🏫 धडा 13 — VPC: कॅम्पसच्या भिंती

📍 तुम्ही इथे आहात: 20 पैकी धडा 13 — भाग 3 सुरू! · मागे: lesson-12-ec2-in-real-life · पुढे: lesson-14-s3

📦 या ब्रँचमध्ये काय आहे

धडे 01–13. भाग 3 त्या गोष्टीने सुरू होतो ज्यावर धडे 7–12 शांतपणे उभे होते: तुमचे बाक ज्याच्या आत बसतात ते network. खरी file:

vpc/vpc.tf — code स्वरूपातला संपूर्ण कॅम्पस: VPC, दोन subnets, गेट, फलक

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

EC2 बाक खरे उभे कुठे असतात? उघड्या मैदानात नाही — गेट आणि पत्त्यांचा आराखडा असलेल्या कुंपण घातलेल्या कॅम्पसच्या आत. तो कॅम्पस म्हणजे VPC.

VPC 🏫 म्हणजे कुंपण आणि पत्त्यांचा आराखडा (CIDR, उदा. 10.0.0.0/16 = "आपल्या कॅम्पसकडे 65,536 बाक-क्रमांक आहेत").
Subnets 🚪 म्हणजे इमारतींचे विभाग (wings). प्रत्येक subnet एकाच इमारतीत राहते (AZ — धडा 07 मधल्या इमारती!). Public विभाग रस्त्याकडे तोंड करतो; private विभागाला रस्त्याकडे एकही खिडकी नसते.
Internet Gateway (IGW) 🚧 म्हणजे मुख्य गेट. प्रत्येक कॅम्पसला नेमके एक. तुमच्या विभागाच्या मार्गावर गेट नाही = तुम्ही रस्त्यापर्यंत पोहोचूच शकत नाही.
Route tables 🪧 म्हणजे corridor मधले फलक: "10.0.0.0/16 चे टपाल → आतच राहते; बाकी सगळे → मुख्य गेट." एखादा विभाग "public" फक्त यामुळेच असतो की त्याचा फलक गेटकडे निर्देश करतो — हीच संपूर्ण युक्ती.
NAT gateway 📮 म्हणजे public विभागातली एकमार्गी टपालपेटी: private विभागातील मुले पत्रे बाहेर पाठवू शकतात (updates pull करणे, APIs call करणे), पण अनोळखी लोक आत येऊ शकत नाहीत. ⚠️ इथली हीच एक गोष्ट दर तासाला खरे पैसे खाते — धडा 20 ते bill तुम्हाला वाचून दाखवेल.

तुमचे servers कुठे जातात? Private विभागात, नेहमी. फक्त reception चा बाक (load balancer — पुढचे धडे) public विभागात उभा असतो.

🗺️ आकृती

flowchart TB
    net["🌍 the street (internet)"]
    igw["🚧 IGW — the main gate"]
    subgraph vpc["🏫 VPC 10.0.0.0/16 — the fenced campus"]
      subgraph aza["🏢 building A (AZ-a)"]
        pub["🚪 public wing 10.0.1.0/24<br/>route: 0.0.0.0/0 → gate<br/>📮 NAT lives here"]
        priv["🔒 private wing 10.0.101.0/24<br/>route: 0.0.0.0/0 → NAT<br/>🖥️ your desks live here"]
      end
    end
    net -->|"1"| igw -->|"2"| pub
    priv -->|"3 out only"| pub

❓ काय

VPC: region च्या network मधला तुमचा खाजगी तुकडा — मोफत, अदृश्य कुंपण. प्रत्येक account ला एक default VPC मिळते (धडे 7–12 तिथेच चालले होते — तुम्ही आधीपासूनच एका कॅम्पसवर होता).
Subnet = CIDR चा तुकडा + एक AZ. खरे कॅम्पस: प्रत्येक AZ मध्ये एक public
- एक private subnet, 2–3 AZs मध्ये (k8s चा multi-AZ धडा, एक थर खाली).
Public subnet = त्याच्या route table मध्ये 0.0.0.0/0 → igw असते. दुसरे काहीही त्याला public बनवत नाही. तिथल्या instances ना public IP सुद्धा लागतो.
NAT gateway: managed, प्रत्येक AZ साठी, ~$32/month + प्रति GB. क्लासिक budget धक्का (धडा 20).
Security groups (धडा 10) बाकाचे रक्षण करतात; NACLs विभागाचे रक्षण करतात — stateless corridor नियम, क्वचितच हात लावले जाणारे. आधी SGs, नेहमी.

🤔 का

Cloud मधले प्रत्येक "पोहोचता येत नाही" गूढ तीनपैकी एका फलकामुळे असते: पाहुण्यांची यादी (SG), corridor फलक (route table), किंवा गेट (IGW/NAT). आणि प्रत्येक इतर course ने हाच आराखडा गृहीत धरला होता: k8s cluster चे nodes private विभागात उभे असतात; त्याचा load balancer public विभागात. या धड्यानंतर ते वाक्य तुमच्या डोक्यात एक चित्र बनते.

🔧 कसे

# see the campus you never knew you had:
aws ec2 describe-vpcs --query 'Vpcs[].{id:VpcId,cidr:CidrBlock,default:IsDefault}'
aws ec2 describe-subnets --query 'Subnets[].{id:SubnetId,az:AvailabilityZone,cidr:CidrBlock,public:MapPublicIpOnLaunch}'

🧪 करून पाहा (~10 मिनिटे, मोफत — lab मध्ये NAT नाही!)

cd vpc && terraform init && terraform apply     # campus, 2 wings, gate, signs
aws ec2 describe-route-tables --filters Name=vpc-id,Values=$(terraform output -raw vpc_id) \
  --query 'RouteTables[].Routes'                # read the corridor signs yourself
terraform destroy                               # tear the campus down (free, but tidy)

✅ तपासा — तुम्हाला काय दिसायला हवे

public subnet साठी describe-route-tables एक 0.0.0.0/0 → igw-… route दाखवतो; private subnet च्या table मध्ये फक्त local दिसतो.

