🖼️ See the drawing + lab 🏠 Course home 🌿 Branch on GitHub ✏️ View source

🖼️ आकृती आणि labThe drawing + lab पूर्ण पानावर उघडा ↗Open full page ↗

🪧 धडा 04 — Route tables: corridor च्या पाट्या

📍 तुम्ही इथे आहात: 12 पैकी धडा 04 · मागे: lesson-03-subnets-azs · पुढे: lesson-05-igw-public

📦 या ब्रँचमध्ये काय आहे

धडे 01–03, आणि पाट्या: vpc/network.py मधील RouteTable routes (destination → target) ठेवतो, नेहमी local route ने सुरू होतो, आणि lookup() जुळणाऱ्यांपैकी सर्वात नेमका route निवडतो. vpc/demo.py मधील routes() एका पाटीवरून चार पत्ते पाठवून पाहतो.

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

प्रत्येक wing च्या दारावर एक corridor ची पाटी 🪧 लटकलेली असते. तिच्यावर अशा ओळी असतात:

"खोल्या 10.20.x.x → campus च्या आतच राहा" (ही ओळ नेहमी असते)
"खोल्या 10.30.x.x → partner शाळेकडे जाणारा corridor"
"बाकी सगळे → बाजूचा दरवाजा"

10.20.96.15 साठीचे पत्र दोन ओळींशी जुळते: "10.20.x.x" आणि "बाकी सगळे". नियम सोपा आहे: सर्वात नेमकी ओळ जिंकते. "10.20.x.x" ही "बाकी सगळे" पेक्षा जास्त नेमकी आहे, म्हणून पत्र आतच राहते.

एकही ओळ जुळली नाही, तर पत्र drop होते. कोणी ओरडत नाही. ते फक्त कधीच पोहोचत नाही.

🗺️ आकृती

flowchart LR
    pkt["📨 packet to 52.219.40.10"]
    subgraph rt["🪧 rt-private-a"]
        r1["10.20.0.0/16 → local"]
        r2["10.30.0.0/16 → pcx-partner"]
        r3["pl-s3 → vpce-s3"]
        r4["0.0.0.0/0 → nat-a"]
    end
    pkt --> rt
    rt -->|"most specific match wins"| win["→ vpce-s3<br/>52.219.0.0/16 beats 0.0.0.0/0"]

🗺️ काढलेली आकृती + एक lab: https://school-edh.pages.dev/vpc/lesson-diagrams.html#l04

❓ काय

Route — एक destination (एक CIDR, किंवा S3 list सारखी prefix list) आणि एक target: local, internet gateway igw-…, NAT gateway nat-…, VPC endpoint vpce-…, peering connection pcx-…, Transit Gateway tgw-…, network interface.
Local route — प्रत्येक route table मध्ये VPC च्या स्वतःच्या CIDR साठी local कडे जाणारा route असतो. तो delete करता येत नाही. म्हणूनच प्रत्येक wing प्रत्येक दुसऱ्या wing पर्यंत पोहोचू शकतो — ते जाऊ द्यायचे की नाही हे धडा 06 मधील दारे ठरवतात.
Longest-prefix match — destination शी जुळणाऱ्या सगळ्या routes पैकी सर्वात लांब prefix असलेला (सर्वात नेमका) route जिंकतो. /20 हा /16 ला हरवतो, /16 हा /0 ला. 0.0.0.0/0 सगळ्याशी जुळतो, म्हणून ती "बाकी सगळे" ओळ आहे.
Local पेक्षा जास्त नेमका — VPC range च्या एखाद्या भागासाठी तुम्ही route जोडू शकता (उदाहरणार्थ 10.20.96.0/20 → firewall चा network interface), म्हणजे wings मधले traffic तपासणी करणाऱ्या box मधून जाईल.
Association — प्रत्येक subnet नेमका एक route table वापरतो; एक route table अनेक subnets ना सेवा देऊ शकतो. तुम्ही associate न केलेला subnet VPC चा main route table वापरतो.
जुळले नाही — packet drop होतो.

🤔 का

कारण "public", "private" आणि "isolated" ही subnet वर चिकटवलेली लेबले नाहीत — ती त्याच्या पाटीवर काय लिहिले आहे त्याचा परिणाम आहेत. Route table वाचा, आणि wing कुठे जाऊ शकतो ते तुम्हाला कळते.

🔧 कसे (या repo मध्ये)

RouteTable.__init__ सर्वात आधी (vpc_cidr, "local") ठेवतो. lookup(dst_ip, prefix_lists) प्रत्येक route तपासतो; अंकाने सुरू न होणारे destination हे prefix-list चे नाव असते आणि ते prefix_lists मधून विस्तारले जाते. तो सर्वात मोठा prefixlen असलेला जुळणारा route ठेवतो आणि (destination, target), किंवा (None, None) परत करतो. vpc/demo.py मधील routes() NAT, peering route आणि S3 prefix list pl-s3 (उदाहरणादाखल ranges 52.219.0.0/16 आणि 3.5.0.0/16) असलेली private wing ची पाटी बनवतो.

