🪧 धडा 21 — Subnet networking: corridor फलक, हॉलवेचे नियम, खाजगी corridors

📍 तुम्ही इथे आहात: 25 पैकी धडा 21 — भाग 4 सुरू! · मागील: lesson-20-the-bill · पुढील: lesson-22-nat-gateway

📦 या ब्रँचमध्ये काय आहे

धडे 01–21. धडा 13 ने campus काढला; हा धडा हातात torch घेऊन त्याच्या corridors मधून चालतो. खरी file:

vpc/endpoints.tf — locker room (S3) पर्यंतचा खाजगी corridor, मोफत

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

Campus वर packet कुठे चालू शकतो हे तीन गोष्टी ठरवतात:

Corridor फलक 🪧 (route tables). प्रत्येक विभागाला नेमका एकच फलक असतो, आणि प्रत्येक फलकाची पहिली ओळ सारखीच असते: "10.0.0.0/16 → local" (campus वर कुठेही, फक्त चालत जा). त्यानंतर काय येते ते विभागाचा स्वभाव ठरवते: "0.0.0.0/0 → gate" = public विभाग; "0.0.0.0/0 → postbox" = बाहेर टपाल पाठवू शकणारा private विभाग; दुसरी ओळच नाही = फक्त campus शी बोलणारा बंदिस्त विभाग.
हॉलवेचे नियम 🚦 (NACLs — network ACLs). विभागाच्या दारावरचा नियमफलक: क्रमांकित ओळी, वरून खाली तपासलेल्या, allow किंवा deny, आणि stateless — त्यांना संभाषणे आठवत नाहीत. Port 443 वर request आत घेतली तर उत्तर "ephemeral" ports (1024–65535) वरून बाहेर जाऊ देणेही भाग आहे, नाहीतर उत्तर दारातच अडते. Default फलक म्हणतो सगळे allow, आणि 95% campuses तो तसाच ठेवतात. बाकावरच्या पाहुण्यांच्या यादीशी तुलना करा (security groups, धडा 10): stateful, फक्त-allow, प्रत्येक बाकासाठी. नेहमी आधी SGs; NACLs फक्त "ही IP range या विभागात कधीच येणार नाही" सारख्या ढोबळ अडथळ्यांसाठी.
खाजगी corridors 🚇 (VPC endpoints). Locker room (S3) campus च्या बाहेर आहे — म्हणून private बाकाला एक file आणण्यासाठीसुद्धा सहसा टपालपेटी (NAT, $$) लागते. Gateway endpoint corridor फलकावर एक ओळ जोडतो: "S3 चे पत्ते → खाजगी corridor" — gate नाही, टपालपेटी नाही, शुल्क नाही. Interface endpoints (PrivateLink) म्हणजे इतर services (Secrets Manager, ECR, SSM…) पर्यंतच्या खाजगी फोन लाइन्स: तुमच्या विभागातले private IP असलेले network card, तासाप्रमाणे खर्च.

आणि जेव्हा दोन campuses ना बोलावे लागते: peering (दोन VPCs मधला पादचारी पूल, transit नाही) किंवा Transit Gateway (अनेक campuses साठी मध्यवर्ती skywalk hub). दोन्ही म्हणजे फक्त corridor फलकांवरच्या आणखी ओळी.

🗺️ आकृती

flowchart LR
    desk["🖥️ private desk 10.0.101.7"]
    rt["🪧 corridor sign (route table)<br/>10.0.0.0/16 → local<br/>S3 prefix list → endpoint<br/>0.0.0.0/0 → NAT"]
    vpce["🚇 gateway endpoint<br/>private corridor, free"]
    s3["🗄️ S3 locker room"]
    nacl["🚦 NACL at the wing door<br/>stateless · numbered"]
    desk -->|"1 packet leaves"| nacl -->|"2 allowed"| rt
    rt -->|"3 S3? → corridor"| vpce --> s3

