Uma única VPC possui sub-redes públicas e privadas em duas Zonas de Disponibilidade. O conteúdo estático do site (imagens) é armazenado no Amazon S3. Os servidores web são instâncias EC2 em sub-redes privadas, em um grupo do Auto Scaling atrás de um ALB. O ambiente usa Direct Connect com um VIF público para acessar o S3. Um engenheiro de rede descobre que o tráfego de EC2 para S3 está passando por um NAT gateway, aumentando os custos à medida que o tráfego aumenta. Como o engenheiro deve alterar a conectividade para evitar cobranças do NAT gateway para o tráfego do S3?

A opção correta é implementar endpoints de gateway VPC para Amazon S3 e atualizar a tabela de rotas da VPC. Endpoints de gateway para S3 permitem que instâncias em sub-redes privadas acessem o S3 diretamente, sem precisar de um NAT gateway ou de um VIF público do Direct Connect. Isso elimina os custos de processamento de dados do NAT gateway para o tráfego S3. As outras opções estão incorretas porque: Criar um VIF privado do Direct Connect não resolveria o problema, pois o S3 é um serviço público da AWS e não pode ser acessado diretamente por um VIF privado. Criar um túnel AWS Site-to-Site VPN sobre o VIF público existente é desnecessário e não otimizaria o acesso ao S3, além de adicionar complexidade e custos. Implementar endpoints de interface VPC para Amazon S3 (PrivateLink) é uma opção válida para acesso privado, mas os endpoints de gateway são a solução mais econômica e apropriada para acesso ao S3 a partir de uma VPC, pois não incorrem em custos por hora de endpoint ou por GB de dados processados, ao contrário dos endpoints de interface.