🖼️ See the drawing + lab 🏠 Course home 🌿 Branch on GitHub ✏️ View source

🖼️ आकृती आणि labThe drawing + lab पूर्ण पानावर उघडा ↗Open full page ↗

🚪 धडा 05 — Internet gateway आणि public subnets: मुख्य दरवाजा

📍 तुम्ही इथे आहात: 12 पैकी धडा 05 · मागे: lesson-04-route-tables · पुढे: lesson-06-sg-vs-nacl

📦 या ब्रँचमध्ये काय आहे

धडे 01–04, आणि पहिला पूर्ण campus: vpc/demo.py मधील campus() तीन wings बांधतो — public-a, app-a, data-a — ज्यांत web, app आणि db हे desks आहेत, आणि vpc/network.py मधील Campus.walk() एका packet चा बाहेरचा प्रवास पाहतो. igw() web आणि db ना internet कडे पाठवतो.

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

Campus च्या कुंपणाला शहराकडे जाणारा एकच मुख्य दरवाजा 🚪 आहे: internet gateway.

दरवाजा बांधणे पुरेसे नाही. Wing दरवाजा वापरतो तो फक्त त्याच्या corridor च्या पाटीवर "बाकी सगळे → मुख्य दरवाजा" असे लिहिले असेल तरच. Public wing च्या पाटीवर तसे लिहिले आहे. Data wing च्या पाटीवर नाही — म्हणून data wing मधून शहराकडे जाणाऱ्या पत्राला एकही ओळ सापडत नाही आणि ते drop होते.

आणखी एक गोष्ट. पत्र दरवाजातून बाहेर गेल्यावर शहराला उत्तर लिहिता आले पाहिजे. फक्त campus चा नंबर (10.20.0.10) असलेल्या desk कडे शहर वापरू शकेल असा पत्ताच नाही. म्हणून शहराशी बोलणाऱ्या desk ला public पत्ता पण लागतो — साधा public IP किंवा Elastic IP. दरवाजा दोन्ही दिशांनी एकाच्या जागी दुसरा पत्ता बदलतो.

🗺️ आकृती

flowchart LR
    web["🖥️ web 10.20.0.10<br/>public-a · public IP"]
    db["🗄️ db 10.20.96.15<br/>data-a"]
    rtp["🪧 rt-public<br/>0.0.0.0/0 → igw-school"]
    rtd["🪧 rt-data<br/>no 0.0.0.0/0"]
    igw["🚪 igw-school"]
    net["🌍 93.184.216.34:443"]
    web --> rtp --> igw --> net
    db --> rtd -->|"no route → dropped"| x["🚫"]

🗺️ काढलेली आकृती + एक lab: https://school-edh.pages.dev/vpc/lesson-diagrams.html#l05

❓ काय

Internet gateway (IGW) — VPC ला internet शी जोडणारा VPC चा घटक. प्रत्येक VPC ला एक IGW. AWS तो redundant आणि scaled पद्धतीने चालवतो; त्याचा आकार ठरवायची गरज नाही. तो instance चा private IP आणि त्याचा public IP यांच्यात भाषांतर करतो.
Public subnet — ज्याच्या route table मध्ये 0.0.0.0/0 → igw-… आहे असा subnet. तो route हीच त्याला public बनवणारी एकमेव गोष्ट आहे.
Public IP — internet वरून instance पर्यंत पोहोचता यावे, किंवा instance ला थेट internet शी बोलता यावे, यासाठी त्याला public IPv4 address (launch वेळी आपोआप मिळतो, instance थांबला की सोडला जातो) किंवा Elastic IP (तुम्ही सोडेपर्यंत तुमचाच) पण लागतो. AWS public IPv4 addresses साठी तासाप्रमाणे पैसे घेते (प्रत्येकी अंदाजे $0.005 प्रति तास — VPC pricing page तपासा).
Private subnet — IGW कडे route नाही. तो public subnet मधील NAT gateway मार्गे बाहेर जाऊ शकतो (0.0.0.0/0 → nat-…) — NAT school पाहा — आणि internet वरून कोणीही त्याच्याशी संवाद सुरू करू शकत नाही.
Isolated subnet — default route अजिबात नाही. या lab मधील data wing.
IPv6 — IPv6 addresses जगभरात unique असतात. "फक्त बाहेर" IPv6 साठी egress-only internet gateway असतो.

🤔 का

कारण खरी सीमा route table आहे. घट्ट security group असलेला, पण IGW कडे route आणि public IP असलेला database internet पासून फक्त एका नियम-बदलाच्या अंतरावर असतो. बाहेर जाण्याचा route नसलेल्या subnet मधील database पर्यंत internet वरून पोहोचता येत नाही, मग त्याचा security group काहीही म्हणो.

🔧 कसे (या repo मध्ये)

Campus.walk(src, dst_ip, proto, port) क्रमाने तपासतो: source security group (outbound), source subnet चा NACL (outbound), आणि मग route table. Target local नसेल, तर packet त्या target मार्गे "subnet सोडतो" आणि walk संपतो. vpc/demo.py मधील igw() web आणि db ना 93.184.216.34:443 पर्यंत चालवतो. हे शिकवण्यासाठीचे model आहे: walk() public IP तपासत नाही — तो भाग तुम्हाला लक्षात ठेवावा लागेल.

