Uma empresa com várias contas e VPCs conectadas por meio de um Transit Gateway precisa de inspeção profunda de pacotes (DPI) para qualquer tráfego que saia do limite de uma VPC. Todo o tráfego inspecionado e as ações de DPI devem ser registrados centralmente em uma conta de log. Qual projeto atende a essas necessidades minimizando a sobrecarga administrativa?

A opção correta descreve a arquitetura de inspeção centralizada com um Gateway Load Balancer (GWLB). O GWLB é ideal para inspeção de tráfego, pois atua como um único ponto de entrada/saída para appliances de segurança de terceiros, como firewalls de próxima geração, que podem realizar DPI. A VPC centralizada e o Transit Gateway garantem que todo o tráfego entre VPCs e para a internet passe por essa inspeção. O envio de logs para um bucket S3 centralizado é uma prática recomendada para auditoria e conformidade. As outras opções são menos adequadas: Usar um Application Load Balancer (ALB) não é apropriado para inspeção de tráfego de rede, pois ele opera na camada 7 e não encaminha pacotes brutos para inspeção de firewall. ACLs de rede e grupos de segurança não fornecem DPI e não são gerenciáveis em escala para inspeção de tráfego entre VPCs. O VPC Flow Logs apenas registra metadados de tráfego, não o conteúdo para DPI. Um Network Load Balancer (NLB) pode encaminhar tráfego, mas o VPC Traffic Mirroring de cada ENI para um NLB central é complexo de gerenciar em escala e não é a solução mais eficiente para inspeção de todo o tráfego que sai de uma VPC.