VPC를 만들고 인스턴스를 Private 서브넷에 두면 즉시 새 질문이 생긴다. "그럼 이 인스턴스는 어떻게 외부와 통신하지?" 답이 한 가지가 아니라 세 가지인 게 첫 번째 함정이다. 어디로 가는 트래픽이냐에 따라 NAT Gateway, VPC Endpoint, PrivateLink를 골라야 하고, 잘못 고르면 비용이 10배, 보안이 한 단계 약해진다.
운영자가 가장 자주 받는 청구서 충격이 NAT Gateway 데이터 처리 비용이다. $0.045/GB가 별것 아닌 듯하지만, S3로 일 1TB를 보내는 ETL 환경에선 월 $1,350이 NAT GW로만 빠져나간다. 같은 트래픽을 Gateway Endpoint로 우회하면 그게 0원이 된다. 이 한 가지 사실만 알아도 SOA 시험 시나리오의 30%가 풀린다. 이 글은 세 가지 방식이 왜 각자 존재하는지, 어떤 트래픽이 어디로 가는지, 그리고 비용·보안·운영의 trade-off를 따라간다.
Private 서브넷 EC2가 외부로 나가는 트래픽은 목적지에 따라 셋으로 나뉜다.