🧪 करून पाहा

python3 vpc/demo.py igw
python3 - <<'EOF'
import sys; sys.path.insert(0, "vpc"); from network import RouteTable
from demo import campus, VPC
c = campus()
c.rts["rt-public"] = RouteTable("rt-public", VPC)          # take the gate sign down
print("web without the IGW route:", c.walk("web", "93.184.216.34", "tcp", 443))
c.rts["rt-data"].routes.append(("0.0.0.0/0", "igw-school"))  # a mistake: point data at the gate
print("db with an IGW route:     ", c.walk("db", "93.184.216.34", "tcp", 443)[0])
EOF

✅ तपासा — तुम्हाला काय दिसायला हवे

igw छापतो:

   web → internet :443  ✅  🧍 sg-web out ✓ · 🚦 acl-open rule 100 ALLOW · 🪧 rt-public: 0.0.0.0/0 → igw-school · 🚪 leaves the subnet via igw-school
   db → internet :443  🚫  🧍 sg-db out ✓ · 🚦 acl-data rule 110 ALLOW · 🪧 no route → dropped

तुमचा snippet छापतो web without the IGW route: (False, ['🧍 sg-web out ✓', '🚦 acl-open rule 100 ALLOW', '🪧 no route → dropped']) — तोच desk, तेच रक्षक, पाटी नाही, internet नाही. मग db with an IGW route: True: एका चुकीच्या route ने data wing "public" केला. (AWS मध्ये db ला प्रत्यक्ष internet शी बोलण्यासाठी तरीही public IP लागला असता — model ती तपासणी वगळते.)

🏁 तुम्ही आत्ताच काय सिद्ध केले

"Public" म्हणजे route table वरची एक ओळ. ती काढा आणि public wing बंद होतो; ती जोडा आणि data wing सुद्धा public होतो.

⚠️ नेहमीच्या चुका

नाव किंवा tag वरून subnet ला "private" म्हणणे — त्याचा route table वाचा
public subnet, पण instance ला public IP नाही — दरवाजाकडे उत्तर परत पाठवायला पत्ताच नाही
app आणि data सह प्रत्येक subnet वर "auto-assign public IPv4" चालू करणे
"त्यांना updates लागतात" म्हणून app servers public subnets मध्ये ठेवणे — त्यासाठीच NAT आणि endpoints आहेत
जोडलेला IGW त्याच्याकडे route निर्देश करेपर्यंत काहीच करत नाही हे विसरणे

🏭 प्रत्यक्ष वापरात

Public subnets मध्ये फक्त load balancers आणि NAT gateways असतात. Servers आणि databases ना public IP अजिबात नसतो. Public IPs आपोआप देणाऱ्या subnets वर Security Hub बोट ठेवतो.

खऱ्या account वर (AWS CLI आणि credentials लागतात; IDs उदाहरणादाखल आहेत):

aws ec2 create-internet-gateway
aws ec2 attach-internet-gateway --internet-gateway-id igw-0123456789abcdef0 --vpc-id vpc-0123456789abcdef0
aws ec2 create-route --route-table-id rtb-0aaaaaaaaaaaaaaaa \
    --destination-cidr-block 0.0.0.0/0 --gateway-id igw-0123456789abcdef0
aws ec2 modify-subnet-attribute --subnet-id subnet-0123456789abcdef0 --map-public-ip-on-launch
aws ec2 allocate-address --domain vpc

⏭️ पुढे

पाट्या सांगतात की packet कुठे जाऊ शकतो. आता: कोण दार ठोठावू शकतो. Security groups विरुद्ध NACLs — पाहुण्यांची यादी आणि wing चे दार.

git checkout lesson-06-sg-vs-nacl

🚪 Lesson 05 — Internet gateway & public subnets: the front gate

📍 You are here: Lesson 05 of 12 · Previous: lesson-04-route-tables · Next: lesson-06-sg-vs-nacl

📦 What's in this branch

Lessons 01–04, plus the first full campus: campus() in vpc/demo.py builds three wings — public-a, app-a, data-a — with desks web, app and db, and Campus.walk() in vpc/network.py follows one packet out. igw() sends web and db to the internet.

🧒 Explain like I'm 5

The campus fence has one front gate 🚪 to the city: the internet gateway.

Building a gate is not enough. A wing only uses the gate if its corridor sign says "everything else → the front gate". The public wing's sign says that. The data wing's sign does not — so a letter from the data wing to the city finds no line and is dropped.

One more thing. When a letter goes out through the gate, the city must be able to write back. A desk with only a campus number (10.20.0.10) has no address the city can use. So a desk that talks to the city also needs a public address — an ordinary public IP or an Elastic IP. The gate swaps one for the other, both ways.