🧪 करून पाहा

python3 vpc/demo.py routes
python3 - <<'EOF'
import sys; sys.path.insert(0, "vpc"); from network import RouteTable
from demo import VPC, PL
rt = RouteTable("rt-app", VPC, [("0.0.0.0/0", "nat-a"), ("10.20.96.0/20", "firewall")])
for ip in ("10.20.96.15", "10.20.1.1", "93.184.216.34"):
    print(ip.ljust(14), rt.lookup(ip, PL))
bare = RouteTable("rt-empty", VPC)
print("no default route:", bare.lookup("93.184.216.34", PL))
EOF

✅ तपासा — तुम्हाला काय दिसायला हवे

routes छापतो:

── the corridor sign: the MOST SPECIFIC route that matches wins; 'local' is always there
   → 10.20.96.15    matches 10.20.0.0/16  → local
   → 10.30.4.7      matches 10.30.0.0/16  → pcx-partner
   → 52.219.40.10   matches pl-s3         → vpce-s3
   → 93.184.216.34  matches 0.0.0.0/0     → nat-a

तुमचा snippet 10.20.96.15 ('10.20.96.0/20', 'firewall') छापतो — /20 ने local च्या /16 ला हरवले — आणि मग 10.20.1.1 ('10.20.0.0/16', 'local'), 93.184.216.34 ('0.0.0.0/0', 'nat-a') आणि no default route: (None, None).

🏁 तुम्ही आत्ताच काय सिद्ध केले

VPC router वाचतो तसा तुम्ही route table वाचू शकता: जुळणारे सगळे गोळा करा, सर्वात नेमका घ्या, आणि कशाशीच न जुळणारे drop करा.

⚠️ नेहमीच्या चुका

चुकून subnets main route table वरच ठेवणे — मग "main" बदलला की ते सगळे बदलतात
पूर्ण VPC range साठी एखादा route local ला ओलांडेल अशी अपेक्षा — फक्त जास्त नेमका भागच ओलांडू शकतो
एकाच destination साठी दोन routes — AWS ते स्वीकारत नाही; एकच target निवडा
route फक्त traffic बाहेर पाठवतो हे विसरणे; उत्तराला दुसऱ्या बाजूला परतीचा route लागतो
खरे उत्तर "route नाही → drop" असताना security group ला दोष देणे

🏭 प्रत्यक्ष वापरात

प्रत्येक AZ मध्ये प्रत्येक tier साठी एक route table ही नेहमीची पद्धत आहे: public table सामायिक असतो, प्रत्येक private table त्याच्याच AZ मधल्या NAT gateway कडे निर्देश करतो (धडा 12).

खऱ्या account वर (AWS CLI आणि credentials लागतात; IDs उदाहरणादाखल आहेत):

aws ec2 create-route-table --vpc-id vpc-0123456789abcdef0
aws ec2 create-route --route-table-id rtb-0123456789abcdef0 \
    --destination-cidr-block 0.0.0.0/0 --nat-gateway-id nat-0123456789abcdef0
aws ec2 associate-route-table --route-table-id rtb-0123456789abcdef0 --subnet-id subnet-0123456789abcdef0
aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes[]'

⏭️ पुढे

पाटीवरची एक ओळ wing ला public wing बनवते: 0.0.0.0/0 → igw. पुढे, internet gateway — मुख्य दरवाजा.

git checkout lesson-05-igw-public

🪧 Lesson 04 — Route tables: the corridor signs

📍 You are here: Lesson 04 of 12 · Previous: lesson-03-subnets-azs · Next: lesson-05-igw-public

📦 What's in this branch

Lessons 01–03, plus the signs: RouteTable in vpc/network.py holds routes (destination → target), always starts with the local route, and lookup() picks the most specific route that matches. routes() in vpc/demo.py sends four addresses past one sign.

🧒 Explain like I'm 5

At the door of every wing hangs a corridor sign 🪧. It has lines like:

"Rooms 10.20.x.x → stay inside the campus" (this line is always there)
"Rooms 10.30.x.x → the corridor to the partner school"
"Everything else → the side gate"

A letter for 10.20.96.15 matches two lines: "10.20.x.x" and "everything else". The rule is simple: the most exact line wins. "10.20.x.x" is more exact than "everything else", so the letter stays inside.

If no line matches at all, the letter is dropped. Nobody shouts. It just never arrives.

