S4 NAT
NAT optimizado en costes para Amazon VPC
¿Cuándo se amortiza?
Ejemplo: 10 TB/mes de egress tipo NAT
Si 10 TB/mes pasan por procesamiento de datos tipo NAT, el cargo bruto de uso evitado es de aproximadamente 450 $/mes — antes de la tarifa de software de S4, EC2 y diferencias de carga de trabajo.
Estime su ahorro
Introduzca su gasto o uso mensual relevante para una estimación aproximada — sin subir factura.
S4 NAT proporciona a las subredes privadas de tu Amazon VPC egress a internet optimizado en costes (source NAT) sobre una instancia EC2 estándar: una tarifa fija de software por hora más la instancia EC2 que elijas — sin cargo de procesamiento de datos por GB, por lo que tu coste es predecible y está desacoplado del volumen de egress. Se distribuye como una AMI Amazon Linux 2023 con alta disponibilidad active/standby (normalmente menos de 10 segundos), NAT64 integrado para subredes solo IPv6 y un fast path XDP opcional. Despliega en minutos con las plantillas CloudFormation incluidas.
S4 NAT proporciona a las subredes privadas de tu Amazon VPC egress a internet optimizado en costes, construido sobre una instancia EC2 estándar. Realiza source NAT (MASQUERADE) para que las subredes privadas puedan acceder a internet, y solo pagas una tarifa fija de software por hora más el precio de la instancia que elijas — no hay cargo de procesamiento de datos por GB, por lo que el coste es predecible y está desacoplado del volumen de egress. El ancho de banda escala con el tipo de instancia. HA viene integrada: despliega la plantilla active/standby y el standby hace heartbeats al active; ante un fallo, reescribe las tablas de rutas hacia su propia ENI mediante ec2:ReplaceRoute y normalmente hace failover en menos de diez segundos (validado en más de 170 simulacros reales sobre EC2 a lo largo de releases). Opcionalmente, habilita el modo stable-egress (StableEgressIp) y una Elastic IP compartida sigue al propietario de la ruta, manteniendo constante la IP pública de egress que tus sistemas downstream tienen en allowlist durante el failover — un diseño availability-first que hace fallback breve a la EIP propia de la instancia, en lugar de black-hole, si el movimiento de IP se retrasa.
El problema
AWS NAT Gateway añade un cargo por procesamiento de datos de $0.045/GB a cada byte que tus subredes privadas envían a través de él, además de la tarifa horaria. Esa tarifa escala linealmente con el volumen de salida, por lo que para cargas de trabajo de alto rendimiento domina la factura a los 10 TB/mes y puede alcanzar miles de dólares a los 50 TB/mes, lo que dificulta predecir el gasto. Tu coste va ligado a cuánto transfieres, no al trabajo que realiza realmente el NAT.
Cómo funciona
- 1
Desplegar con CloudFormation
Una única plantilla de CloudFormation (individual o HA) crea la instancia NAT, su ENI con la comprobación de origen/destino desactivada, un rol de IAM con privilegios mínimos y un grupo de seguridad de ámbito de VPC.
- 2
Apuntar la ruta privada hacia él
El stack reescribe la ruta 0.0.0.0/0 de tus subredes privadas a la ENI de la instancia NAT, donde natd realiza source-NAT del tráfico con nftables MASQUERADE.
- 3
El standby envía heartbeats y luego toma el control
En un par HA, el standby comprueba el estado del activo mediante un heartbeat UDP y, en caso de fallo, reescribe las tablas de rutas a su propia ENI (ec2:ReplaceRoute) y mueve la Elastic IP compartida, normalmente en menos de 10 segundos.
Características destacadas
Sin tarifa de procesamiento de datos por GB: solo pagas una tarifa fija de software por hora más la instancia EC2 que elijas, por lo que tu factura de NAT es predecible y está desacoplada del volumen de egress.
Alta disponibilidad integrada: un par active/standby entre AZs hace failover reescribiendo las tablas de rutas (ec2:ReplaceRoute), normalmente en menos de 10 segundos — validado en más de 170 simulacros reales sobre EC2 a lo largo de releases. Un modo stable-egress opt-in mantiene constante la IP pública de egress durante el failover mediante una Elastic IP compartida, con fallback availability-first sin black-hole.
Todo incluido, sin lock-in: NAT64 integrado (RFC 6146) para subredes solo IPv6, un fast path XDP incluido en la AMI (opt-in, medido en ~2x pps por core frente al kernel path) y plantillas CloudFormation (single + HA) — todo en una AMI Amazon Linux 2023 estándar dentro de tu propia VPC.
