某公司有一个内部网站，位于 VPC (CIDR 为 172.31.0.0/16) 中的内部 ALB 之后。该 VPC 中存在一个用于 example.com 的 Route 53 私有托管区域。公司在其办公网络和 VPC 之间使用 Site-to-Site VPN。员工必须通过 https://example.com 从办公室访问内部站点。以下哪种步骤组合可以实现此目的？（选择两项。）

要从办公室访问 VPC 中的内部网站，需要解决两个关键问题：DNS 解析和流量路由。 首先，为了让办公室网络中的客户端能够解析 example.com 到正确的内部ALB，需要在Route 53私有托管区域中创建一条指向ALB的别名记录。别名记录可以直接指向ALB，简化了配置，并且ALB的IP地址变化时无需手动更新。CNAME记录通常用于指向其他域名，而不是直接指向ALB。 其次，办公室的DNS服务器需要能够查询VPC中的Route 53私有托管区域。通过创建Route 53 Resolver入站端点，办公室DNS服务器可以将针对 example.com 的DNS查询条件性地转发到这个入站端点。入站端点允许本地DNS服务器查询VPC中的私有托管区域。出站端点用于VPC中的资源查询本地DNS服务器，不适用于此场景。直接转发到VPC DNS (172.31.0.2) 是一种旧方法，不如使用Route 53 Resolver入站端点灵活和推荐。