📮 धडा 22 — NAT gateway: एकमार्गी टपालपेटी, खोलात

📍 तुम्ही इथे आहात: 25 पैकी धडा 22 · मागील: lesson-21-subnet-networking · पुढील: lesson-23-route53-routing

📦 या ब्रँचमध्ये काय आहे

धडे 01–22. Campus नकाशावरच्या सगळ्यात जास्त bill होणाऱ्या डब्याला स्वतःचा धडा मिळतो. खरी file:

vpc/nat.tf — प्रत्येक इमारतीसाठी एक टपालपेटी, खर्चाच्या इशाऱ्यासह लिहिलेली

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

Private विभागातल्या बाकांना रस्त्याकडे खिडक्या नाहीत (धडा 13) — पण त्यांना तरीही पत्रे पाठवावी लागतात: updates आणणे, API ला call करणे, image pull करणे. NAT gateway 📮 म्हणजे public विभागाच्या भिंतीला बसवलेली टपालपेटी:

बाक त्यात पत्र टाकतो; टपालपेटी परतीचा पत्ता बदलून स्वतःचा public पत्ता लिहिते (Elastic IP 🏷️), ते gate मधून बाहेर नेते, आणि उत्तर योग्य बाकाकडे परत देते. Campus बाहेर फक्त टपालपेटीचाच पत्ता कधीही दिसतो — अनोळखी लोक private बाकाला पत्र पाठवू शकत नाहीत कारण त्यांना त्याचा आकडा माहीत नसतो, आणि फलक त्यांना आत येण्याचा कोणताही मार्ग देत नाही. बाहेर होय, आत नाही. हीच संपूर्ण security ची गोष्ट.
ते managed आहे: AWS ते चालू ठेवतो आणि ~100 Gbps पर्यंत scale करतो.
ते एकाच इमारतीत (AZ) राहते. इमारत A जळली, तर A मधली टपालपेटीही जाते — आणि ज्या इमारत B मधल्या बाकांना "A मधल्या टपालपेटीतून पत्र पाठवा" असे सांगितले होते, ते अचानक मुके होतात. खरे campuses सहसा प्रत्येक इमारतीत एक टपालपेटी ठेवतात — हा नियम नाही, resilience ची शिफारस आहे — आणि प्रत्येक private विभागाला त्याच्या स्वतःच्या इमारतीच्या टपालपेटीकडे वळवतात (nat.tf नेमके तेच करते).

आता bill 🧾 (धडा 20 चा पारंपरिक): टपालपेटीचा खर्च फक्त अस्तित्वात असण्यासाठी ~$32/month अधिक त्यातून जाणाऱ्या प्रत्येक GB ला ~4¢ — दोन्ही दिशांनी. दोन नेहमीच्या चुका: (1) A च्या टपालपेटीतून पत्र पाठवणारे B मधले बाक वरून cross-AZ data शुल्क भरतात; (2) खाजगी corridor (धडा 21 चा endpoint) मोफत नेईल असा gigabytes S3/ECR traffic टपालपेटीतून पाठवणे.

नातेवाईक: जुना NAT instance (टपालपेटी म्हणून तुम्ही स्वतः चालवलेला बाक — स्वस्त, पण patch तुम्ही करता आणि तो scale होत नाही), आणि IPv6 साठी egress-only internet gateway (तेच "बाहेर होय, आत नाही", NAT ची गरज नाही कारण IPv6 पत्ते आधीच public असतात).

🗺️ आकृती

flowchart LR
    d["🖥️ private desk (AZ-a)<br/>10.0.101.7"]
    nat["📮 NAT gateway (public wing, AZ-a)<br/>Elastic IP 3.7.x.x"]
    igw["🚧 IGW"]
    net["🌍 internet"]
    d -->|"1 letter, from 10.0.101.7"| nat
    nat -->|"2 return address rewritten"| igw --> net
    net -.->|"3 reply → postbox → desk"| nat
    net -. "✗ no way to reach 10.0.101.7 directly" .-> d

