Tu VPC ya está completa por dentro: subredes, puertas a internet y reglas de tráfico. Pero las redes rara vez viven aisladas: a veces necesitas conectar tu VPC con otra VPC, o llegar a servicios de AWS sin pasar por internet. Para eso están el VPC Peering y los endpoints. Con esto cerramos el capítulo de redes.

Recuerda: una VPC es una parcela vallada y aislada. Dos VPCs distintas (aunque sean de la misma cuenta) no se pueden comunicar entre sí por defecto. Eso es bueno para la seguridad, pero a veces necesitas que sí hablen.

Ejemplo: Tu empresa tiene una VPC para el equipo de desarrollo y otra para el equipo de datos. El equipo de desarrollo necesita acceder a una base de datos que vive en la VPC de datos. ¿Cómo las conectas de forma privada y segura, sin sacar el tráfico a internet?

El VPC Peering crea una conexión privada directa entre dos VPCs, de modo que sus recursos puedan comunicarse como si estuvieran en la misma red, usando direcciones IP privadas y sin pasar por internet.

Analogía: Es como abrir una puerta privada entre dos parcelas vecinas. Los habitantes de ambas pueden pasar de una a otra directamente, sin salir a la calle pública. Solo pasan por esa puerta los que tú autorices.

Características clave:

• El tráfico va por la red privada de AWS, nunca por internet. Es seguro y rápido.
• Funciona entre VPCs de la misma cuenta o de cuentas distintas, e incluso entre regiones distintas.
• Tienes que añadir rutas en las tablas de rutas de ambas VPCs para que sepan cómo llegar a la otra (recuerda las route tables del subcapítulo 6.4).

⚠️ Limitación importante — no es transitivo: Si la VPC A está conectada con la B, y la B con la C, eso no significa que A pueda hablar con C. El peering conecta solo a los dos extremos directos. Para una topología compleja con muchas VPCs, conectarlas todas con todas (peering) se vuelve un lío. Para eso existe el Transit Gateway (un «router central» que conecta muchas VPCs entre sí), que es la solución a gran escala que verás en arquitecturas grandes (lo mencionaremos en el Capítulo 30).

Aquí resolvemos un problema muy común y a menudo invisible. Imagina que un servidor en una subred privada necesita acceder a un bucket de S3.

El problema: S3 es un servicio «público» de AWS (se accede por una URL de internet). Así que, normalmente, ese servidor privado tendría que salir a internet a través del NAT Gateway (subcapítulo 6.3) para llegar a S3. Eso significa:

• Pasar por el NAT Gateway (que cuesta dinero por datos).
• Que el tráfico salga «hacia internet» aunque sea hacia otro servicio de AWS.

Los VPC Endpoints resuelven esto. Un endpoint crea una conexión privada directa entre tu VPC y un servicio de AWS (como S3, DynamoDB y muchos otros), sin salir a internet y sin pasar por el NAT Gateway.

Analogía: En lugar de salir de tu parcela a la calle pública para ir a un servicio que está «a la vuelta de la esquina», abres un túnel privado directo hasta ese servicio. Más seguro, más rápido y más barato.

Ventajas de los endpoints:

• Más seguro: el tráfico nunca toca internet.
• Más barato: evitas costes de NAT Gateway para hablar con servicios de AWS.
• Mejor rendimiento: ruta directa por la red interna de AWS.

Consejo práctico muy rentable: Si tienes servidores en subredes privadas que acceden mucho a S3 o DynamoDB, crea un Gateway Endpoint (es gratis) y ahorrarás los costes de NAT Gateway para ese tráfico. Es una de las optimizaciones de coste más fáciles y efectivas que existen.

Para que tengas el mapa completo, estas son las formas de conectar tu VPC con el exterior privado (no hace falta dominarlas ahora, solo conocer que existen):

Los dos últimos son la base de las arquitecturas híbridas que vimos en el Capítulo 1: así se conectan la nube y el on-premise.

• Las VPCs están aisladas por defecto; para que dos se comuniquen necesitas VPC Peering (una «puerta privada» entre ellas).
• El peering no es transitivo (A-B y B-C no implica A-C); para muchas VPCs se usa Transit Gateway.
• Los VPC Endpoints conectan tu VPC con servicios de AWS (como S3) de forma privada, sin salir a internet ni pasar por el NAT Gateway: más seguro, rápido y barato.
• Los Gateway Endpoints (S3 y DynamoDB) son gratis: úsalos para ahorrar costes de NAT.
• Para conectar con tu datacenter on-premise: VPN (sobre internet) o Direct Connect (línea dedicada).

Con esto cierras el Capítulo 6 y ya entiendes las redes en AWS. En el Capítulo 7 veremos quién puede hacer qué en tu cuenta: la identidad y los accesos con IAM, el pilar de la seguridad en AWS.