# O que é VPC na AWS: sub-rede, route table e internet gateway

> Os conceitos de uma VPC como eu desenho: faixa de IP, sub-rede por zona, route table, internet gateway, IP público, Elastic IP e peering.

- Autor: Henrylle Maia, consultor AWS
- Publicado em: 2026-10-15
- Assuntos: Rede
- URL: https://pages.formacaoaws.com.br/blog/o-que-e-vpc-na-aws/
- Aula de origem: "O que é AWS VPC + principais conceitos" (https://www.youtube.com/watch?v=HjFUQ7iBWYY)

Quando você cria a conta na AWS, já existe uma VPC pronta em cada região: é a sua rede lá dentro. Neste texto você vê o que são faixa de IP, sub-rede, route table e internet gateway, e por que uma instância sem IP público não fala com a internet.

## A VPC: a sua rede dentro da região

A VPC padrão já vem criada em cada região. Se você apagar a da região, pode criar uma nova: ela é só uma rede.

Você também pode desativar as regiões que não vai usar. Quem só quer trabalhar na Virgínia pode deixar as outras de lado.

A região importa porque, ao usar um serviço como o EC2, você enxerga uma região por vez. Alguns serviços são globais e mostram tudo; outros são regionais e mostram só aquela região.

Cada VPC tem uma faixa de IPs. No desenho eu usei 172.30.0.0/16. Não perca tempo decorando essas faixas: você vê uma vez, se acostuma e segue.

![A VPC 172.30.0.0/16 em us-east-1 com três sub-redes dentro, uma por zona de disponibilidade (A, B e C), as duas primeiras com as faixas 172.30.0.0/24 e 172.30.1.0/24](https://pages.formacaoaws.com.br/blog/assets/posts/o-que-e-vpc-na-aws/vpc-faixa-16.svg)

## Sub-redes: uma faixa de IPs por zona de disponibilidade

Dentro da faixa da VPC você constrói as sub-redes. A razão principal é escolher em qual zona de disponibilidade (AZ) a aplicação vai rodar. É isso que garante a alta disponibilidade.

Na Virgínia a VPC padrão tem, se não me engano, 6 sub-redes; no desenho, para simplificar, usei 3: A, B e C. Cada sub-rede ganha uma faixa dentro da VPC. A da zona A ficou com 172.30.0.0/24 e a da zona B com 172.30.1.0/24.

O número depois da barra diz quantos IPs a sub-rede libera. Existe uma conta para isso, e a interface nova do console da VPC mostra o resultado visualmente. No desenho, anotei 0/254 ao lado do /24. A conta exata: um /24 tem 256 endereços, e a AWS reserva 5 em toda sub-rede (os quatro primeiros e o último), então sobram 251 para usar ([documentação da AWS](https://docs.aws.amazon.com/vpc/latest/userguide/subnet-sizing.html)).

![As sub-redes das zonas A e B com as faixas 172.30.0.0/24 (anotada 0/254) e 172.30.1.0/24, ao lado da zona C](https://pages.formacaoaws.com.br/blog/assets/posts/o-que-e-vpc-na-aws/subnets-cidr-24.svg)

Toda instância lançada numa sub-rede recebe um IP privado dessa faixa. A primeira máquina pode ganhar o final 15, a seguinte o 16, e assim por diante. Esse IP é privado e fixo daquela máquina desde o lançamento: ele não muda.

## Route table: o que pode trafegar na sub-rede

Ao criar uma sub-rede, entra em cena outro recurso da VPC, a route table. É uma tabela que você associa à sub-rede para dizer o que pode trafegar dentro dela.

Por padrão ela tem uma linha de tráfego local, que libera o acesso a tudo que está na VPC. Duas sub-redes com a mesma tabela conseguem se pingar, desde que o security group permita.

## Internet gateway: a saída para a internet

Para as instâncias de uma sub-rede terem internet e IP público, você precisa anexar um recurso chamado internet gateway. A analogia que eu uso é o roteador da sua casa.

