Uma empresa está desenvolvendo um serviço que exige criptografia de ponta a ponta em trânsito, para que o tráfego não seja descriptografado entre o cliente e o backend do serviço. O serviço usa gRPC sobre a porta TCP 443 e deve suportar milhares de conexões simultâneas. O backend é executado em um cluster Amazon EKS com o Kubernetes Cluster Autoscaler e o Horizontal Pod Autoscaler habilitados. Mutual TLS é necessário para autenticação bidirecional entre clientes e o backend. Qual solução satisfaz esses requisitos?

A opção correta é usar um Network Load Balancer (NLB) com um listener TCP na porta 443, provisionado pelo AWS Load Balancer Controller. O NLB opera na camada 4 (transporte) e pode lidar com milhares de conexões simultâneas, mantendo a criptografia de ponta a ponta (end-to-end encryption) porque não realiza a terminação TLS. Isso é crucial para o requisito de mTLS e para o tráfego gRPC, que geralmente espera uma conexão direta. O encaminhamento para os IPs dos Pods permite que o Kubernetes Cluster Autoscaler e o Horizontal Pod Autoscaler funcionem eficientemente. Um Application Load Balancer (ALB) terminaria o TLS, o que violaria o requisito de criptografia de ponta a ponta e mTLS. Registrar o Auto Scaling group do EKS managed node group como destino não é ideal, pois o NLB ou ALB precisaria encaminhar para os IPs dos Pods para integração nativa com o Kubernetes.