NAT 게이트웨이
프라이빗 서브넷의 아웃바운드 인터넷 통로. 비용 주의 대상
이게 뭔가요? / What is this?
NAT 게이트웨이는 물리 장비가 아니라, 프라이빗한 방 안의 컴퓨터가 밖으로 나갈 때만 문을 열어주는 관리형 가상 출입구입니다. 회사 우편실이 직원이 보내는 편지는 내보내 주지만 낯선 사람이 그 반대로 들어오는 건 막는 것과 비슷해서, 아웃바운드 인터넷 접속만 허용하고 인바운드 연결은 차단합니다.
개요 / Overview
NAT 게이트웨이는 프라이빗 서브넷 인스턴스가 인터넷으로 나가되 밖에서는 들어올 수 없게 합니다. 관리형이며 AZ 단위로 배치하는데, 시간당 요금과 데이터 처리 요금이 모두 붙어 비용 문제의 단골 소재입니다.
동작 원리 / How it works
NAT 게이트웨이는 퍼블릭 서브넷에 놓이고 Elastic IP를 갖습니다. 프라이빗 서브넷의 라우팅 테이블이 0.0.0.0/0을 이 NAT로 보내면, 나가는 연결은 NAT의 공인 IP로 주소 변환되어 인터넷에 도달합니다. 반대 방향 신규 연결은 불가능해 아웃바운드 전용 통로가 됩니다.
비용 구조가 중요합니다 — 시간당 요금과 처리한 GB당 요금이 모두 붙습니다. 그래서 S3로 테라바이트 단위 데이터를 보내면 NAT 데이터 처리 요금이 예상 밖으로 커지고, 게이트웨이 VPC 엔드포인트로 우회하는 것이 정답이 됩니다. 또한 NAT는 AZ에 종속되므로 AZ마다 하나씩 두어야 단일 장애점이 사라집니다.
시험은 무엇을 보는가 / What the exam is testing
시험은 NAT를 두 방향에서 씁니다 — 고가용성(AZ마다 하나인가)과 비용(엔드포인트로 우회할 수 있는가). 또한 "관리 부담 최소화" 조건에서 NAT 인스턴스는 항상 오답이고 NAT 게이트웨이가 정답입니다.
시험 포인트 / Exam points
NAT 게이트웨이는 AZ에 종속되므로 고가용성을 위해 각 AZ에 하나씩 두고 해당 AZ의 프라이빗 서브넷이 자기 AZ의 NAT를 쓰게 라우팅합니다. 단일 NAT는 그 AZ 장애 시 전체가 끊깁니다.
S3·DynamoDB 트래픽은 게이트웨이 VPC 엔드포인트로 빼면 NAT 데이터 처리 요금을 내지 않습니다. NAT 비용 절감 문제의 정답입니다.
NAT 인스턴스는 직접 관리·확장해야 하고 단일 장애점이 됩니다. 관리 부담 최소화를 묻는 문제에서 NAT 인스턴스는 오답입니다.
자주 틀리는 함정 / Common traps
NAT 게이트웨이 하나로 모든 AZ의 프라이빗 서브넷을 라우팅하는 것 — 그 AZ가 죽으면 전 AZ의 아웃바운드가 끊깁니다.
NAT 게이트웨이를 프라이빗 서브넷에 두는 것 — 인터넷 게이트웨이 경로가 없어 동작하지 않습니다.
NAT Gateway
Outbound internet path for private subnets — and a cost hotspot
이게 뭔가요? / What is this?
A NAT gateway is not physical hardware — it is a managed virtual doorway that only opens for private-room computers heading outward. It is like a company mailroom that lets employee outgoing letters through but blocks strangers from walking in the reverse direction: it allows outbound internet access while blocking inbound connections.
개요 / Overview
A NAT gateway lets private instances reach the internet while blocking inbound connections. It is managed and AZ-scoped, and bills both hourly and per GB — a frequent subject of cost questions.
동작 원리 / How it works
A NAT gateway sits in a public subnet with an Elastic IP. When a private subnet's route table sends 0.0.0.0/0 to it, outbound connections are translated to the NAT's public address and reach the internet. Inbound connections cannot be initiated, making it egress-only.
Its cost structure matters: hourly plus per GB processed. Sending terabytes to S3 therefore runs up surprising NAT charges, and routing around it with a gateway VPC endpoint becomes the answer. A NAT is also AZ-bound, so one per AZ is needed to remove the single point of failure.
시험은 무엇을 보는가 / What the exam is testing
The exam approaches NAT from two sides: availability (one per AZ?) and cost (can an endpoint bypass it?). And under "minimise operational overhead", a NAT instance is always wrong while the NAT gateway is right.
시험 포인트 / Exam points
A NAT gateway is AZ-bound, so deploy one per AZ and route each private subnet to the NAT in its own AZ. A single NAT breaks everything when its AZ fails.
Route S3 and DynamoDB traffic through a gateway VPC endpoint to avoid NAT data-processing charges — the answer for reducing NAT cost.
NAT instances must be managed and scaled by you and form a single point of failure, so they are wrong when the question minimises operational overhead.
자주 틀리는 함정 / Common traps
Routing every AZ's private subnets through one NAT gateway — losing that AZ kills egress for all of them.
Placing the NAT gateway in a private subnet — with no route to an internet gateway it cannot work.
AWS SAA Hub Pro는 독립 학습 자료이며 Amazon Web Services, Inc.의 공식 서비스가 아닙니다. 시험 정책과 서비스 사양은 AWS 공식 문서를 기준으로 확인하세요.