Qué incluye
- AMI de Amazon Linux 2023, Graviton arm64 por defecto (variante x86_64 disponible)
- Plano de datos nftables MASQUERADE (reenvío IPv4 de Linux, comprobación de origen/destino desactivada en la ENI, $0/GB por procesamiento de datos)
- HA activo/standby en dos AZ (reescritura de rutas mediante ec2:ReplaceRoute más una Elastic IP compartida que se reasocia a la instancia superviviente, manteniendo constante la IP pública de salida)
- NAT64 (RFC 6146) — un traductor tayga integrado permite que las subredes de solo IPv6 accedan a internet IPv4 (validado en EC2 real)
- Ruta rápida XDP opcional (el kernel nftables es el plano de datos soportado en v1; XDP es una ruta de aceleración opcional)
- Plantillas de CloudFormation — configuración en un clic de instancia única (cfn-single.yaml) y par HA (cfn-ha.yaml)
- Métricas de CloudWatch bajo el espacio de nombres S4/NAT (throughput, uso de conntrack, failover, heartbeat) más una alarma y un panel de control integrados
Casos de uso
Subredes privadas con alto volumen de salida donde el cargo de NAT por GB domina la factura
Equipos que buscan un coste de NAT plano y predecible, independiente del volumen de tráfico
Subredes de solo IPv6 que aún necesitan acceder a internet IPv4 (NAT64)
Reemplazo de un NAT Gateway administrado para el acceso saliente a internet desde subredes privadas
Preguntas frecuentes
¿Es realmente más barato que un NAT Gateway administrado?
Elimina por completo el cargo por procesamiento de datos de $0.045/GB ($0/GB), dejando una tarifa de software fija por hora más la instancia EC2 que elijas. Debido a que el coste del appliance es fijo, el ahorro crece con el volumen — en la hoja de cálculo de ejemplo, una instancia individual alcanza el punto de equilibrio alrededor de 1 TB/mes de tráfico NAT y ahorra aproximadamente un 84% con 10 TB/mes. Sinceramente, el punto de equilibrio depende de tu tráfico, el tamaño de la instancia y el tiempo de actividad, y la transferencia entre AZ y la salida a internet se siguen facturando como de costumbre.
¿El failover es sin interrupciones?
El failover es rápido, pero no sin interrupciones. El standby reescribe las tablas de rutas y mueve la Elastic IP normalmente en menos de 10 segundos (media de unos 4 s; 100 de cada 100 simulacros tuvieron éxito con cero fallos). Las conexiones en curso se reinician al asumir el control; los clientes se vuelven a conectar y las nuevas conexiones tienen éxito de inmediato. El failover de salida sin interrupciones no es factible con un NAT basado en instancias en AWS, por lo que no lo afirmamos.
¿Cuánto ancho de banda soporta?
El ancho de banda está vinculado al tipo de instancia EC2 que elijas, no a un límite administrado fijo. Medimos alrededor de 4.78 Gbps a través del NAT en una c6in.large con iperf3; las instancias de mayor tamaño optimizadas para red escalan más. Dimensiona la instancia para el throughput que necesites.
¿Soporta subredes de solo IPv6?
Sí. El NAT64 integrado (RFC 6146) utiliza un traductor tayga incluido para convertir el tráfico de clientes de solo IPv6 a la internet IPv4. Se validó en una instancia EC2 real, alcanzando un host IPv4 externo con un 0% de pérdida de paquetes.
¿Es seguro y cómo se despliega?
S4 NAT se ejecuta completamente dentro de tu propia VPC, por lo que ningún tráfico sale de tu cuenta. La ENI de NAT tiene desactivada la comprobación de origen/destino y se le asigna un rol de IAM con privilegios mínimos y un grupo de seguridad de ámbito de VPC. Se despliega con las plantillas de CloudFormation incluidas: cfn-single.yaml para una sola instancia, o cfn-ha.yaml para un par HA activo/standby.
Por qué es más barato
Supone 50 TB / mes de egress desde subredes privadas a internet (us-east-1).
- NAT Gateway por hora ($0,045/h)
- $33 / mes
- Procesamiento de datos (50 TB × $0,045/GB)
- $2,304 / mes
- Total mensual
- $2,337 / mes
- Instancia S4 NAT (c5n.large + tarifa de software)
- $120 / mes
- Total mensual
- $120 / mes
Dimensionar la instancia S4 NAT según el volumen de egress
| Volumen de egress | Instancia recomendada | Coste de la instancia S4 NAT | Total mensual vs. NAT Gateway |
|---|---|---|---|
| ~10 TB / mes | c5n.large | $120 / mes | $120 / mes (NAT GW $494, −76 %) |
| ~50 TB / mes | c5n.large | $120 / mes | $120 / mes (NAT GW $2.337, −95 %) |
| ~500 TB / mes | c5n.2xlarge | $400 / mes | $400 / mes (NAT GW $23.073, −98 %) |
Ejemplo ilustrativo. AWS NAT Gateway usa el precio publicado de us-east-1 (0,045 $/h + 0,045 $/GB procesado). S4 NAT es una instancia EC2 NAT con software de Marketplace, sin tarifa de procesamiento de datos (los cargos de AWS data-transfer-out se aplican igual en ambos casos). Un Savings Plan de 1 año suele reducir la parte de EC2 un 30–40 %. Para alta disponibilidad, usa ASG / nodo en standby.
Modelo de precios
Tarifa de software por hora + EC2 (clase t4g / c6g, Arm o x86). Sin tarifa de procesamiento de datos por GB. Medición por tipo de instancia, opción anual disponible.
Otros productos S4
S4 — Squished S3
Gateway transparente de compresión S3 con GPU
S4 Logs
Archiva CloudWatch Logs en S3 con zstd
S4 Metrics
Gobierna la cardinalidad de métricas de CloudWatch