説明
サブネットを作成すると、デフォルトではパブリックとみなされます。つまり、そのサブネット内のインスタンスはパブリック IP アドレスを持つことが許可されます。インスタンスを起動する人は、インスタンスにパブリック IP アドレスを割り当てるかどうかを選択します。
サブネットの作成時にその動作をオーバーライドして、サブネットをプライベートにするようにリクエストできます。これは、サブネット内で起動されたインスタンスがパブリック IP アドレスを持つことを禁止することを意味します。したがって、ネットワーク管理者は、VCNにインターネット・ゲートウェイが動作しており、セキュリティ・ルールとファイアウォール・ルールによってトラフィックが許可されている場合でも、サブネット内のインスタンスがインターネットにアクセスできないようにすることができます。
必要なインターネット・アクセスのタイプに応じて、VCNに追加できるオプションのゲートウェイ(仮想ルーター)が2つあります:
インターネット ゲートウェイ: インターネットからアクセスする必要があるパブリック IP アドレスを持つリソース用 (例:
Web サーバー）を使用するか、インターネットへの接続を開始する必要があります。
NAT ゲートウェイ: パブリック IP アドレスを持たず、インターネットへの接続を開始する必要がある (例: ソフトウェア更新用) が、インターネットからの受信接続から保護する必要があるリソース用。
インターネット・ゲートウェイだけを持っているだけでは、VCNのサブネット内のインスタンスがインターネットに直接公開されるわけではありません。次の要件も満たす必要があります。
インターネット ゲートウェイを有効にする必要があります (デフォルトでは、インターネット ゲートウェイは作成時に有効になります)。
サブネットはパブリックである必要があります。
サブネットには、トラフィックをインターネット ゲートウェイに送信するルート ルールが必要です。
サブネットには、トラフィックを許可するセキュリティ リスト ルールが必要です (また、各インスタンスのファイアウォールがトラフィックを許可する必要があります)。
インスタンスにはパブリック IP アドレスが必要です。

説明
サービス・ゲートウェイを使用すると、データをインターネット・ゲートウェイやNATに公開することなく、VCN内のリソースが特定のOracleサービスにプライベートにアクセスできるようになります。VCN内のリソースはプライベート・サブネット内に存在し、プライベートIPアドレスのみを使用できます。VCNから対象のサービスへのトラフィックはOracleネットワーク・ファブリック上を移動し、インターネットを通過することはありません。
VCNに特定のサービスCIDRラベルへのアクセスを許可するには、VCNのサービス・ゲートウェイに対してそのサービスCIDRラベルを有効にする必要があります。これは、サービス ゲートウェイの作成時、またはサービス ゲートウェイの作成後に行うことができます。サービス ゲートウェイのサービス CIDR ラベルをいつでも無効にすることもできます。
トラフィックがVCN内のサブネットからサービス・ゲートウェイにルーティングされるようにするには、サブネットのルート表に応じてルールを追加する必要があります。ルールはサービス ゲートウェイをターゲットとして使用する必要があります。
参照:https://blogs.oracle.com/cloud-infrastructor/connect-private-instances-with-oracle-servicesthrough-an