Fiche

NAT gateway

Image : le guichet du courrier, installé dans la rue publique.

Un NAT gateway permet aux machines d'une rue privée d'appeler Internet, sans qu'Internet puisse les appeler. Sens unique : sortie oui, entrée non.

Comment il marche

La machine privée confie son message au guichet.
Le guichet remplace l'adresse de retour par sa propre adresse publique (son Elastic IP), puis l'envoie par l'Internet Gateway.
La réponse revient au guichet, qui la remet à la bonne machine.

Le trajet

machine (rue privée)  ──►  NAT (rue publique)  ──►  IGW  ──►  Internet
panneau privé : 0.0.0.0/0 -> NAT    panneau public : 0.0.0.0/0 -> IGW

Ce qu'il faut retenir

Le NAT se place dans une rue publique. Dans une rue privée, il n'aurait pas de sortie.
Il a besoin d'une Elastic IP (une adresse publique fixe).
Un VPC voisin, relié par peering, ne peut pas emprunter ce NAT.
Il est payant à l'heure, plus les données traitées : c'est souvent la ligne la plus chère d'une petite infra.

En Terraform : aws_eip, aws_nat_gateway (avec le subnet_id public), plus une aws_route avec nat_gateway_id dans la table privée.

Source : AWS : NAT gateways.