Los costos de red son faciles de pasar por alto en una factura de AWS, pero para servicios de alto trafico pueden volverse sorprendentemente grandes. En el examen SAA-C03, la optimizacion de costos de transferencia de datos aparece con frecuencia. Para responder "Que configuracion reduce los costos de red?", necesitas entender donde fluyen los datos y en que direccion.
Las reglas basicas de los costos de transferencia de datos
Por que son importantes? AWS cobra de forma diferente segun la direccion y el camino del movimiento de datos. No conocer estas reglas puede llevar a una factura mucho mas grande de lo esperado.
Una forma facil de recordar: "Lo que entra es gratis. El mismo vecindario es gratis. Cuanto mas lejos viajan los datos, mas cuesta."
| Direccion | Condicion | Costo | |-----------|-----------|-------| | Entrante | Internet a AWS | Gratis | | Misma AZ | Usando IP privada | Gratis | | Misma AZ | Usando IP publica o elastica | Pequena tarifa | | Misma region, AZ diferente | Ambas direcciones | Pequena tarifa por GB | | Region diferente | Ambas direcciones | Tarifa mas alta por GB | | AWS a Internet | Saliente | Mas caro |
Principio clave: Usar IPs privadas para comunicacion dentro de la misma Zona de Disponibilidad no genera costos de transferencia. Simplemente cambiar de IPs publicas a IPs privadas para comunicacion servidor a servidor dentro de la misma AZ ya es un ahorro de costos.
Que es un NAT Gateway y por que puede ser costoso?
Por que existe? Los servidores en subredes privadas estan aislados del acceso directo a internet — ese es el objetivo. Pero esos servidores aun necesitan acceder a internet a veces, para actualizaciones de software o llamadas a APIs externas. NAT Gateway maneja ese trafico saliente en su nombre.
Que es? Piensa en una sala de correo compartida en un edificio de apartamentos. Cuando un residente (servidor privado) envia una carta, sale con la direccion de la sala de correo en lugar del numero de apartamento del residente. Las respuestas vuelven a la sala de correo, que las distribuye al residente correcto. El mundo exterior solo ve la direccion de la sala de correo, nunca el apartamento individual.
Por que puede ser costoso? NAT Gateway genera dos tipos de cargos simultaneamente: Tarifa de uso por hora (cobrada solo por estar encendido, incluso sin trafico) Tarifa de procesamiento de datos (cobrada por GB de datos procesados)
Cuando los servidores en multiples AZs envian trafico a traves de un NAT Gateway en una AZ diferente, las tarifas de transferencia entre AZs se suman a esos cargos.
Formas de reducir los costos de NAT Gateway
Metodo 1 — Enrutar el trafico de S3 y DynamoDB a traves de VPC Endpoints:
S3 y DynamoDB ofrecen Gateway Endpoints gratuitos que permiten el acceso sin pasar por NAT Gateway. Si todo el trafico de S3 fluye a traves de NAT Gateway, las tarifas de procesamiento de datos se acumulan continuamente. Configurar un S3 Gateway Endpoint significa que el trafico de S3 omite completamente NAT Gateway y ese costo desaparece.
Metodo 2 — Colocar un NAT Gateway en cada AZ:
Cuando un servidor en AZ-A usa un NAT Gateway en AZ-B, se agregan tarifas de transferencia entre AZs. Coloca un NAT Gateway por AZ y configura los servidores de cada AZ para usar el NAT Gateway en su propia AZ. Las tarifas de transferencia entre AZs desaparecen, aunque los cargos por hora de NAT Gateway se multiplicaran por el numero de AZs.
Metodo 3 — NAT Instance para entornos muy pequenos:
Para entornos de trafico muy bajo, puedes configurar una instancia EC2 como NAT Instance en lugar de usar el NAT Gateway administrado. Cuesta menos por hora, pero debes gestionar disponibilidad, parches y escalado tu mismo.
