Как устроен AWS VPC и что такое public/private subnet?

VPC — изолированная виртуальная сеть с выбранным CIDR блоком. Public subnet имеет route к Internet Gateway — ресурсы могут иметь public IP. Private subnet выходит в интернет через NAT Gateway (платно). Типичная архитектура: ALB в public subnet, EKS nodes в private, RDS в isolated (без интернета вообще). Security Groups — stateful firewall для ресурсов. NACLs — stateless для subnet.