Primeiro, você não pode mover uma instância entre sub-redes. Uma vez que uma ENI primária tenha sido atribuída a uma instância, ela não poderá ser desanexada, portanto permanecerá nessa sub-rede. O melhor que você pode fazer é lançar uma nova instância em uma nova sub-rede, interrompê-la e, em seguida, mover o volume principal do EBS da instância antiga para a nova. Mas, claro, isso lhe dará um novo endereço IP.
Em segundo lugar, você deve criar uma malha completa de conexões VPN entre todas as zonas de disponibilidade em todas as regiões onde você está criando VPCs. Assim, se você tiver dois AZs na região alfa e dois AZs na região bravo, você terá 4 túneis VPN. Por que vale a pena essas instâncias também podem atuar como as instâncias NAT de saída para sub-redes privadas na zona de disponibilidade. Há alguma documentação nesta configuração.Por fim, a maneira de evitar o ponto único de falha para as instâncias de VPN / NAT é usar o escalonamento automático e provisionamento com script das instâncias. Isto é assim, se a instância falhar, ela será imediatamente substituída por uma nova instância. O truque é que todas as instâncias de VPN / NAT precisarão de um ENI que será reutilizado toda vez que a instância falhar e for substituída. Esta apresentação da re: Invent 2013 tem uma visão geral do processo: video e slides .