AWS VPC मध्ये Public आणि Private Subnets कसे बनवायचे

By Ravindra Bagale, trainer · LinkedIn · Last updated: 18 October 2026

1. VPC ला subnets का लागतात

का: तीन tiers ना VPC मध्ये वेगवेगळ्या जागा लागतात: web servers internet वरून पोहोचता यायला हवेत, app आणि database servers नाही. Subnet म्हणजे VPC च्या range चा एक block, आणि प्रत्येक subnet ला स्वतःचे rules मिळतात.

या chapter चा plan: VPC 10.0.0.0/16 (65,536 IPs, 10.0.0.0 ते 10.0.255.255), प्रत्येकी 4,096 IPs चे /20 subnets करायचे. /16 आणि /20 कसे मोजायचे ते Worked example: 10.0.0.0/20 and its last IP मध्ये आहे.

2. Subnet 1: 10.0.0.0/20

1. /20 म्हणजे subnet च्या प्रत्येक IP मध्ये पहिले 20 bits fix: दोन पूर्ण octets आणि 3rd octet चे पहिले 4 bits.
2. 3rd octet 0 = 0000 0000. त्याचे 4 free bits 1 करा: 0000 1111 = 15.
3. Subnet 1 = 10.0.0.0 ते 10.0.15.255, 4,096 IPs.

3. Subnet 2: शेवटचा IP + 1 पासून सुरू

Rule: पुढचा subnet आधीच्या subnet च्या शेवटच्या IP नंतर लगेच सुरू होतो.

1. Subnet 1 चा शेवटचा IP: 10.0.15.255. 1 मिळवा: 4th octet परत 0 होतो आणि 3rd 1 ने वाढतो, म्हणजे 10.0.16.0.
2. Subnet 2 = 10.0.16.0/20. आता त्याचा शेवटचा IP शोधा.
3. 1 पासून आठ वेळा double करत binary places लिहा: 1, 2, 4, 8, 16, 32, 64, 128. डावीकडून: 128 64 32 16 8 4 2 1.
4. ज्यांची बेरीज 16 होते ते places निवडा: फक्त 16. म्हणून 16 = 0001 0000.
5. पहिले 4 bits 0001 ठेवा, शेवटचे 4 bits 1 करा: 0001 1111 = 16 + 8 + 4 + 2 + 1 = 31.
6. Subnet 2 = 10.0.16.0 ते 10.0.31.255.

4. Subnet 3 आणि shortcut

1. Subnet 2 चा शेवटचा IP + 1: 10.0.31.255 + 1 = 10.0.32.0.
2. 32 = 0010 0000. 0010 ठेवा, बाकी 1 करा: 0010 1111 = 32 + 8 + 4 + 2 + 1 = 47.
3. Subnet 3 = 10.0.32.0 ते 10.0.47.255.

Shortcut: /20 मध्ये 3rd octet चे 4 free bits असतात, म्हणून प्रत्येक block त्याच्या 16 values घेतो. Blocks 0, 16, 32, 48, 64 असे सुरू होतात, आणि प्रत्येक 15 नंतर संपतो.

5. Overlap होणारे subnets नाकारले जातात

काय: एका VPC चे दोन subnets कुठलाच IP share करू शकत नाहीत. 10.0.0.0/20 असताना 10.0.14.0/24 बनवायचा प्रयत्न केला, तर AWS तो नाकारतो, आणि message सांगतो की CIDR conflicts with another subnet: 10.0.14.0 ते 10.0.14.255 हे 10.0.0.0 ते 10.0.15.255 च्या आत येतात.

कसं टाळायचं:

1. Subnets क्रमाने करा, प्रत्येक आधीच्या subnet च्या शेवटच्या IP + 1 पासून.
2. मध्ये gaps सोडू नका. Blocks मधली विचित्र size ची मोकळी जागा नंतर वापरणं अवघड, आणि ते IPs वाया जातात.
3. तुम्ही design करता त्या प्रत्येक VPC साठी वरच्यासारखं छोटं table ठेवा.

