Um engenheiro de rede deve implantar o AWS Network Firewall em um ambiente existente que inclui: um transit gateway com todas as VPCs anexadas; centenas de VPCs de aplicação; uma VPC de internet de saída centralizada com um NAT gateway e um internet gateway; uma VPC de internet de entrada centralizada hospedando ALBs públicos; e conectividade on-premises via um Direct Connect gateway. As VPCs de aplicação têm workloads em sub-redes privadas e suas tabelas de rotas enviam 0.0.0.0/0 para o transit gateway. O firewall deve inspecionar o tráfego leste-oeste (VPC-para-VPC) e norte-sul (internet e on-premises) com regras compatíveis com Suricata. A solução deve exigir o mínimo de mudanças arquitetônicas. Qual combinação de passos o engenheiro deve tomar? (Escolha três.)

A implantação do Network Firewall em uma VPC de inspeção centralizada por AZ é a abordagem recomendada para inspeção leste-oeste e norte-sul, minimizando mudanças arquitetônicas e consolidando a segurança. A variável HOMENET deve incluir todos os CIDRs internos (VPCs e on-premises) para que as regras Suricata identifiquem corretamente o tráfego interno versus externo. A configuração de duas tabelas de rotas do TGW permite rotear o tráfego das VPCs de aplicação para a VPC de inspeção e vice-versa, essencial para a inspeção centralizada. A implantação do Network Firewall em cada VPC de aplicação é inviável e não escalável. Atualizar EXTERNALNET com CIDRs internos é incorreto, pois EXTERNALNET deve representar redes fora do controle da organização. Uma única tabela de rotas do TGW não permitiria o roteamento seletivo necessário para a inspeção centralizada.