Seu computador ligado ao roteador tem um IP "frio", o da rede interna. Quando ele se conecta à internet, tem também um IP "quente", o da internet. O internet gateway faz o papel desse roteador. A ligação com a sub-rede é feita pela route table.

![Dentro da VPC, a route table (RT) apontando para a sub-rede da zona B e o internet gateway (IG) ao lado, sobre as três zonas com as faixas 172.30.0.0/24 (anotada 0/254) e 172.30.1.0/24](https://pages.formacaoaws.com.br/blog/assets/posts/o-que-e-vpc-na-aws/board-vpc-az-rt-ig.svg)

Quando você lança uma instância e pede IP público, a AWS verifica se há internet gateway. Se há, libera o IP público.

> **Importante:** o IP público que a AWS entrega por padrão está fora do seu controle. Você não escolhe qual vem.

## IP público, IP privado e Elastic IP

Você reconhece o IP privado pelo começo: na aula citei os que começam por 10, 172 e 192 como faixas privadas. No console do EC2, a instância mostra os dois: o IPv4 público e o IPv4 privado.

![Detalhe de uma instância EC2 no console: o IPv4 público e o DNS público borrados, e o IPv4 privado 172.31.28.212](https://pages.formacaoaws.com.br/blog/assets/posts/o-que-e-vpc-na-aws/ec2-ip-publico-privado.webp)

Para ter um IP público fixo, use o **Elastic IP**. Você configura a instância para assumir sempre esse IP, sempre que ela nascer ou for reiniciada.

> **Importante:** o Elastic IP é gratuito enquanto está em uso. Muita gente aloca um, desliga a EC2 e depois reclama da cobrança. A AWS cobra pelo Elastic IP parado, por ele estar reservando um recurso sem necessidade, principalmente pela escassez de IPv4.

Por que o IP público faz falta? Para entrar na instância por SSH, ela precisa de IP público; só com IP privado, ela é como uma casa sem internet. O mesmo vale para a instância sair: no ECS, a instância precisa falar com a API do ECS, que é da AWS e não está na sua rede privada, para ser registrada no cluster. Sem IP público ela não chega lá, e a instância não aparece registrada. Aconteceu com duas pessoas na turma, e a minha pergunta era sempre a mesma: a máquina tem IP público?

## VPC peering: falar com outra VPC sem passar pela internet

Digamos que a sua máquina precisa falar com outra, em outra região ou outra conta. Há dois caminhos: a internet ou um canal fechado entre as duas redes, o VPC peering.

Pela internet, você usa o IP público da outra máquina e o tráfego passa pelo internet gateway. Com o peering configurado e a resolução de DNS público ligada, esse mesmo endereço público é resolvido para o IP privado da outra máquina, dentro da rede, e o tráfego segue pelo canal, sem internet.

Por isso, se você tirar o internet gateway da VPC, a máquina perde a internet, mas a comunicação pelo peering continua. O peering não é automático: você precisa configurar. Como teste, quando chegar mais fundo em VPC, tire a rota do internet gateway da route table e veja se a comunicação continua.

**Fluxo:** VPC (faixa 172.30.0.0/16) → Sub-redes (uma por zona de disponibilidade) → Route table (tráfego local e rotas) → Internet gateway (liga a sub-rede à internet) → IP público (Elastic IP quando precisa ser fixo)

## Checklist

- Defina a faixa de IP da VPC (/16 no exemplo) e uma faixa dentro dela para cada sub-rede (/24).
- Crie uma sub-rede por zona de disponibilidade em que a aplicação vai rodar.
- Confira na route table a linha de tráfego local.
- Anexe um internet gateway à VPC se as instâncias precisam de internet.
- Para entrar por SSH ou registrar no ECS, confirme que a instância tem IP público.
- Se precisa de IP público fixo, use Elastic IP e não deixe nenhum alocado sem uso: a AWS cobra.

A rede da AWS vira desenho: a faixa da VPC, uma sub-rede por zona e a saída pelo internet gateway.