AWS VPC'de public ve private subnet arasındaki fark nedir? Route table, Internet Gateway ve NAT Gateway nasıl birlikte çalışır?

Bir subnet'i "public" yapan şey bir ayar değil, route table'ında `0.0.0.0/0` hedefinin Internet Gateway'e (IGW) gitmesidir. Private subnet'te ise varsayılan rota NAT Gateway'e gider veya hiç internet rotası yoktur.

Bileşenler

• VPC: Bir bölgedeki izole sanal ağ; CIDR /16 ile /28 arası.
• Subnet: Tek bir Availability Zone'da bulunur. AWS her subnet'te 5 IP'yi rezerve eder (ilk 4 ve son adres).
• Route table: Subnet'e ilişkilendirilir; her tabloda VPC CIDR için local rotası otomatik bulunur.
• Internet Gateway: VPC'ye bağlanır, public IP'li kaynaklar için çift yönlü internet erişimi ve 1:1 NAT sağlar.
• NAT Gateway: Public subnet'te durur; private subnet'teki kaynakların dışarı çıkmasını sağlar, dışarıdan gelen bağlantıyı kabul etmez.

Örnek yapı

VPC 10.0.0.0/16
  public-a  10.0.1.0/24   RT: 10.0.0.0/16 -> local, 0.0.0.0/0 -> igw-xxx
  private-a 10.0.11.0/24  RT: 10.0.0.0/16 -> local, 0.0.0.0/0 -> nat-xxx (public-a içinde)

Load balancer ve bastion public subnet'te, uygulama ve veritabanı private subnet'te tutulur.

Dikkat edilecekler

• Yüksek erişilebilirlik için her AZ'de ayrı NAT Gateway ve her AZ'nin private route table'ı kendi NAT'ına gitmeli; aksi halde bir AZ çökünce diğerleri de internetsiz kalır ve cross-AZ veri ücreti oluşur.
• NAT Gateway trafik başına ücretlidir; S3/DynamoDB için gateway VPC endpoint kullanmak maliyeti düşürür.
• VPC CIDR'ları on-prem ve diğer VPC'lerle çakışmayacak şekilde planlanmalıdır; sonradan peering/VPN kurarken en çok bu sorun yaşanır.