🗺️ Diagram

flowchart LR
    pkt["📨 packet to 52.219.40.10"]
    subgraph rt["🪧 rt-private-a"]
        r1["10.20.0.0/16 → local"]
        r2["10.30.0.0/16 → pcx-partner"]
        r3["pl-s3 → vpce-s3"]
        r4["0.0.0.0/0 → nat-a"]
    end
    pkt --> rt
    rt -->|"most specific match wins"| win["→ vpce-s3<br/>52.219.0.0/16 beats 0.0.0.0/0"]

🗺️ Drawn version + a lab: https://school-edh.pages.dev/vpc/lesson-diagrams.html#l04

❓ What

Route — a destination (a CIDR, or a prefix list such as the S3 list) and a target: local, an internet gateway igw-…, a NAT gateway nat-…, a VPC endpoint vpce-…, a peering connection pcx-…, a Transit Gateway tgw-…, a network interface.
The local route — every route table has a route for the VPC's own CIDR to local. You cannot delete it. It is why every wing can reach every other wing — the doors of lesson 06 decide whether they may.
Longest-prefix match — among all routes that match the destination, the one with the longest prefix (the most specific) wins. /20 beats /16 beats /0. 0.0.0.0/0 matches everything, so it is the "everything else" line.
More specific than local — you may add a route for a part of the VPC range (for example 10.20.96.0/20 → a firewall's network interface) to send traffic between wings through an inspection box.
Association — each subnet uses exactly one route table; one route table can serve many subnets. A subnet you did not associate uses the VPC's main route table.
No match — the packet is dropped.

🤔 Why

Because "public", "private" and "isolated" are not labels you stick on a subnet — they are the result of what its sign says. Read the route table and you know where a wing can go.

🔧 How (in this repo)

RouteTable.__init__ puts (vpc_cidr, "local") first. lookup(dst_ip, prefix_lists) checks every route; a destination that does not start with a digit is a prefix-list name and is expanded from prefix_lists. It keeps the match with the largest prefixlen and returns (destination, target), or (None, None). routes() in vpc/demo.py builds a private-wing sign with a NAT, a peering route and the S3 prefix list pl-s3 (example ranges 52.219.0.0/16 and 3.5.0.0/16).

🧪 Try it

python3 vpc/demo.py routes
python3 - <<'EOF'
import sys; sys.path.insert(0, "vpc"); from network import RouteTable
from demo import VPC, PL
rt = RouteTable("rt-app", VPC, [("0.0.0.0/0", "nat-a"), ("10.20.96.0/20", "firewall")])
for ip in ("10.20.96.15", "10.20.1.1", "93.184.216.34"):
    print(ip.ljust(14), rt.lookup(ip, PL))
bare = RouteTable("rt-empty", VPC)
print("no default route:", bare.lookup("93.184.216.34", PL))
EOF

✅ Verify — what you should see

routes prints:

── the corridor sign: the MOST SPECIFIC route that matches wins; 'local' is always there
   → 10.20.96.15    matches 10.20.0.0/16  → local
   → 10.30.4.7      matches 10.30.0.0/16  → pcx-partner
   → 52.219.40.10   matches pl-s3         → vpce-s3
   → 93.184.216.34  matches 0.0.0.0/0     → nat-a

Your snippet prints 10.20.96.15 ('10.20.96.0/20', 'firewall') — the /20 beat local's /16 — then 10.20.1.1 ('10.20.0.0/16', 'local'), 93.184.216.34 ('0.0.0.0/0', 'nat-a') and no default route: (None, None).

🏁 What you just proved

You can read a route table like the VPC router does: collect every match, take the most specific, and drop what matches nothing.

⚠️ Common mistakes

leaving subnets on the main route table by accident — then editing "main" changes them all
expecting a route to override local for the whole VPC range — only a more specific part can
two routes to the same destination — AWS will not accept it; pick one target
forgetting that a route only sends traffic out; the reply needs a route back on the other side
blaming the security group when the real answer is "no route → dropped"

🏭 In production

One route table per tier per AZ is common: the public table is shared, each private table points at the NAT gateway in its own AZ (lesson 12).

On a real account (needs the AWS CLI and credentials; IDs are examples):

aws ec2 create-route-table --vpc-id vpc-0123456789abcdef0
aws ec2 create-route --route-table-id rtb-0123456789abcdef0 \
    --destination-cidr-block 0.0.0.0/0 --nat-gateway-id nat-0123456789abcdef0
aws ec2 associate-route-table --route-table-id rtb-0123456789abcdef0 --subnet-id subnet-0123456789abcdef0
aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes[]'

⏭️ Next

One line on the sign turns a wing into a public wing: 0.0.0.0/0 → igw. Next, the internet gateway — the front gate.

git checkout lesson-05-igw-public

← Previoussubnets azs Next →igw public

This page is the lesson's README from the lesson-04-route-tables branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.