❓ काय

गरजा: एक public subnet, एक Elastic IP, आणि प्रत्येक private subnet च्या table मध्ये route 0.0.0.0/0 → nat-xxxx.
HA pattern (शिफारस, सक्ती नाही): प्रत्येक AZ ला एक NAT; प्रत्येक private subnet त्याच्या स्वतःच्या AZ च्या NAT कडे route करतो. एकच सामायिक NAT = स्वस्त, failure चा एकच बिंदू, cross-AZ शुल्क.
खर्च कमी करण्याचे उपाय: S3/DynamoDB साठी gateway endpoints (मोफत), बडबड्या AWS APIs साठी interface endpoints, मोठे downloads (AMIs, images) तुमच्या स्वतःच्या region मध्येच ठेवा, internet कडे तोंड असलेले काम त्याऐवजी ALB मागे ठेवा.
किंमत (us-east-1, अंदाजे): $0.045/hour + $0.045/GB processed.

🤔 का

लहान account मधले जवळजवळ प्रत्येक "धक्कादायक" AWS bill म्हणजे कोणीतरी विसरलेला NAT gateway, किंवा endpoint व्हायला हवा होता असा NAT traffic. टपालपेटी नेमके काय करते — आणि काय करत नाही — हे माहीत असले की campus असा design करता येतो की टपालपेटी लहान, प्रत्येक इमारतीत एक, आणि फक्त बाहेर जायलाच हवे तेच नेणारी असेल.

🔧 कसे

aws ec2 describe-nat-gateways --filter Name=state,Values=available \
  --query 'NatGateways[].{id:NatGatewayId,az:SubnetId,eip:NatGatewayAddresses[0].PublicIp}'
# what's flowing through it (last hour, GB out):
aws cloudwatch get-metric-statistics --namespace AWS/NATGateway --metric-name BytesOutToDestination \
  --dimensions Name=NatGatewayId,Value=$NAT --start-time $(date -u -v-1H +%FT%TZ) \
  --end-time $(date -u +%FT%TZ) --period 3600 --statistics Sum

🧪 करून पाहा (~15 मिनिटे, ~10¢ — तासाप्रमाणे bill होणारा पहिला lab, म्हणून DESTROY करा)

cd vpc && terraform apply -var enable_nat=true      # adds a postbox in AZ-a + the private route
# from a private desk (SSM, lesson 09): curl -s ifconfig.me  → prints the postbox's Elastic IP
terraform destroy                                    # ⏰ before you do anything else

✅ तपासा — तुम्हाला काय दिसायला हवे

Private बाकावरून curl ifconfig.me NAT चा Elastic IP छापतो; बाहेरून, बाकाचा private IP पोहोचण्याजोगा नसतो.

🧹 साफसफाई — चालू ठेवू नका

लगेच terraform destroy — NAT gateway अस्तित्वात असलेल्या प्रत्येक तासाला ~$0.045 bill करतो; मग describe-nat-gateways रिकामे आहे याची खात्री करा आणि Elastic IP release करा

⚠️ नेहमीच्या चुका

सगळ्या AZs साठी एकच NAT — failure चा एकच बिंदू आणि वरून cross-AZ शुल्क
NAT private subnet मध्ये ठेवणे — त्याला public विभाग लागतो
Elastic IP release करायला विसरणे (न जोडलेला EIP सुद्धा bill होतो)

⏭️ पुढे

Campus बाहेर पत्रे पाठवू शकतो. आता phonebook ला "एक नाव → एक आकडा" पेक्षा हुशार बनवूया. धडा 23: Route 53 routing policies आणि private zones.

📮 Lesson 22 — The NAT gateway: the one-way postbox, in depth

📍 You are here: Lesson 22 of 25 · Previous: lesson-21-subnet-networking · Next: lesson-23-route53-routing

📦 What's in this branch

Lessons 01–22. The most-billed box on the campus map gets its own lesson. Real file:

vpc/nat.tf — a postbox per building, with the cost warning written in

🧒 Explain like I'm 5

Private-wing desks have no street windows (lesson 13) — but they still need to send letters: fetch updates, call an API, pull an image. The NAT gateway 📮 is the postbox bolted to the public wing's wall:

A desk drops a letter in; the postbox rewrites the return address to its own public one (the Elastic IP 🏷️), walks it out the gate, and hands the reply back to the right desk. Outside the campus, only the postbox's address is ever seen — strangers can't mail a private desk because they don't know its number, and the sign gives them no way in. Out yes, in no. That's the whole security story.
It's managed: AWS keeps it running and scales it to ~100 Gbps.
It lives in one building (AZ). If building A burns, the postbox in A goes with it — and desks in building B that were told "mail via the postbox in A" are suddenly mute. Real campuses usually put a postbox in every building — not a rule, a resilience recommendation — and point each private wing at its own building's postbox (that's what nat.tf does).

