangos que AWS rechaza, las restricciones de los bloques secundarios y por qué la primera elección es casi permanente
- Subredes y zonas de disponibilidad, incluidas las 5 direcciones que AWS reserva en cada subred y los errores de capacidad que aparecen cuando se las ignora
- Route tables: principal contra personalizada, asociación implícita contra explícita, la ruta local, y el prefijo más largo frente a la escalera de prioridad de estática contra propagada
- Internet gateways: el NAT uno a uno que hacen para IPv4 y el requisito de dirección pública que viene con él
- NAT gateways: conectividad pública contra privada, la trampa de la disponibilidad zonal, el techo de 55.000 conexiones por destino, el idle timeout de 350 segundos y los NAT gateways regionales
- Egress-only internet gateways, y por qué IPv6 necesita otro dispositivo en vez de un NAT gateway
- Security groups: solo reglas allow, tráfico de retorno stateful, referencias entre grupos y connection tracking
- Network ACLs: reglas numeradas evaluadas hasta la primera coincidencia, tráfico de retorno stateless y los rangos de puertos efímeros que deciden si las respuestas llegan a destino
Por qué importa
La mayoría de los incidentes de VPC no son exóticos. Una subred se quedó sin direcciones durante un escalado, una route table manda el tráfico al gateway equivocado, un NAT gateway en una sola zona de disponibilidad se volvió punto único de falla, o una network ACL deja entrar la solicitud y nunca deja salir la respuesta. Cada uno de esos casos tiene un camino de diagnóstico fijo, y este tema te da el camino junto con el mecanismo que hay detrás.
El examen se concentra en las fronteras entre cosas que parecen intercambiables. Internet gateway contra NAT gateway contra egress-only internet gateway. NAT gateway público contra privado. Security group contra network ACL. En todos los casos hay una restricción del enunciado que los separa: la dirección de la conexión, la versión de IP o la necesidad de negar en vez de permitir. Aprende a detectar esa restricción y las preguntas de este dominio se vuelven cortas.