NAT Gateway
Serviço gerenciado de NAT na nuvem — deixa recursos em sub-redes privadas alcançarem a internet para fora, mas bloqueia entradas. AWS NAT Gateway, Azure NAT Gateway, GCP Cloud NAT.
Arquitetura padrão em VPCs de nuvem: sub-redes públicas têm um Internet Gateway, sub-redes privadas têm um NAT Gateway. Uma instância EC2 numa sub-rede privada consegue baixar pacotes apt, mas não é alcançável diretamente de fora. Armadilha de preço: o AWS NAT Gateway custa US$ 0,045/hora + US$ 0,045/GB processado — pode chegar a milhares de dólares por mês se você baixar muitos dados de dentro de uma sub-rede privada. Alternativa: VPC Endpoints (Gateway ou Interface) para pular o NAT nas chamadas a serviços da AWS.