O custo de saída de uma sub-rede privada não é apenas “preço por GB”. Um NAT Gateway normalmente combina cobrança por hora provisionada e por volume processado; uma topologia centralizada ainda pode adicionar transferência entre zonas de disponibilidade. VPC endpoints mudam o caminho do tráfego, mas gateway endpoints e interface endpoints têm compatibilidade e preços diferentes.
Por isso, a pergunta útil não é “endpoint é mais barato?”. É: qual tráfego pode usar qual endpoint, em quantas zonas e com qual custo fixo e marginal? A calculadora de NAT Gateway e VPC endpoints mantém essas parcelas separadas e pede que você informe os preços vigentes.
Desenhe o caminho antes de calcular
Liste cada origem, destino e zona de disponibilidade. Depois classifique o tráfego:
- acesso geral à internet por IPv4 via NAT Gateway;
- acesso a Amazon S3 ou DynamoDB elegível a gateway endpoint;
- acesso a serviços compatíveis com AWS PrivateLink por interface endpoint;
- tráfego que cruza zonas antes ou depois do componente de saída;
- transferência ou processamento adicional cobrado pelo serviço de destino.
Um gateway endpoint oferece conectividade privada a S3 e DynamoDB, é associado a tabelas de rota e não tem cobrança adicional direta segundo a documentação oficial consultada. Ele não é um substituto universal do NAT. Interface endpoints criam interfaces de rede e atendem serviços compatíveis com PrivateLink; seu pricing inclui dimensão horária e processamento de dados.
O diagrama mostra caminhos possíveis, não uma arquitetura recomendada. Compatibilidade, DNS, políticas e alta disponibilidade precisam ser validados no projeto.
Fórmula do cenário NAT
Para uma topologia com um NAT por zona, o custo mensal mínimo modelado é:
NAT = quantidade de NATs × horas × preço/hora
+ dados processados × preço/GB
+ tráfego cross-AZ × preço cross-AZ/GB
Se há apenas um NAT central e workloads em outras zonas, registre explicitamente os GB que cruzam a zona. A orientação de custos da AWS recomenda avaliar a colocação do NAT na mesma zona dos recursos e, quando apropriado, um NAT por zona para reduzir tráfego inter-AZ e melhorar resiliência. Isso pode reduzir uma parcela variável, mas também multiplica a parcela horária. Não há resposta sem volume e requisito de disponibilidade.
Fórmula do cenário com endpoints
Para interface endpoints, uma aproximação auditável é:
interface = serviços × zonas × horas × preço por endpoint-hora
+ dados compatíveis × preço de processamento/GB
Gateway endpoints devem entrar apenas para os destinos compatíveis. Se a regra vigente indicar cobrança direta zero, registre zero no campo correspondente e mantenha o link oficial na memória do cálculo. Custos do S3, DynamoDB, transferência ou outros serviços continuam fora dessa parcela e não desaparecem por causa do endpoint.
Exemplo ilustrativo, sem tarifa AWS embutida
Considere uma aplicação em duas zonas que transfere 8 TB por mês, dos quais 5 TB vão para S3 e 3 TB para serviços com interface endpoint. O procedimento é:
- cotar dois NAT Gateways por todas as horas do mês e os 8 TB processados;
- cotar o desenho atual centralizado, incluindo os GB cross-AZ medidos;
- cotar um gateway endpoint para a parcela elegível de S3;
- cotar cada interface endpoint em cada zona e apenas os 3 TB compatíveis;
- comparar também disponibilidade, rotas, políticas e complexidade.
Os volumes são fictícios. Os preços precisam vir das páginas oficiais da região e data escolhidas. Se parte dos 8 TB não puder usar nenhum endpoint, ela ainda precisa de uma rota de saída e não pode ser silenciosamente removida da comparação.
Como encontrar o ponto de equilíbrio
Depois de separar fixo e variável, escreva cada alternativa como:
custo = parcela fixa + volume × custo marginal por GB
O ponto de cruzamento é:
(fixo dos endpoints − fixo do NAT) ÷ (marginal do NAT − marginal dos endpoints)
O resultado só faz sentido se o denominador for diferente de zero e o volume encontrado for não negativo. Ele também depende do percentual de tráfego realmente elegível aos endpoints. Um ponto de equilíbrio calculado com 100% de elegibilidade não vale quando metade dos destinos continua na internet.
Erros que distorcem a conta
- contar um gateway endpoint como solução para qualquer serviço;
- esquecer que interface endpoints se multiplicam por serviço e zona;
- omitir o custo horário do NAT quando o tráfego é baixo;
- omitir processamento por GB quando o tráfego é alto;
- medir dados totais, mas não identificar a parcela cross-AZ;
- comparar uma topologia redundante com outra de ponto único de falha;
- somar a mesma transferência duas vezes ou removê-la sem confirmar a regra vigente.
Procedimento de revisão
Use métricas de rede de um período representativo, separe tráfego por destino e faça cenários de 50%, 100% e 150% do volume observado. Salve o número de zonas, endpoints, horas e preços unitários. Revise também regras de rota, DNS privado, security groups e políticas de endpoint. Antes de mudar produção, teste conectividade e registre rollback.
O menor total modelado é um sinal para investigar, não autorização para alterar a rede. O endpoint precisa atender o serviço e o padrão de acesso; o NAT continua necessário para destinos que não têm caminho privado compatível.
Fontes e vigência
Compatibilidade e estrutura de cobrança foram verificadas em 8 de agosto de 2026 na documentação oficial da AWS. Nenhuma tarifa foi transcrita. A estimativa é educativa e deve ser reconciliada com o AWS Pricing Calculator, métricas reais e uma revisão de arquitetura e segurança.