Diagrama de VPC da AWS: sub-redes, tabelas de rotas e NAT bem desenhados

A maioria dos diagramas de VPC é desenhada uma única vez, no início do projeto, copiando o mapa de recursos do console. Eles mostram todos os recursos e não respondem a nenhuma das perguntas que as pessoas realmente fazem a eles: a Internet consegue chegar a este banco de dados? Por que a aplicação consegue baixar pacotes, mas não receber conexões? O que quebra se uma zona de disponibilidade cair?

Este guia mostra como desenhar um diagrama de VPC da AWS que responde a essas perguntas. Usamos um layout comum, uma VPC em duas zonas de disponibilidade com sub-redes públicas, privadas e de dados, e passamos pelas partes que definem a acessibilidade: sub-redes, tabelas de rotas, gateways, endpoints e grupos de segurança.

As perguntas que um diagrama de VPC precisa responder

• O que a Internet alcança? Só recursos em sub-redes públicas com uma rota para um gateway da Internet, e só se os grupos de segurança deles permitirem.
• Como os recursos privados saem? Geralmente por um gateway NAT, às vezes por endpoints de VPC, às vezes de jeito nenhum.
• Como o tráfego flui entre as camadas? Do balanceador de carga para a aplicação, da aplicação para o banco de dados, e por quais portas.
• O que acontece quando uma AZ falha? Quais recursos existem em cada zona e quais são compartilhados.

Se o desenho dificulta responder a qualquer uma dessas perguntas, ele precisa de menos recursos e de mais estrutura.

Os blocos básicos

Parte	O que é	Como desenhar
VPC	Sua rede privada, com um bloco CIDR como 10.0.0.0/16	O frame externo, com o CIDR no rótulo
Zona de disponibilidade	Um local isolado dentro da região	Uma coluna ou um frame dentro da VPC
Sub-rede	Um intervalo do CIDR da VPC em exatamente uma AZ	Um frame dentro da sua AZ, com o CIDR no rótulo
Tabela de rotas	Regras que enviam o tráfego de uma sub-rede para um destino	Uma pequena tabela por camada de sub-redes
Gateway da Internet	A porta da VPC para a Internet	Na borda da VPC, voltado para a Internet
Gateway NAT	Permite que sub-redes privadas iniciem conexões de saída	Zonal: dentro de uma sub-rede pública, um por AZ. Regional: um gateway para todas as AZs, sem sub-rede
Endpoint de VPC	Um caminho privado para os serviços da AWS	Endpoints de gateway para S3 e DynamoDB; endpoints de interface nas sub-redes
Grupo de segurança	Firewall com estado em cada interface de rede	Regras de porta como rótulos das conexões, não como caixas
ACL de rede	Filtro sem estado na sub-rede	Uma nota na sub-rede, só se você usa regras personalizadas

Dois fatos moldam todo o layout. Uma sub-rede fica em exatamente uma zona de disponibilidade, então uma sub-rede nunca pode atravessar as colunas de AZ do seu diagrama. E um gateway NAT padrão (zonal) fica em uma AZ: se o único estiver na AZ a, as sub-redes privadas da AZ b perdem o acesso de saída quando a AZ a falhar. Desde novembro de 2025, a AWS também oferece gateways NAT regionais, que se expandem sozinhos entre as AZs e não precisam de sub-rede pública; este exemplo usa gateways zonais.

O exemplo: duas AZs, três camadas

A VPC usa 10.0.0.0/16 em duas zonas de disponibilidade, com três sub-redes em cada uma:

Camada	AZ a	AZ b	Rota para 0.0.0.0/0
Pública	10.0.0.0/24	10.0.1.0/24	Gateway da Internet
Aplicação (privada)	10.0.10.0/24	10.0.11.0/24	Gateway NAT na mesma AZ
Dados (privada)	10.0.20.0/24	10.0.21.0/24	Nenhuma

Toda tabela de rotas também tem a rota local para 10.0.0.0/16, que permite que as sub-redes da VPC se alcancem entre si; depois, os grupos de segurança decidem o que é de fato permitido. A AWS reserva cinco endereços em cada sub-rede, então um /24 oferece 251 endereços utilizáveis.

O que roda onde:

• Um Application Load Balancer tem nós nas duas sub-redes públicas e aceita HTTPS vindo da Internet.
• Os servidores de aplicação (instâncias EC2 ou tarefas do ECS) rodam nas duas sub-redes de aplicação e só aceitam tráfego do grupo de segurança do ALB.
• Uma instância primária do RDS PostgreSQL roda em uma sub-rede de dados, com uma réplica em espera na outra. O RDS exige um grupo de sub-redes de banco de dados com sub-redes em pelo menos duas AZs.
• Um gateway NAT em cada sub-rede pública dá aos servidores de aplicação acesso de saída para atualizações e APIs de terceiros.
• Um endpoint de gateway para o S3 permite que os servidores de aplicação cheguem ao S3 sem passar pelo gateway NAT, o que também economiza cobranças de processamento de dados do NAT.