❓ काय

प्रत्येक subnet ला एक route table (एक table अनेक subnets ना सेवा देऊ शकते). सर्वात नेमका prefix जिंकतो; local काढता येत नाही.
NACL vs SG: subnet vs instance · stateless vs stateful · allow+deny vs फक्त-allow · क्रमांकित नियम vs एक संच. Default NACL = सगळे allow; default SG = सगळे inbound deny.
Gateway endpoints: फक्त S3 आणि DynamoDB, मोफत, route-table वर आधारित. Interface endpoints: ~बाकी सगळे, तुमच्या subnet मध्ये ENI, private DNS, तासाप्रमाणे + प्रति-GB. Private EKS nodes वरून ECR pulls सहसा तीन endpoints वरून जातात (ecr.api, ecr.dkr, s3 gateway).
Peering transitive नाही (A↔B आणि B↔C ≠ A↔C); Transit Gateway हे मोठ्या प्रमाणावर ते सोडवणारे hub आहे.

🤔 का

"पोहोचता येत नाही" tickets पैकी 90% corridor फलक आणि हॉलवेचे नियम असतात, आणि "या महिन्यात NAT $200 का" पैकी 90% म्हणजे खाजगी corridor ने जायला हवा होता असा traffic. हा धडा दोन्ही गूढांना तीन ओळींच्या checklist मध्ये बदलतो: फलक → NACL → SG.

🔧 कसे

# read a subnet's corridor sign and hallway rules:
aws ec2 describe-route-tables --filters Name=association.subnet-id,Values=$SUBNET \
  --query 'RouteTables[].Routes[].{dst:DestinationCidrBlock,via:GatewayId||NatGatewayId||VpcEndpointId}'
aws ec2 describe-network-acls --filters Name=association.subnet-id,Values=$SUBNET \
  --query 'NetworkAcls[].Entries[].{n:RuleNumber,act:RuleAction,egress:Egress,cidr:CidrBlock}'

🧪 करून पाहा (~10 मिनिटे, मोफत)

cd vpc && terraform apply          # lesson 13's campus + endpoints.tf
# the private wing's sign now has an S3 line pointing at the endpoint — read it:
aws ec2 describe-route-tables --filters Name=vpc-id,Values=$(terraform output -raw vpc_id) \
  --query 'RouteTables[].Routes[?VpcEndpointId!=null]'
terraform destroy

✅ तपासा — तुम्हाला काय दिसायला हवे

Private route table मध्ये S3 prefix list साठी vpce-… कडे निर्देश करणारा route दिसतो; NAT बंद असतानाही private बाकावरून aws s3 ls चालते.

🧹 साफसफाई — चालू ठेवू नका

साफ करण्यासारखे काही नाही — हा धडा मोफत आहे 🎉

⚠️ नेहमीच्या चुका

NACL 443 आत येऊ देतो पण ephemeral ports बाहेर जाऊ देत नाही — stateless चावतो
Peering A↔B, B↔C करून A↔C ची अपेक्षा — transitive नाही
Endpoint मोफत नेईल अशा S3 traffic साठी NAT चे पैसे भरणे

⏭️ पुढे

S3 सोडून बाकी सगळ्यासाठी फलकावर "0.0.0.0/0 → postbox" लिहिले होते. आता टपालपेटीच्या आत — आणि तिच्या bill मध्ये — डोकावण्याची वेळ. धडा 22: NAT gateway.

🪧 Lesson 21 — Subnet networking: corridor signs, hallway rules, private corridors

📍 You are here: Lesson 21 of 25 — Part 4 begins! · Previous: lesson-20-the-bill · Next: lesson-22-nat-gateway

📦 What's in this branch

Lessons 01–21. Lesson 13 drew the campus; this lesson walks its corridors with a torch. Real file:

vpc/endpoints.tf — a private corridor to the locker room (S3), free

🧒 Explain like I'm 5

Three things decide where a packet can walk on the campus:

