Uma workload é executada em milhares de instâncias EC2 em uma VPC que possui sub-redes públicas e privadas. As sub-redes públicas roteiam 0.0.0.0/0 para um internet gateway; as sub-redes privadas roteiam 0.0.0.0/0 para um NAT gateway. Você deve migrar a frota para IPv6, garantindo que as instâncias em sub-redes privadas não sejam acessíveis pela internet pública. O que o arquiteto de soluções deve fazer?

A opção correta é criar um egress-only internet gateway (EIGW) para as sub-redes privadas. Um EIGW permite que instâncias IPv6 em sub-redes privadas iniciem comunicação de saída para a internet, mas impede que a internet inicie conexões de entrada com essas instâncias, garantindo a segurança. Associar um bloco CIDR IPv6 fornecido pela Amazon à VPC e sub-redes é o padrão. A primeira opção está incorreta porque rotear ::/0 para um internet gateway comum exporia as instâncias privadas à internet. A segunda opção está incorreta porque NAT gateways não são usados para roteamento de saída IPv6; EIGWs são a solução apropriada. A quarta opção está incorreta porque NAT gateways não são usados para IPv6; além disso, blocos CIDR IPv6 personalizados não são suportados para VPCs.