Now the bill 🧾 (lesson 20's classic): a postbox costs ~$32/month for existing plus ~4¢ per GB that passes through — both ways. Two common mistakes: (1) desks in B mailing through A's postbox pay cross-AZ data charges on top; (2) sending gigabytes of S3/ECR traffic through the postbox when a private corridor (lesson 21's endpoint) would carry it for free.

Relatives: the old NAT instance (a desk you ran yourself as a postbox — cheaper, but you patch it and it doesn't scale), and the egress-only internet gateway for IPv6 (same "out yes, in no", no NAT needed since IPv6 addresses are already public).

🗺️ Diagram

flowchart LR
    d["🖥️ private desk (AZ-a)<br/>10.0.101.7"]
    nat["📮 NAT gateway (public wing, AZ-a)<br/>Elastic IP 3.7.x.x"]
    igw["🚧 IGW"]
    net["🌍 internet"]
    d -->|"1 letter, from 10.0.101.7"| nat
    nat -->|"2 return address rewritten"| igw --> net
    net -.->|"3 reply → postbox → desk"| nat
    net -. "✗ no way to reach 10.0.101.7 directly" .-> d

❓ What

Needs: a public subnet, an Elastic IP, and a route 0.0.0.0/0 → nat-xxxx in each private subnet's table.
HA pattern (recommended, not required): one NAT per AZ; each private subnet routes to its own AZ's NAT. One shared NAT = cheaper, single point of failure, cross-AZ charges.
Cost levers: gateway endpoints for S3/DynamoDB (free), interface endpoints for chatty AWS APIs, keep large downloads (AMIs, images) in your own region, put internet-facing work behind the ALB instead.
Pricing (us-east-1, rough): $0.045/hour + $0.045/GB processed.

🤔 Why

Nearly every "surprise" AWS bill in a small account is a NAT gateway someone forgot, or NAT traffic that should have been an endpoint. Knowing exactly what the postbox does — and doesn't — lets you design the campus so the postbox is small, per-building, and carries only what must leave.

🔧 How

aws ec2 describe-nat-gateways --filter Name=state,Values=available \
  --query 'NatGateways[].{id:NatGatewayId,az:SubnetId,eip:NatGatewayAddresses[0].PublicIp}'
# what's flowing through it (last hour, GB out):
aws cloudwatch get-metric-statistics --namespace AWS/NATGateway --metric-name BytesOutToDestination \
  --dimensions Name=NatGatewayId,Value=$NAT --start-time $(date -u -v-1H +%FT%TZ) \
  --end-time $(date -u +%FT%TZ) --period 3600 --statistics Sum

🧪 Try it (~15 min, ~10¢ — the first lab that bills by the hour, so DESTROY)

cd vpc && terraform apply -var enable_nat=true      # adds a postbox in AZ-a + the private route
# from a private desk (SSM, lesson 09): curl -s ifconfig.me  → prints the postbox's Elastic IP
terraform destroy                                    # ⏰ before you do anything else

✅ Verify — what you should see

from a private desk curl ifconfig.me prints the NAT's Elastic IP; from outside, the desk's private IP is unreachable.

🧹 Clean up — do not leave running

terraform destroy immediately — the NAT gateway bills ~$0.045 every hour it exists; then confirm describe-nat-gateways is empty and release the Elastic IP

⚠️ Common mistakes

one NAT for all AZs — a single point of failure plus cross-AZ charges
NAT placed in a private subnet — it needs the public wing
forgetting to release the Elastic IP (an unattached EIP bills too)

⏭️ Next

The campus can mail out. Now let's make the phonebook smarter than "one name → one number." Lesson 23: Route 53 routing policies and private zones.

← Previoussubnet networking Next →route53 routing

This page is the lesson's README from the lesson-22-nat-gateway branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.