Corridor signs 🪧 (route tables). Every wing has exactly one sign, and every sign starts with the same first line: "10.0.0.0/16 → local" (anywhere on campus, just walk). What comes after decides the wing's personality: "0.0.0.0/0 → gate" = public wing; "0.0.0.0/0 → postbox" = private wing that can mail out; no second line = a sealed wing that only talks to the campus.
Hallway rules 🚦 (NACLs — network ACLs). A rule board at the wing's door: numbered lines, checked top to bottom, allow or deny, and stateless — they don't remember conversations. Let a request in on port 443 and you must ALSO let the reply out on the "ephemeral" ports (1024–65535), or the answer is stopped at the door. The default board says allow-everything, and 95% of campuses leave it that way. Compare the guest list at the desk (security groups, lesson 10): stateful, allow-only, per desk. SGs first, always; NACLs for blunt blocks like "this IP range never enters the wing."
Private corridors 🚇 (VPC endpoints). The locker room (S3) is outside the campus — so a private desk normally needs the postbox (NAT, $$) just to fetch a file. A gateway endpoint adds a line to the corridor sign: "S3's addresses → the private corridor" — no gate, no postbox, no charge. Interface endpoints (PrivateLink) are private phone lines to other services (Secrets Manager, ECR, SSM…): a network card in your wing with a private IP, hourly cost.

And when two campuses must talk: peering (a footbridge between two VPCs, no transit) or a Transit Gateway (the central skywalk hub for many campuses). Both are just more lines on the corridor signs.

🗺️ Diagram

flowchart LR
    desk["🖥️ private desk 10.0.101.7"]
    rt["🪧 corridor sign (route table)<br/>10.0.0.0/16 → local<br/>S3 prefix list → endpoint<br/>0.0.0.0/0 → NAT"]
    vpce["🚇 gateway endpoint<br/>private corridor, free"]
    s3["🗄️ S3 locker room"]
    nacl["🚦 NACL at the wing door<br/>stateless · numbered"]
    desk -->|"1 packet leaves"| nacl -->|"2 allowed"| rt
    rt -->|"3 S3? → corridor"| vpce --> s3

❓ What

One route table per subnet (a table may serve many subnets). Most specific prefix wins; local can't be removed.
NACL vs SG: subnet vs instance · stateless vs stateful · allow+deny vs allow-only · numbered rules vs a set. Default NACL = allow all; default SG = deny all inbound.
Gateway endpoints: S3 and DynamoDB only, free, route-table based. Interface endpoints: ~everything else, ENI in your subnet, private DNS, hourly + per-GB. ECR pulls from private EKS nodes commonly ride three interface endpoints (ecr.api, ecr.dkr, s3 gateway).
Peering is non-transitive (A↔B and B↔C ≠ A↔C); Transit Gateway is the hub that fixes that at scale.

🤔 Why

"Can't reach it" tickets are 90% corridor signs and hallway rules, and "why is NAT $200 this month" is 90% traffic that should have taken a private corridor. This lesson turns both from mysteries into a three-line checklist: sign → NACL → SG.

🔧 How

# read a subnet's corridor sign and hallway rules:
aws ec2 describe-route-tables --filters Name=association.subnet-id,Values=$SUBNET \
  --query 'RouteTables[].Routes[].{dst:DestinationCidrBlock,via:GatewayId||NatGatewayId||VpcEndpointId}'
aws ec2 describe-network-acls --filters Name=association.subnet-id,Values=$SUBNET \
  --query 'NetworkAcls[].Entries[].{n:RuleNumber,act:RuleAction,egress:Egress,cidr:CidrBlock}'

🧪 Try it (~10 min, free)

cd vpc && terraform apply          # lesson 13's campus + endpoints.tf
# the private wing's sign now has an S3 line pointing at the endpoint — read it:
aws ec2 describe-route-tables --filters Name=vpc-id,Values=$(terraform output -raw vpc_id) \
  --query 'RouteTables[].Routes[?VpcEndpointId!=null]'
terraform destroy

✅ Verify — what you should see

the private route table shows a route for the S3 prefix list pointing at vpce-…; aws s3 ls from a private desk works with NAT disabled.

🧹 Clean up — do not leave running

nothing to clean up — this lesson is free 🎉

⚠️ Common mistakes

NACL allows 443 in but not the ephemeral ports out — stateless bites
peering A↔B, B↔C and expecting A↔C — not transitive
paying NAT for S3 traffic an endpoint would carry free

⏭️ Next

The sign said "0.0.0.0/0 → postbox" for everything that isn't S3. Time to look inside the postbox — and its bill. Lesson 22: the NAT gateway.

← Previousthe bill Next →nat gateway

This page is the lesson's README from the lesson-21-subnet-networking branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.