Der mobile Stack einer Bank läuft in einer VPC, die nur IPv4 verwendet. Die Bank muss eine Drittanbieter-API integrieren, die IPv6 erfordert. Die Server befinden sich in privaten Subnetzen, müssen alle IPv6-Verbindungen initiieren und dürfen keinen IPv6-Datenverkehr aus dem öffentlichen Internet akzeptieren. IPv6 wurde für die VPC und die privaten Subnetze aktiviert. Welche Konfiguration bietet das erforderliche IPv6-Egress-only-Verhalten?

Die korrekte Option ist die Erstellung eines Egress-Only-Internet-Gateways (EIGW) und die entsprechende Routenkonfiguration. Ein EIGW ist speziell für IPv6-Datenverkehr konzipiert und ermöglicht ausgehende Verbindungen aus privaten Subnetzen ins Internet, während es gleichzeitig verhindert, dass eingehender IPv6-Verkehr aus dem Internet die Instanzen erreicht. Die anderen Optionen sind falsch: Ein Internet-Gateway (IGW) und NAT-Gateway sind für IPv4-Verbindungen gedacht. Ein NAT-Gateway unterstützt kein IPv6. Eine NAT-Instanz ist ebenfalls primär für IPv4-NAT konzipiert und würde für IPv6 nicht die gewünschte Egress-Only-Funktionalität bieten, ohne dass zusätzliche komplexe Firewall-Regeln erforderlich wären. Das Hinzufügen einer Sicherheitsgruppe zum Egress-Only-Internet-Gateway ist redundant und nicht erforderlich, da das EIGW von Natur aus nur ausgehenden Verkehr zulässt und eingehenden Verkehr blockiert.