🧹 साफसफाई — काहीही चालू ठेवू नका

साफ करण्यासारखे काही नाही — हा धडा मोफत आहे 🎉

⚠️ नेहमीच्या चुका

'वास्तववादी व्हावे म्हणून' lab मध्ये NAT gateway — नुसते असण्याचे ~$32/month
app servers public विभागात ठेवणे
एका AZ मध्ये एकच subnet आणि त्याला कॅम्पस म्हणणे

⏭️ पुढे

बाकांना कॅम्पस मिळाला. पण शाळा सामान कुठे ठेवते — files, backups, images, वार्षिक अंक? धडा 14: S3, अमर्याद locker room.

🏫 Lesson 13 — VPC: the campus walls

📍 You are here: Lesson 13 of 20 — Part 3 begins! · Previous: lesson-12-ec2-in-real-life · Next: lesson-14-s3

📦 What's in this branch

Lessons 01–13. Part 3 opens with the thing lessons 7–12 quietly stood on: the network your desks sit inside. Real file:

vpc/vpc.tf — a whole campus as code: VPC, two subnets, gate, signs

🧒 Explain like I'm 5

Where do EC2 desks actually stand? Not in an open field — inside a fenced campus with a gate and an address plan. That campus is a VPC.

The VPC 🏫 is the fence plus the address plan (the CIDR, e.g. 10.0.0.0/16 = "our campus has 65,536 desk numbers").
Subnets 🚪 are wings of the buildings. Each subnet lives in ONE building (AZ — lesson 07's buildings!). A public wing faces the street; a private wing has no street-facing windows at all.
The Internet Gateway (IGW) 🚧 is the main gate. Exactly one per campus. No gate on your wing's route = you simply cannot reach the street.
Route tables 🪧 are the corridor signs: "mail for 10.0.0.0/16 → stays inside; everything else → the main gate." A wing is "public" ONLY because its sign points at the gate — that's the whole trick.
The NAT gateway 📮 is the one-way postbox in the public wing: kids in private wings can mail letters OUT (pull updates, call APIs), but strangers can't walk IN. ⚠️ It's the one thing here that costs real money every hour — lesson 20 will read you that bill.

Where do your servers go? Private wings, always. Only the reception desk (the load balancer — next lessons) stands in the public wing.

🗺️ Diagram

flowchart TB
    net["🌍 the street (internet)"]
    igw["🚧 IGW — the main gate"]
    subgraph vpc["🏫 VPC 10.0.0.0/16 — the fenced campus"]
      subgraph aza["🏢 building A (AZ-a)"]
        pub["🚪 public wing 10.0.1.0/24<br/>route: 0.0.0.0/0 → gate<br/>📮 NAT lives here"]
        priv["🔒 private wing 10.0.101.0/24<br/>route: 0.0.0.0/0 → NAT<br/>🖥️ your desks live here"]
      end
    end
    net -->|"1"| igw -->|"2"| pub
    priv -->|"3 out only"| pub

❓ What

VPC: your private slice of the region's network — free, invisible fence. Every account gets a default VPC (that's where lessons 7–12 ran — you were on a campus all along).
Subnet = CIDR slice + one AZ. Real campuses: one public + one private subnet per AZ, across 2–3 AZs (the k8s multi-AZ lesson, one layer down).
Public subnet = its route table has 0.0.0.0/0 → igw. Nothing else makes it public. Instances there also need a public IP.
NAT gateway: managed, per-AZ, ~$32/month + per-GB. The classic budget surprise (lesson 20).
Security groups (lesson 10) guard the desk; NACLs guard the wing — stateless corridor rules, rarely touched. SGs first, always.

🤔 Why

Every "can't reach it" mystery in the cloud is one of three signs: the guest list (SG), the corridor sign (route table), or the gate (IGW/NAT). And every other course assumed this floor plan: the k8s cluster's nodes stand in private wings; its load balancer stands in the public one. After this lesson, that sentence is a picture in your head.

🔧 How

# see the campus you never knew you had:
aws ec2 describe-vpcs --query 'Vpcs[].{id:VpcId,cidr:CidrBlock,default:IsDefault}'
aws ec2 describe-subnets --query 'Subnets[].{id:SubnetId,az:AvailabilityZone,cidr:CidrBlock,public:MapPublicIpOnLaunch}'

🧪 Try it (~10 min, free — no NAT in the lab!)

cd vpc && terraform init && terraform apply     # campus, 2 wings, gate, signs
aws ec2 describe-route-tables --filters Name=vpc-id,Values=$(terraform output -raw vpc_id) \
  --query 'RouteTables[].Routes'                # read the corridor signs yourself
terraform destroy                               # tear the campus down (free, but tidy)

✅ Verify — what you should see

describe-route-tables for the public subnet shows a 0.0.0.0/0 → igw-… route; the private subnet's table shows only local.

🧹 Clean up — do not leave running

nothing to clean up — this lesson is free 🎉

⚠️ Common mistakes

a NAT gateway in the lab 'to be realistic' — ~$32/month for existing
putting app servers in the public wing
one subnet in one AZ and calling it a campus

⏭️ Next

The desks have a campus. But where does the school keep stuff — files, backups, images, the yearbook? Lesson 14: S3, the infinite locker room.

← Previousec2 in real life Next →s3

This page is the lesson's README from the lesson-13-vpc branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.