6. एक subnet एकाच Availability Zone मध्ये राहतो

काय:

1. VPC पूर्ण Region वर असतो, पण प्रत्येक subnet बरोबर एकाच AZ मध्ये असतो. Subnet बनवताना AZ तुम्ही निवडता.
2. नेहमीचा layout: ap-south-1a मध्ये 10.0.0.0/20, ap-south-1b मध्ये 10.0.16.0/20, ap-south-1c मध्ये 10.0.32.0/20.
3. Server subnet मध्ये launch होतो, म्हणून त्याचा AZ subnet ठरवतो. Servers वेगवेगळ्या AZs मध्ये पसरवायला प्रत्येक AZ मध्ये subnets बनवा.
4. प्रत्येक tier चे स्वतःचे subnets असू शकतात: web subnets, app subnets आणि database subnets.

7. Default VPC आणि त्याचे subnets

AWS ने तुमच्यासाठी काय बनवलंय: तुमच्या account च्या प्रत्येक Region मध्ये default VPC 172.31.0.0/16 असतो, आणि प्रत्येक AZ मध्ये एक default /20 subnet: 172.31.0.0/20, 172.31.16.0/20, 172.31.32.0/20, वगैरे.

1. Instance launch करताना subnet निवडला नाही, तर AWS तो एखाद्या default subnet मध्ये ठेवतो.
2. तो कुठे जाईल ते control करायला launch wizard मध्ये Network settings > Edit उघडा आणि VPC व Subnet निवडा.

तो का असतो: network design न करता पहिल्याच मिनिटाला server launch करता यावा म्हणून. तुमच्या account मध्ये चालू असलेल्या प्रत्येक Region मध्ये AWS हेच network बनवतो.

Default VPC मध्ये काय असतं:

1. प्रत्येक Region मध्ये CIDR 172.31.0.0/16.
2. प्रत्येक Availability Zone मध्ये एक default subnet, प्रत्येकी /20. us-east-1 सारख्या 6 AZ असलेल्या Region मध्ये 6 default subnets.
3. एक internet gateway, आधीच attach केलेला.
4. Main route table ज्यात 0.0.0.0/0 त्या internet gateway कडे, म्हणून सगळे default subnets public.
5. सगळं allow करणारा main network ACL, आणि प्रत्येक server ला private IP देणारा DHCP option set.
6. March 2019 नंतर सुरू झालेले Regions (उदा. Cape Town किंवा Hyderabad) opt-in असतात: तुम्ही account साठी enable करेपर्यंत ते बंद आणि रिकामे राहतात.

Worked example: us-east-1 मधले default /20 subnets

1. एका /20 मध्ये 2^(32−20) = 2^12 = 4,096 IPs, म्हणजे 3rd octet च्या 16 values.
2. Subnet 1: 172.31.0.0/20 (172.31.0.0 ते 172.31.15.255).
3. Subnet 2: 172.31.16.0/20.
4. Subnet 3: 172.31.32.0/20.
5. Subnet 4: 172.31.48.0/20.
6. Subnet 5: 172.31.64.0/20.
7. Subnet 6: 172.31.80.0/20 (172.31.95.255 ला संपतो).
8. तुमच्या स्वतःच्या subnet साठी पुढचा free block: 172.31.96.0/20, मग 172.31.112.0/20.
9. प्रत्येकात usable IPs: 4,096 − 5 = 4,091.

Tenancy: त्याच hardware वर अजून कोण आहे

एक Availability Zone म्हणजे एक किंवा जास्त data centers. Data center मध्ये racks असतात, आणि rack मध्ये physical servers (hosts). तुमचा EC2 instance एका host वर चालतो.

1. Default (shared) tenancy: तुमचा instance अशा host वर चालू शकतो ज्यावर इतर customers चे instances पण आहेत. प्रत्येक instance वेगळा (isolated) असतो, आणि हा सगळ्यात स्वस्त option आहे. बहुतेक workloads हाच वापरतात.
2. Dedicated instance: तुमचे instances फक्त तुमच्या account साठी वापरल्या जाणाऱ्या hardware वर चालतात. एखादा rule (compliance) sharing नको म्हणतो तेव्हा वापरा.
3. Dedicated Host: एक पूर्ण physical server तुम्हाला दिला जातो, आणि तुम्ही तो पाहू आणि control करू शकता. Physical server नुसार मोजल्या जाणाऱ्या software licences साठी वापरा.
4. Dedicated options महाग असतात, म्हणून rule नसेल तर Default निवडा.

