Uma empresa opera um aplicativo EC2 centralizado em uma VPC compartilhada. Aplicativos cliente em até 10 VPCs de unidades de negócios devem acessar o aplicativo centralizado, que é precedido por um Network Load Balancer (NLB). Alguns blocos CIDR de VPCs de unidades de negócios se sobrepõem à VPC compartilhada e alguns se sobrepõem entre si. Somente as VPCs de unidades de negócios autorizadas devem ter permissão para acessar o aplicativo centralizado. Qual design de rede fornece a conectividade necessária das VPCs de unidades de negócios para o aplicativo centralizado?

A opção correta é criar um VPC endpoint service com o NLB e habilitar require-acceptance, seguido pela criação de um interface VPC endpoint em cada VPC de unidade de negócios. Esta solução permite o acesso privado e seguro ao aplicativo centralizado sem atravessar a internet, utilizando a rede AWS. A opção require-acceptance garante que apenas VPCs autorizadas possam se conectar. Além disso, os VPC endpoints resolvem o problema de sobreposição de CIDRs, pois o tráfego não utiliza rotas IP diretas entre as VPCs, mas sim o serviço de endpoint. A criação de um AWS Transit Gateway não é a melhor opção neste cenário porque, embora resolva a conectividade entre VPCs com CIDRs sobrepostos, o tráfego ainda precisaria ser roteado através do Transit Gateway, o que pode adicionar complexidade e não é tão otimizado para acesso a um serviço específico quanto um VPC endpoint. As conexões de emparelhamento de VPC (VPC peering) não funcionam com blocos CIDR sobrepostos, o que é uma restrição explícita no problema. As conexões VPN Site-to-Site são projetadas para conectar redes on-premises à AWS ou entre VPCs, mas são mais complexas e menos eficientes para comunicação intra-AWS entre VPCs do que os VPC endpoints ou Transit Gateway, além de não resolverem o problema de sobreposição de CIDRs de forma nativa para o tráfego direto.