🗺️ Diagram

flowchart LR
    web["🖥️ web 10.20.0.10<br/>public-a · public IP"]
    db["🗄️ db 10.20.96.15<br/>data-a"]
    rtp["🪧 rt-public<br/>0.0.0.0/0 → igw-school"]
    rtd["🪧 rt-data<br/>no 0.0.0.0/0"]
    igw["🚪 igw-school"]
    net["🌍 93.184.216.34:443"]
    web --> rtp --> igw --> net
    db --> rtd -->|"no route → dropped"| x["🚫"]

🗺️ Drawn version + a lab: https://school-edh.pages.dev/vpc/lesson-diagrams.html#l05

❓ What

Internet gateway (IGW) — a VPC component that connects the VPC to the internet. One IGW per VPC. AWS runs it redundant and scaled; there is nothing to size. It translates between an instance's private IP and its public IP.
Public subnet — a subnet whose route table has 0.0.0.0/0 → igw-…. That route is the only thing that makes it public.
Public IP — for an instance to be reached from, or talk directly to, the internet it also needs a public IPv4 address (auto-assigned at launch, released when it stops) or an Elastic IP (yours until you release it). AWS charges for public IPv4 addresses by the hour (approximately $0.005 per hour each — check the VPC pricing page).
Private subnet — no route to the IGW. It may go out through a NAT gateway in a public subnet (0.0.0.0/0 → nat-…) — see the NAT school — and nothing from the internet can start a conversation with it.
Isolated subnet — no default route at all. The data wing in this lab.
IPv6 — IPv6 addresses are globally unique. For "out only" IPv6 there is an egress-only internet gateway.

🤔 Why

Because the route table is the real boundary. A database with a tight security group but a route to the IGW and a public IP is one rule change away from the internet. A database in a subnet with no route out cannot be reached from the internet, whatever its security group says.

🔧 How (in this repo)

Campus.walk(src, dst_ip, proto, port) checks, in order: the source security group (outbound), the source subnet's NACL (outbound), then the route table. If the target is not local, the packet "leaves the subnet via" that target and the walk ends. igw() in vpc/demo.py walks web and db to 93.184.216.34:443. It is a teaching model: walk() does not check for a public IP — that part you must remember.

🧪 Try it

python3 vpc/demo.py igw
python3 - <<'EOF'
import sys; sys.path.insert(0, "vpc"); from network import RouteTable
from demo import campus, VPC
c = campus()
c.rts["rt-public"] = RouteTable("rt-public", VPC)          # take the gate sign down
print("web without the IGW route:", c.walk("web", "93.184.216.34", "tcp", 443))
c.rts["rt-data"].routes.append(("0.0.0.0/0", "igw-school"))  # a mistake: point data at the gate
print("db with an IGW route:     ", c.walk("db", "93.184.216.34", "tcp", 443)[0])
EOF

✅ Verify — what you should see

igw prints:

   web → internet :443  ✅  🧍 sg-web out ✓ · 🚦 acl-open rule 100 ALLOW · 🪧 rt-public: 0.0.0.0/0 → igw-school · 🚪 leaves the subnet via igw-school
   db → internet :443  🚫  🧍 sg-db out ✓ · 🚦 acl-data rule 110 ALLOW · 🪧 no route → dropped

Your snippet prints web without the IGW route: (False, ['🧍 sg-web out ✓', '🚦 acl-open rule 100 ALLOW', '🪧 no route → dropped']) — same desk, same guards, no sign, no internet. Then db with an IGW route: True: one wrong route made the data wing "public". (In AWS, db would still need a public IP to actually talk to the internet — the model skips that check.)

🏁 What you just proved

"Public" is one line on a route table. Remove it and the public wing is closed; add it and even the data wing becomes public.

⚠️ Common mistakes

calling a subnet "private" because of its name or tag — read its route table
a public subnet but no public IP on the instance — the gate has no address to write back to
turning on "auto-assign public IPv4" on every subnet, including app and data
putting app servers in public subnets because "they need updates" — that is what NAT and endpoints are for
forgetting that an attached IGW does nothing until a route points at it

🏭 In production

Only load balancers and NAT gateways live in public subnets. Servers and databases have no public IP at all. Security Hub flags subnets that auto-assign public IPs.

On a real account (needs the AWS CLI and credentials; IDs are examples):

aws ec2 create-internet-gateway
aws ec2 attach-internet-gateway --internet-gateway-id igw-0123456789abcdef0 --vpc-id vpc-0123456789abcdef0
aws ec2 create-route --route-table-id rtb-0aaaaaaaaaaaaaaaa \
    --destination-cidr-block 0.0.0.0/0 --gateway-id igw-0123456789abcdef0
aws ec2 modify-subnet-attribute --subnet-id subnet-0123456789abcdef0 --map-public-ip-on-launch
aws ec2 allocate-address --domain vpc

⏭️ Next

The signs say where a packet may go. Now: who may knock. Security groups vs NACLs — the guest list and the wing door.

git checkout lesson-06-sg-vs-nacl

← Previousroute tables Next →sg vs nacl

This page is the lesson's README from the lesson-05-igw-public branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.