Uma VPC abrange duas Zonas de Disponibilidade. Cada AZ tem uma sub-rede privada e uma sub-rede pública. Existem três tabelas de rotas: uma compartilhada pelas sub-redes públicas e uma tabela de rotas privada por AZ. Todas as quatro sub-redes estão tentando rotear o tráfego de saída através do internet gateway da VPC. Quais ações o engenheiro de segurança deve tomar para remediar isso? (Escolha duas.)

Para permitir que instâncias em sub-redes privadas acessem a internet sem expor seus endereços IP, é necessário um NAT Gateway. O NAT Gateway deve ser provisionado em uma sub-rede pública para que possa acessar o Internet Gateway. Ter um NAT Gateway em cada Zona de Disponibilidade (AZ) garante alta disponibilidade e resiliência. A rota 0.0.0.0/0 em uma tabela de rotas de sub-rede privada, apontando para o NAT Gateway na mesma AZ, direciona todo o tráfego de saída da sub-rede privada para o NAT Gateway, que então o encaminha para o Internet Gateway. Provisionar um NAT Gateway em uma sub-rede privada não funcionaria, pois ele não teria acesso direto ao Internet Gateway. Modificar as tabelas de rotas públicas com uma rota local para o CIDR da VPC é redundante, pois essa rota já existe por padrão. Apontar a rota 0.0.0.0/0 de uma sub-rede privada diretamente para o Internet Gateway permitiria acesso direto à internet, mas comprometeria a privacidade e a segurança das instâncias na sub-rede privada, que é o propósito de uma sub-rede privada.