EC2 en Subred Privada: Conexión a Internet en AWS

Si has lanzado una instancia EC2 en una subred privada en AWS notarás que por defecto no alcanza a conectarse a Internet. Sin embargo muchas aplicaciones en producción necesitan acceder a servicios externos sin exponerse públicamente. Para eso existe el NAT Gateway, un recurso gestionado por AWS que permite a recursos privados comunicarse con Internet sin recibir conexiones entrantes directas.

Creación y requisitos básicos del NAT Gateway: un NAT Gateway siempre debe crearse en una subred pública. Entendemos por subred pública aquella cuya tabla de rutas tiene una ruta 0.0.0.0/0 apuntando a un Internet Gateway IGW. Al crear el NAT Gateway AWS provisiona automáticamente una interfaz de red elástica ENI con una IP privada tomada del rango CIDR de la subred pública y una IP pública asignada. Esa ENI es la dirección visible hacia Internet usada para hacer NAT de las IPs privadas de las instancias.

Flujo paso a paso del tráfico desde una instancia EC2 en una subred privada hasta Internet: 1) Salida de la instancia: la instancia intenta conectar hacia un host externo, por ejemplo google.com. 2) Reglas de seguridad: el tráfico saliente debe estar permitido por el Security Group asociado a la instancia. 3) NACL de la subred privada: también el Network ACL asociado a la subred privada debe permitir tráfico saliente hacia 0.0.0.0/0. 4) Tabla de rutas de la subred privada: para salir a Internet el destino 0.0.0.0/0 en la tabla de rutas debe apuntar al NAT Gateway. Si estas condiciones se cumplen el paquete llega al NAT Gateway.

Una vez en el NAT Gateway éste realiza la traducción de direcciones: sustituye la IP privada de la instancia por su IP pública asignada y mantiene la correlación de puerto para que la respuesta vuelva correctamente. El paquete traducido sale de la subred pública donde reside el NAT Gateway, por lo que debe superar también el NACL de la subred pública y cumplir la tabla de rutas pública que envía 0.0.0.0/0 al Internet Gateway. Solo después de estos pasos el paquete llega al Internet Gateway y sale a Internet.

Puntos clave y buenas prácticas: el NAT Gateway depende tanto de la configuración de la subred pública como de la privada. Cambios en la NACL o en la tabla de rutas de la subred pública pueden cortar el acceso a Internet no solo para recursos en esa subred pública sino para todas las subredes privadas que dependan del NAT Gateway. Para alta disponibilidad y menor latencia entre zonas de disponibilidad considera desplegar un NAT Gateway por cada AZ crítica. Recuerda que el NAT Gateway es administrado y escalable pero tiene costes asociados por hora y por transferencia de datos, por lo que es recomendable revisar el uso y optimizar transferencias cuando sea posible.

En Q2BSTUDIO, empresa de desarrollo de software y aplicaciones a medida, ayudamos a diseñar arquitecturas cloud seguras y escalables que integran servicios como NAT Gateway dentro de una estrategia de seguridad y disponibilidad. Ofrecemos servicios cloud AWS y Azure para desplegar infraestructuras optimizadas y también soluciones de inteligencia artificial que complementan proyectos de automatización y analítica avanzada.

Además de infraestructura trabajamos en software a medida y aplicaciones a medida diseñadas para aprovechar la nube y las capacidades de IA para empresas. Nuestro catálogo incluye ciberseguridad y pentesting para proteger entornos, servicios de inteligencia de negocio y dashboards con power bi, agentes IA y soluciones de ia para empresas que mejoran procesos y decisiones. Si tu proyecto requiere integración segura con servicios externos, optimización de costes cloud o desarrollo de software a medida, en Q2BSTUDIO podemos ayudarte a implementar la arquitectura y las políticas necesarias para que tus instancias privadas conecten a Internet de forma controlada y eficiente.

Resumen rápido: asegúrate de crear el NAT Gateway en una subred pública, valida Security Groups y NACLs de subred privada, apunta la ruta 0.0.0.0/0 de la privada al NAT Gateway, y confirma que la subred pública permite salida a través del Internet Gateway. Con estas comprobaciones tendrás una conectividad privada segura hacia Internet.