Me explique como você projetaria uma VPC para uma carga de trabalho em produção.

Escolha um bloco CIDR grande o bastante para crescer e que não se sobreponha a nada com que você possa fazer peering depois, e então divida entre pelo menos três zonas de disponibilidade. Use subnets públicas apenas para load balancers e NAT, subnets privadas para computação, e subnets isoladas sem rota de saída para bancos de dados. Controle o tráfego com security groups referenciando uns aos outros em vez de faixas de IP, e ligue os flow logs desde o primeiro dia.

Eu começo pelo endereçamento, porque essa é a decisão que você não desfaz barato. Eu escolho um bloco com bastante folga e confiro contra toda outra rede com a qual a gente possa um dia fazer peering ou conectar de volta ao escritório, já que faixas sobrepostas são o que transforma uma conexão simples em um projeto de renumeração de meses. Depois três zonas de disponibilidade, e uma subnet por camada por zona. As subnets públicas guardam só o load balancer e os NAT gateways. As subnets privadas guardam a aplicação, que sai para a internet via NAT. Bancos de dados ficam em subnets isoladas, sem rota de saída nenhuma. Para controle, eu me apoio em security groups referenciando outros security groups em vez de faixas CIDR, então a regra se lê como a camada de aplicação pode alcançar o banco na porta do banco, e ela continua correta quando as instâncias mudam. Network ACLs eu mantenho grosseiras, principalmente como bloqueio bruto. Flow logs entram imediatamente, porque no dia em que você precisar provar quem falou com quem, você não consegue ligá-los retroativamente. Eu também adiciono gateway endpoints para armazenamento de objetos, o que tira esse tráfego do NAT.