NAT gateway ocioso e tráfego que um VPC endpoint economizaria
O NAT gateway cobra por hora mesmo sem tráfego, e cobra de novo por GB processado — inclusive pelo tráfego que nunca precisaria passar por ele.
O que é esse problema
O NAT gateway é um dos poucos recursos da AWS que cobra duas vezes: uma tarifa fixa por hora enquanto ele existir, e outra por gigabyte processado. A primeira corre mesmo que nada trafegue; a segunda cresce em silêncio, porque ninguém olha o volume de dados de uma sub-rede privada até a fatura chegar.
Os dois desperdícios são diferentes. Um é o gateway que sobrou: uma sub-rede foi desativada, o ambiente de testes foi desligado, e o NAT continuou de pé sem nenhuma tabela de rotas apontando para ele — pagando a hora e não servindo ninguém. O outro é mais sutil e costuma ser maior: tráfego para S3 e DynamoDB saindo pelo NAT quando um gateway VPC endpoint atenderia o mesmo tráfego sem cobrar por GB.
O segundo caso é comum porque o padrão funciona. Uma aplicação numa sub-rede privada que lê de um bucket S3 alcança o bucket pelo NAT sem ninguém configurar nada, e nada quebra — só fica caro. Um gateway VPC endpoint para S3 ou DynamoDB não tem custo por hora nem por GB, e o tráfego que passa por ele some da conta do NAT.
Como detectamos
Listamos os NAT gateways da conta com DescribeNatGateways e as tabelas de rotas com DescribeRouteTables, o que revela quais gateways não são destino de nenhuma rota. Para o tráfego, lemos as métricas de bytes processados que o próprio NAT publica no CloudWatch, por gateway e por região.
- Tráfego de NAT gateway que um VPC endpoint economizaria
- NAT gateways órfãos
Quanto custa
Um NAT gateway custa cerca de US$0,045 por hora — algo em torno de US$33 por mês só por existir — mais cerca de US$0,045 por GB processado (us-east-1). Um gateway VPC endpoint para S3 ou DynamoDB não cobra por hora nem por GB.
Preços de tabela pública da AWS, região us-east-1, sujeitos a alteração. O valor que o relatório mostra é calculado sobre os seus recursos e a sua região.
Como aparece no relatório
Exemplo ilustrativo, com recursos e valores fictícios. No relatório, cada achado vem com o recurso real, a região e o comando de correção quando existe um seguro.
Sua conta tem isso?
O scan é somente leitura e mostra o que encontrou antes de você pagar por qualquer coisa.
Rodar scan grátis