Как устроена виртуальная сеть в облаке: VPC, подсети, маршруты, NAT?

VPC — изолированная виртуальная сеть вашего аккаунта со своим диапазоном адресов (например, 10.0.0.0/16). Она нарезается на подсети, каждая живёт в конкретной зоне доступности и бывает публичной (в её таблице маршрутизации есть путь в интернет-шлюз) или приватной (такого пути нет). Приватные машины выходят наружу через NAT-шлюз, оставаясь недоступными снаружи. Типовая схема: балансировщик в публичных подсетях, приложения и базы — в приватных, доступ к управляемым сервисам — через приватные конечные точки, чтобы трафик не выходил в интернет.