Um arquiteto de soluções está projetando uma VPC com sub-redes públicas e privadas. A VPC e as sub-redes usam blocos CIDR IPv4. Há uma sub-rede pública e uma sub-rede privada em cada uma das três Zonas de Disponibilidade (AZs) para alta disponibilidade. Um internet gateway fornece acesso à internet para as sub-redes públicas. As sub-redes privadas exigem acesso à internet para que as instâncias Amazon EC2 possam baixar atualizações de software. O que o arquiteto de soluções deve fazer para habilitar o acesso à internet para as sub-redes privadas?

A opção correta é criar três NAT gateways, um em cada sub-rede pública de cada AZ, e configurar as tabelas de rotas das sub-redes privadas para direcionar o tráfego de saída para o NAT gateway na mesma AZ. Isso garante alta disponibilidade e resiliência, pois se uma AZ falhar, as instâncias nas outras AZs ainda terão acesso à internet. As instâncias NAT são uma alternativa, mas são menos gerenciadas, exigem mais configuração e manutenção, e não escalam automaticamente como os NAT gateways. Criar um segundo internet gateway em uma sub-rede privada não é possível, pois internet gateways são anexados à VPC e não a sub-redes específicas, e não fornecem acesso direto para sub-redes privadas. Um egress-only internet gateway é usado apenas para tráfego IPv6 de saída e não se aplica a este cenário de IPv4.