VPC, subnet pública x privada e como algo privado alcança a internet
Pergunta
Numa VPC da AWS, qual a diferença entre subnet pública e privada, e como uma instância numa subnet privada faz chamadas de saída pra internet?
Resposta esperada
Uma subnet é 'pública' quando sua route table tem uma rota `0.0.0.0/0` apontando pra um Internet Gateway (IGW) — recursos ali podem ter IP público e receber tráfego de entrada. 'Privada' é uma subnet SEM essa rota pro IGW — nada de fora alcança diretamente, o que é onde você põe banco, workers, serviços internos. Pra uma instância privada fazer chamadas de SAÍDA (baixar um pacote, chamar uma API externa) sem ficar exposta, o tráfego vai por um NAT Gateway que fica numa subnet pública: a instância privada roteia `0.0.0.0/0` pro NAT, o NAT tem IP público e faz a tradução, as respostas voltam, mas nada de fora consegue iniciar conexão. O padrão de arquitetura: web/load balancer em subnet pública, app e dados em subnet privada, NAT pra saída.
Por que perguntam isso
Pergunta pleno/sênior de AWS. Sinais de domínio: IGW vs NAT Gateway, 'route table define pública/privada', o padrão LB-público / app-privado.