8. Server चा private IP कुठून येतो

1. Private IP नेहमी server च्या subnet च्या range मधून येतो. 10.0.16.0/20 मधल्या server ला 10.0.16.4 ते 10.0.31.254 मधला IP मिळतो.
2. तो तुम्ही type करत नाही. VPC ची DHCP service instance ला subnet मधला एक मोकळा address देते, आणि instance तो वापरतो. Launch करताना range मधला एखादा मोकळा IP तुम्ही स्वतः पण निवडू शकता.
3. घरी addresses कोण देतो ते Who hands out IP addresses मध्ये आहे.

9. Private आणि public IPs

Private IP ranges (RFC 1918): या तीन ranges private networks साठी राखीव आहेत आणि internet वर कधीच वापरल्या जात नाहीत. VPCs साठी याच वापरा.

Public IPs internet providers आणि clouds च्या मालकीचे असतात. AWS मध्ये server ला तो EC2 च्या public IP pool मधून (auto-assigned) किंवा Elastic IP म्हणून मिळतो (What an Elastic IP is). AWS प्रत्येक public IPv4 address चे तासाप्रमाणे पैसे घेतो, म्हणून फक्त internet वरून पोहोचायला हवं अशाच servers ना तो मिळतो.

10. AWS प्रत्येक subnet मध्ये ठेवत असलेले 5 IPs

उदाहरण: subnet 10.0.32.0/20 (10.0.32.0 ते 10.0.47.255):

1. 10.0.32.0: network address.
2. 10.0.32.1: VPC router.
3. 10.0.32.2: Amazon DNS server.
4. 10.0.32.3: AWS ने पुढच्या वापरासाठी ठेवलेला.
5. 10.0.47.255: शेवटचा IP. VPC broadcast support करत नाही, म्हणून AWS तो ठेवतो.

म्हणून पहिल्या server ला 10.0.32.4 मिळू शकतो, आणि शेवटचा वापरता येणारा IP 10.0.47.254.

11. वापरता येणारे IPs आणि किती subnets बसतात

वापरता येणारे IPs = एकूण − 5:

AWS VPC साठी आणि subnet साठी /16 सगळ्यात मोठा आणि /28 सगळ्यात लहान block allow करतो. VPC ला जास्त हवं असेल तर नंतर जास्तीचे CIDR blocks जोडता येतात.

/16 VPC मध्ये किती subnets बसतात: sizes ने भागा, किंवा 2 चा घात (subnet prefix − 16) वापरा.

1. /20: 65,536 ÷ 4,096 = 16 (2 चा घात 4).
2. /22: 65,536 ÷ 1,024 = 64 (2 चा घात 6).
3. /24: 65,536 ÷ 256 = 256 (2 चा घात 8).

Mumbai साठी architect चं design:

1. ap-south-1 मध्ये VPC 172.31.0.0/16.
2. ap-south-1a मध्ये 172.31.0.0/20, ap-south-1b मध्ये 172.31.16.0/20, ap-south-1c मध्ये 172.31.32.0/20.
3. प्रत्येकात 4,091 वापरता येणारे IPs, आणि पुढे वापरायला अजून 13 /20 blocks मोकळे.

12. Internet gateway: public आणि private subnets

का: नवीन VPC ला internet कडे जायचा कुठलाच रस्ता नसतो. 3-tier app मध्ये फक्त web tier ला public IPs मिळतात; app आणि database tiers private राहतात.

काय:

1. Internet gateway (IGW) VPC ला internet शी जोडतो. एका VPC ला एकच internet gateway attach करता येतो.
2. ज्या subnet चा route table 0.0.0.0/0 internet gateway कडे पाठवतो, तो subnet public. नाहीतर तो private.
3. म्हणजे "public" आणि "private" या subnet च्या स्वतःच्या settings नाहीत: route table ठरवतो.