Reducir costos con VPC Endpoints
Por que existen? Cuando los servidores dentro de una VPC acceden a servicios de AWS como S3 o DynamoDB a traves de internet, se aplican tarifas de salida. Un VPC Endpoint crea una conexion privada directa dentro de la red de AWS, como usar una linea telefonica interna de oficina en lugar de un telefono publico. Sin trafico de internet, sin tarifas de salida.
| Tipo | Servicios Destino | Costo | |------|------------------|-------| | Gateway Endpoint | S3, DynamoDB | Gratis | | Interface Endpoint (AWS PrivateLink) | Otros servicios AWS (SNS, SQS, API Gateway, etc.) | Por hora + tarifa de procesamiento de datos |
Los S3 Gateway Endpoints son gratuitos. Cualquier entorno que use S3 intensivamente deberia tener uno configurado. En el examen, cuando la pregunta pregunta "Como reduces los costos de NAT Gateway al acceder a S3?", la respuesta casi siempre es el S3 Gateway Endpoint.
Reducir costos de salida con CloudFront
Por que existe? Servir archivos directamente desde S3 significa pagar tarifas de internet de salida por cada solicitud. CloudFront almacena en cache el contenido en cientos de ubicaciones de borde en todo el mundo, por lo que los usuarios reciben archivos desde la ubicacion de borde mas cercana en lugar del origen (S3).
Por que es mas barato? Transferencia de S3 a CloudFront de origen: tarifa con gran descuento comparada con la salida estandar de S3 (a veces efectivamente gratis) CloudFront al usuario final: tarifa por GB mas baja que la salida estandar de S3 Una alta tasa de aciertos en cache significa menos solicitudes al origen, reduciendo tambien los costos de solicitudes de S3
Ejemplo: Un servicio que entrega las mismas imagenes a usuarios en todo el mundo. Servir directamente desde S3 significa que cada solicitud genera tarifas de salida de S3. Con CloudFront, solo la primera solicitud por ubicacion de borde llega a S3. Todos los usuarios posteriores en esa ubicacion son servidos desde el cache.
VPC Peering vs Transit Gateway
Por que compararlos? Cuando conectas multiples VPCs, el metodo de conexion que eliges determina tu estructura de costos.
VPC Peering es una conexion punto a punto. Piensa en construir un corredor privado dedicado entre dos edificios. No hay tarifa de conexion por hora: pagas solo por la transferencia de datos. Pero a medida que crece el numero de VPCs, el numero de conexiones de peering crece exponencialmente: N VPCs requieren N × (N-1) / 2 conexiones de peering.
Transit Gateway es un hub central. Todas las VPCs se conectan a un hub (N VPCs necesitan solo N conexiones). Hay una tarifa de adjuncion por hora mas una tarifa de procesamiento de datos, por lo que para un pequeno numero de VPCs, el peering es mas barato. A medida que crece el numero de VPCs, Transit Gateway se vuelve mas economico y mucho mas facil de gestionar.
| Elemento | VPC Peering | Transit Gateway | |----------|------------|----------------| | Estructura de costos | Solo transferencia de datos | Tarifa de conexion por hora + procesamiento de datos | | Numero de conexiones | N × (N-1) / 2 | N | | Escalabilidad | Baja | Alta | | Recomendado cuando | 2 a 3 VPCs | 4 o mas VPCs |
Puntos clave para el examen
"Eliminar el costo de NAT Gateway al acceder a S3" -- S3 Gateway Endpoint (gratis)
"Como una linea telefonica interna en lugar de un telefono publico" -- Analogia para VPC Gateway Endpoints
"Prevenir costos de NAT Gateway entre AZs" -- Colocar un NAT Gateway separado en cada AZ
"Reducir costos de salida a internet" -- Entregar contenido a traves de CloudFront
"Transferencia gratuita dentro de la misma AZ" -- Debe usar direcciones IP privadas
"Conectar unas pocas VPCs, pagar solo por transferencia de datos" -- VPC Peering
"Gestionar centralmente muchas VPCs, pagar tarifa de conexion por hora" -- Transit Gateway
"Datos entrantes de internet" -- Siempre gratis
S3 Gateway Endpoint es gratuito — la respuesta correcta mas comun para preguntas de reduccion de costos de red
CloudFront es mas barato que la salida directa de S3, y tasas de aciertos de cache mas altas generan aun mas ahorros