Hasta ahora hemos lanzado servidores (EC2) y guardado archivos (S3). Pero ¿dónde «viven» esos servidores a nivel de red? ¿Cómo se comunican entre ellos de forma segura y aislada del resto del mundo? La respuesta es la VPC, el servicio de redes de AWS. Es un tema que asusta a muchos principiantes, pero con las analogías correctas se entiende perfectamente.

VPC significa Virtual Private Cloud (Nube Privada Virtual). Es tu red privada y aislada dentro de AWS, donde colocas tus recursos (instancias EC2, bases de datos…) y controlas cómo se comunican entre sí y con el exterior.

Analogía: Imagina que AWS es una ciudad enorme llena de edificios (recursos). Una VPC es tu propia parcela vallada dentro de esa ciudad. Dentro de tu parcela tú decides cómo organizar las calles, qué puertas dan a la calle pública y cuáles permanecen privadas. Nadie de fuera entra sin tu permiso, y lo que pasa en tu parcela está aislado de las parcelas de los demás.

Sin una red, tus servidores no podrían comunicarse de forma controlada ni segura. La VPC te da:

1. Aislamiento: tus recursos están separados de los de otros clientes de AWS. Es tu espacio privado.
2. Control: tú decides qué es público (accesible desde internet) y qué es privado (solo accesible internamente).
3. Seguridad: puedes poner los recursos sensibles (como una base de datos) en zonas a las que internet no llega.
4. Organización: estructuras tu red en subredes según su función.

Por qué importa tanto la seguridad aquí: una de las peores ideas en la nube es poner tu base de datos accesible directamente desde internet. Con una VPC, colocas la base de datos en una zona privada, de modo que solo tus propios servidores pueden hablar con ella. Si un atacante busca tu base de datos en internet, sencillamente no la encuentra porque no tiene salida ni entrada pública.

Cuando creas una cuenta de AWS, esta viene con una VPC por defecto ya configurada en cada región, lista para usar. Por eso puedes lanzar una instancia EC2 «sin pensar en redes»: en realidad estás usando esa VPC por defecto.

Sin embargo, para proyectos serios, lo habitual es crear tu propia VPC con la estructura que necesitas, en lugar de usar la de por defecto. A lo largo de este capítulo (y del Capítulo 12, donde la construirás con Terraform) aprenderás a hacerlo.

Cuando creas una VPC, lo primero que defines es su rango de direcciones IP, expresado en una notación llamada CIDR. No te asustes: es más simple de lo que parece.

Un rango CIDR típico para una VPC es:

Esto significa: «mi red usará direcciones IP que empiezan por 10.0.x.x». El /16 indica cuántas direcciones abarca (en este caso, unas 65.000 direcciones disponibles para tus recursos).

Analogía: El rango CIDR es como decidir los números de las calles de tu parcela. 10.0.0.0/16 significa «mi urbanización tendrá los números del 10.0.0.0 al 10.0.255.255». Luego dividirás esos números entre distintas calles (subredes), que veremos en el siguiente subcapítulo.

Rangos privados habituales (definidos por estándares de internet para redes privadas):

• 10.0.0.0/16
• 172.16.0.0/16
• 192.168.0.0/16

No hace falta que domines CIDR ahora. Lo importante: una VPC tiene un rango de direcciones, y dentro de él organizarás todo. Si quieres una regla práctica: usa 10.0.0.0/16 para tu VPC y ya está.

Una VPC es como un contenedor que alberga varias piezas que iremos viendo en este capítulo:

• Subredes: divisiones de tu VPC, públicas o privadas (subcapítulo 6.2).
• Internet Gateway: la puerta a internet (subcapítulo 6.3).
• NAT Gateway: salida a internet para recursos privados (subcapítulo 6.3).
• Route Tables y Network ACLs: las «normas de tráfico» (subcapítulo 6.4).
• Peering y endpoints: conexiones con otras redes (subcapítulo 6.5).

No te preocupes si ahora son solo nombres: los iremos desmontando uno a uno.

Recuerda el Capítulo 3: una VPC pertenece a una región y puede abarcar varias zonas de disponibilidad (AZ) de esa región. Esto es clave: al repartir tus subredes entre varias AZ, construyes la alta disponibilidad que vimos en el subcapítulo 3.2. Lo veremos al hablar de subredes.

• Una VPC es tu red privada y aislada dentro de AWS: tu «parcela vallada» en la ciudad de AWS.
• Te da aislamiento, control, seguridad y organización: tú decides qué es público y qué es privado.
• Tu cuenta ya trae una VPC por defecto, pero para proyectos serios crearás la tuya propia.
• Una VPC se define con un rango CIDR (por ejemplo 10.0.0.0/16), que es el conjunto de direcciones IP de tu red.
• Una VPC vive en una región y puede extenderse por varias AZ para alta disponibilidad.

En el siguiente subcapítulo dividiremos la VPC en subredes públicas y privadas, la decisión de diseño más importante de tu red.