13. Route tables: Destination आणि Target

काय: route table म्हणजे routes ची list. प्रत्येक route ला दोन columns:

1. Destination: traffic ज्या IP range कडे जातंय ती, CIDR म्हणून.
2. Target: ते traffic कुठे पाठवायचं.

Public route table:

Private route table:

1. local route प्रत्येक route table मध्ये असतो आणि काढता येत नाही: VPC चे सगळे subnets एकमेकांशी बोलू शकतात.
2. अनेक routes match झाले, तर सगळ्यात specific जिंकतो: 10.0.16.7 कडचं traffic public table च्या दोन्ही rows ला match होतं, आणि 10.0.0.0/16 (/16 हा /0 पेक्षा जास्त specific) ते local पाठवतो.
3. Internet कडचं traffic फक्त 0.0.0.0/0 ला match होतं. Private table मध्ये काहीच match होत नाही, म्हणून ते जात नाही.

14. Main route table

काय: प्रत्येक VPC ला एक main route table असतो. जो subnet तुम्ही दुसऱ्या route table ला explicitly associate केला नाही, तो आपोआप main वापरतो.

1. Default VPC: त्याच्या main route table मध्ये 0.0.0.0/0 internet gateway कडे, म्हणून प्रत्येक default subnet public.
2. नवीन custom VPC: त्याच्या main route table मध्ये फक्त local route, म्हणून प्रत्येक नवीन subnet private पासून सुरू होतो.
3. चांगली पद्धत: main route table private ठेवा. वेगळा public route table बनवा आणि त्याला फक्त web subnets associate करा. मग कोणी associate करायला विसरलं, तर तो subnet public नाही, private राहतो.

15. Console मध्ये बनवा

Part A: subnets (मागच्या chapter मधल्या VPC 10.0.0.0/16 मध्ये)

1. VPC > Subnets > Create subnet. my-vpc चा VPC ID निवडा.
2. Subnet name web-a, Availability Zone ap-south-1a, IPv4 subnet CIDR block 10.0.0.0/20.
3. Add new subnet: app-b, ap-south-1b, 10.0.16.0/20.
4. Add new subnet: db-c, ap-south-1c, 10.0.32.0/20.
5. Create subnet. प्रत्येक Available IPv4 addresses 4091 दाखवतो.

Part B: internet gateway

1. Internet gateways > Create internet gateway, नाव my-igw, Create.
2. Actions > Attach to VPC, my-vpc निवडा, Attach internet gateway.

Part C: public route table

1. Route tables > Create route table, नाव public-rt, VPC my-vpc, Create.
2. Routes > Edit routes > Add route: Destination 0.0.0.0/0, Target Internet Gateway my-igw. Save changes.
3. Subnet associations > Edit subnet associations: फक्त web-a ला tick. Save associations.
4. web-a select करा, Actions > Edit subnet settings, Enable auto-assign public IPv4 address ला tick, Save, म्हणजे तिथे launch होणाऱ्या servers ना public IP मिळेल.

app-b आणि db-c main route table वरच राहतात: private.

Part D: default VPC मधला lab: फक्त public IP पुरेसा नाही

का: खूप जणांना वाटतं की public IP असलेला server internet वरून reach होतो. हा lab दाखवतो की route table ठरवतो.

1. Default VPC मध्ये VPC > Subnets > Create subnet: DefaultVpcPublicSubnet, us-east-1a, 172.31.96.0/20.
2. Add new subnet: DefaultVpcPvtSubnet, us-east-1b, 172.31.112.0/20. Create subnet.
3. दोन्ही नवीन subnets आपोआप main route table ला attach होतात, आणि default VPC मध्ये तो table public असतो.
4. Route tables > Create route table: default VPC मध्ये CustomPvtRouteTable. त्यात फक्त local route असतो.
5. Subnet associations: DefaultVpcPvtSubnet ला CustomPvtRouteTable शी associate करा. DefaultVpcPublicSubnet main route table वरच राहतो.
6. DefaultVpcPublicSubnet मध्ये t2.micro Amazon Linux 2023 instance public ec2 launch करा, Auto-assign public IP enable करून, आणि SSH (22) व HTTP (80) allow करणाऱ्या security group सोबत.
7. Connect करा: ssh -i key.pem ec2-user@<public-ip>.
8. Nginx install आणि start करा:

sudo yum install nginx -y sudo service nginx start

1. /usr/share/nginx/html/ मध्ये एक page ठेवा आणि browser मध्ये http://<public-ip>/ उघडा: तो load होतो.
2. DefaultVpcPvtSubnet मध्ये दुसरा instance pvt ec2 launch करा, आणि मुद्दाम इथेही Auto-assign public IP enable करा, त्याच security group सोबत.
3. ssh -i key.pem ec2-user@<its-public-ip> करून बघा: timeout होतो. Server ला public IP आहे, पण त्याच्या subnet च्या route table मध्ये internet gateway कडे route नाही, म्हणून replies VPC बाहेर जातच नाहीत.
4. CustomPvtRouteTable मध्ये route add करा: Destination 0.0.0.0/0, Target default VPC चा internet gateway. आता SSH चालतो, आणि Nginx install केल्यावर page load होतो.
5. तो route परत काढा: page load होणं बंद होतं.

Result: public IP मुळे server ला internet वर address मिळतो. 0.0.0.0/0 → igw route मुळे त्याला बाहेर जायचा रस्ता मिळतो. दोन्ही लागतात.

16. काही चुकलं तर

1. "conflicts with another subnet": नवीन CIDR आधीच्या subnet शी overlap होतोय. तुमच्या table मधून पुढचा मोकळा block घ्या.
2. CIDR VPC च्या बाहेरचा म्हणून नाकारला: subnet VPC च्या range च्या आत हवा, उदाहरणार्थ 10.0.0.0/16 मध्ये 10.0.x.x.
3. "Public" subnet मधल्या server पर्यंत पोहोचता येत नाही: त्याला public IP आहे का, subnet च्या route table मध्ये 0.0.0.0/0 IGW कडे आहे का, IGW attach आहे का, आणि security group port allow करतो का ते check करा.
4. Private ठेवायचा होता तो subnet public झाला: तो public route table ला associate आहे, किंवा main route table मध्ये IGW route आहे. Association दुरुस्त करा.
5. Subnet मध्ये अजून servers बनत नाहीत: त्यातले वापरता येणारे IPs संपले; AWS ठेवत असलेले 5 लक्षात ठेवा.

17. संपूर्ण class एका page वर

1. Subnet म्हणजे VPC च्या range चा block; 10.0.0.0/16 चे /20 subnets 3rd octet मध्ये 0, 16, 32 ... पासून सुरू होतात.
2. पुढचा subnet = शेवटचा IP + 1. Binary: 16 = 0001 0000 → 0001 1111 = 31; 32 = 0010 0000 → 0010 1111 = 47.
3. Overlap होणारे subnets नाकारले जातात ("conflicts with another subnet"); क्रमाने करा, gaps नको.
4. प्रत्येक subnet बरोबर एका AZ मध्ये; default VPC 172.31.0.0/16 मध्ये प्रत्येक AZ ला एक default /20.
5. Server चा private IP त्याच्या subnet मधून, DHCP देतो. Private ranges: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16. Public IPv4 addresses चे पैसे लागतात.
6. AWS प्रत्येक subnet चे 5 IPs ठेवतो: network, VPC router, DNS, future use, शेवटचा. वापरता येणारे = एकूण − 5: /20 4,091, /24 251, /28 11.
7. /16 मध्ये 16 × /20, 64 × /22, 256 × /24.
8. एका VPC ला एक internet gateway. Public subnet = 0.0.0.0/0 → IGW असलेला route table; private = असा route नाही.
9. Route table columns: Destination (CIDR), Target (local, igw-...).
10. Explicit association नसलेले subnets main route table वापरतात; custom VPC मध्ये तो private ठेवा.

18. घरी करून बघा

Recap

झटपट उजळणी cards

हा chapter दोन मिनिटांत revise करा. Cards phone वर save करा किंवा PNG download करा. प्रत्येक card वरचा QR त्याचा lesson उघडतो.

अजून cards: Ravi Sir's Cards: AWS VPC and Subnets.