Aqui está o diagrama:

Regras de layout que mantêm a leitura fácil

Colunas para as AZs, linhas para as camadas

Coloque as zonas de disponibilidade lado a lado e as camadas de cima para baixo: pública no topo, depois aplicação, depois dados. Assim a acessibilidade é lida de cima para baixo, e um recurso que falta em uma coluna aparece na hora.

Coloque o gateway da Internet na borda

O gateway da Internet é anexado à VPC inteira, não a uma sub-rede. Desenhe-o no frame da VPC, entre a Internet e as sub-redes públicas.

Mostre as rotas em uma tabela, não com setas para tudo

Uma seta de cada sub-rede para cada gateway transforma o diagrama em uma teia. Uma pequena tabela de rotas por camada, como a de cima, diz a mesma coisa com precisão. Desenhe setas só para os principais caminhos de tráfego.

Coloque as regras dos grupos de segurança nas conexões

Grupos de segurança pertencem a interfaces de rede, não a sub-redes, então frames são a forma errada para eles. Em vez disso, rotule as conexões: HTTPS 443 from internet, 8080 from ALB SG, 5432 from app SG. É essa a informação que as pessoas procuram.

Deixe emparelhamento e VPN na borda

Gateways de trânsito, conexões de emparelhamento e VPNs Site-to-Site conectam a VPC a outras redes. Desenhe-os na borda da VPC, com os CIDRs remotos no rótulo, e deixe o lado remoto em um diagrama próprio.

Erros comuns

• Uma sub-rede que atravessa duas AZs. Isso não existe. Desenhe uma sub-rede por AZ, mesmo que sejam gêmeas.
• Um único gateway NAT zonal para as duas AZs, sem avisar. Pode ser uma decisão deliberada de custo; escreva isso no diagrama para que ninguém presuma que as zonas são independentes.
• Grupos de segurança desenhados como caixas aninhadas. Eles se sobrepõem livremente e se aplicam por interface; o aninhamento sugere regras que não existem.
• Copiar o mapa de recursos do console com cada interface de rede e cada associação de tabela de rotas. Útil para auditorias, ilegível para design.
• Sem CIDRs. São os intervalos sobrepostos que bloqueiam o emparelhamento depois. Coloque o CIDR em cada frame de VPC e de sub-rede.

Monte no Archboard

1. Entre com Google ou GitHub e crie um diagrama.
2. No pack Rede, adicione um frame VPC e defina o CIDR dele como 10.0.0.0/16.
3. Dentro dele, adicione elementos Moldura do pack Básico para as duas AZs e, dentro de cada AZ, frames Sub-rede do pack Rede com os respectivos CIDRs.
4. Adicione um nó Internet do pack Rede fora da VPC e um Roteador na borda da VPC para o gateway da Internet.
5. Adicione do pack Nuvem um Balanceador de carga na nuvem para o ALB, nós Instância de computação para os servidores de aplicação e nós Banco de dados gerenciado para a instância primária e a réplica em espera do RDS. Use nós Roteador do pack Rede para os gateways NAT.
6. Conecte as portas e rotule as conexões com as portas e os grupos de segurança de origem.
7. Adicione uma Tabela do pack Básico com as tabelas de rotas e uma Nota para decisões como um gateway NAT por AZ.

O exemplo completo usa mais do que os 15 nós de diagrama do plano Free, então um diagrama de VPC tão detalhado combina bem com o Pro. Para arquiteturas multirregião, veja o diagrama de arquitetura multirregião da AWS e, para mais padrões de rede, a página do caso de uso de redes.

Perguntas frequentes

Toda sub-rede deve aparecer no diagrama? No diagrama de design da VPC, sim, porque a acessibilidade depende da sub-rede e da tabela de rotas. Em um diagrama de aplicação, um frame por camada costuma bastar.

Preciso de um gateway NAT em cada AZ? Com gateways NAT zonais, sim, para que as zonas sejam independentes. Um único gateway NAT zonal economiza dinheiro, mas faz todas as AZs dependerem de uma zona para o tráfego de saída e adiciona cobranças de transferência de dados entre AZs. Um gateway NAT regional é um único gateway que se expande para cada AZ com cargas de trabalho. Seja qual for a escolha, registre-a no diagrama.

Onde ficam os endpoints de VPC? Endpoints de gateway (S3 e DynamoDB) são destinos nas tabelas de rotas, então desenhe-os na borda da VPC e cite-os na tabela de rotas. Endpoints de interface são interfaces de rede nas suas sub-redes, então desenhe-os dentro das sub-redes que os hospedam.

Grupos de segurança ou ACLs de rede no diagrama? Grupos de segurança como rótulos das conexões, sempre. ACLs de rede só como nota na sub-rede, e só quando você mudou os padrões.

Posso gerar isso a partir da minha conta da AWS? O Archboard não lê sua conta da AWS. Desenhe o design que você pretende e compare-o com o mapa de recursos do console durante as revisões.

Comece grátis — um assento, sem cartão de crédito.