Ya tienes subredes y puertas a internet. Pero falta lo que dirige el tráfico por tu red y lo que lo filtra a nivel de subred. Esos son las Route Tables (tablas de rutas) y las Network ACLs. Son los componentes que hacen que «público» y «privado» signifiquen algo de verdad.

Una Route Table (tabla de rutas) es un conjunto de reglas que deciden hacia dónde va el tráfico según su destino. Cada subred está asociada a una tabla de rutas, que le dice: «si el tráfico va a tal sitio, envíalo por aquí».

Analogía: Una tabla de rutas es como las señales de tráfico y el GPS de tu parcela. En cada cruce indican: «para ir a la calle X, gira aquí; para salir a la autopista (internet), sigue recto hasta la puerta principal».

Cada regla (ruta) dice: «el tráfico hacia este destino va por este camino (target)». Ejemplo de una tabla para una subred pública:

Y una tabla para una subred privada:

¿Ves la diferencia? Lo que convierte una subred en pública o privada es precisamente esta tabla:

• Si la ruta a 0.0.0.0/0 (todo internet) apunta al Internet Gateway → subred pública.
• Si apunta al NAT Gateway (o no existe) → subred privada.

Este es el «secreto» de las subredes: una subred no tiene una etiqueta mágica de «pública» o «privada». Es pública o privada según a dónde la mande su tabla de rutas. La regla 0.0.0.0/0 → Internet Gateway es la que la hace pública.

La ruta local está siempre presente y no se puede borrar: garantiza que todos los recursos dentro de la misma VPC pueden comunicarse entre ellos.

Ahora el filtrado. Ya conoces los Security Groups del Capítulo 4 (el firewall de cada instancia). Las Network ACLs (NACLs) son otro firewall, pero a nivel de subred entera, no de instancia individual.

Analogía: Si el Security Group es el portero de cada edificio (controla quién entra a cada instancia), la Network ACL es el control de acceso de todo el barrio (controla qué tráfico entra y sale de toda la subred).

El tráfico que llega a una instancia pasa dos controles:

1. Primero la Network ACL de la subred (el control del barrio).
2. Luego el Security Group de la instancia (el portero del edificio).

Esta es una comparación clásica que conviene tener clara:

Vamos a aclarar los dos conceptos que más confunden:

• Security Group (stateful): si permites una conexión de entrada, la respuesta de salida se permite automáticamente. «Recuerda» la conexión. No tienes que crear una regla para la respuesta.
• Network ACL (stateless): no recuerda nada. Si permites el tráfico de entrada, tienes que permitir explícitamente también el de salida para que la respuesta pueda volver. Cada dirección se configura por separado.

Por esto las NACLs son más quisquillosas: un error típico es permitir la entrada pero olvidar permitir la salida de respuesta, y entonces «nada funciona» aunque la regla de entrada parezca correcta.

• Los Security Groups solo permiten listas blancas (defines lo que se permite; el resto se bloquea). No puedes escribir una regla «denegar».
• Las Network ACLs permiten también reglas de denegación explícita. Esto es útil, por ejemplo, para bloquear una IP concreta que está atacándote, algo que un Security Group no puede hacer.

Para la mayoría de casos:

Usa los Security Groups como tu herramienta principal de seguridad de red. Son más simples (stateful) y suficientes para casi todo. Deja las Network ACLs con su configuración por defecto (que permite todo) salvo que necesites algo específico, como bloquear una IP maliciosa a nivel de subred.

Las NACLs son una capa adicional de defensa en profundidad, no tu primera línea. Muchos equipos las usan poco y se apoyan en los Security Groups.

• Las Route Tables deciden hacia dónde va el tráfico según su destino. La ruta 0.0.0.0/0 hacia el Internet Gateway es lo que hace pública a una subred; hacia el NAT (o ausente), la hace privada.
• Las Network ACLs son un firewall a nivel de subred: stateless (configuras entrada y salida por separado) y permiten reglas de denegación (útiles para bloquear IPs).
• Los Security Groups son el firewall a nivel de instancia: stateful y solo de tipo «permitir». Son tu herramienta principal.
• Usa Security Groups como base; añade Network ACLs solo para necesidades concretas (defensa en profundidad).

En el último subcapítulo de VPC veremos cómo conectar tu VPC con otras redes: VPC Peering (unir VPCs) y endpoints (llegar a servicios de AWS de forma privada).