Переадресация портов частной сети Aws

У меня есть 2 подсети, одна частная и одна публичная. Мне нужно обновить сертификат с помощью letsencrypt в частной подсети. Я могу сделать это, создав общедоступный экземпляр и маршрутизируя (dns, iptables). Как это сделать, используя сервисы AWS в частной зоне, не создавая общедоступный экземпляр? то есть «Nat Gateway».

я бы использовал Тип вызова DNS-01, таким образом, вам не нужно подключение к вашему частному экземпляру.

Если вы хотите разрешить своему частному экземпляру доступ к Интернету для использования типа запроса HTTP-01, вы развертываете NAT-шлюз или же Экземпляр NAT к вашей общедоступной подсети и иметь маршрут частной подсети 0.0.0.0/0 к этому ресурсу. Экземпляр NAT намного дешевле, но его нужно обновлять/управлять. Вы можете создать любой ресурс только во время обновления сертификата, но было бы намного проще настроить автоматическое продление, что означает, что ресурсы NAT работают все это время.

Certbot поддерживает автоматизировать продление.