EC2-Instances in privaten Subnetzen müssen alle ausgehenden Anfragen initiieren, einschließlich des Datenverkehrs zum lokalen Rechenzentrum über Direct Connect. Keine externe Ressource darf Verbindungen zu diesen EC2-Instances initiieren. Das lokale Kunden-Gateway verwendet eine Stateful Firewall, die den Datenverkehr für mehrere VPCs filtert, und das Unternehmen bevorzugt die Verwendung eines einzelnen IP-Matches auf der Firewall, um den gesamten EC2-Datenverkehr zuzulassen. Welche Option erfüllt die Anforderungen mit dem geringsten Betriebsaufwand?

Die korrekte Option ist die Bereitstellung eines privaten NAT Gateways. EC2-Instanzen in privaten Subnetzen können ausgehende Verbindungen über das NAT Gateway initiieren, und das NAT Gateway übersetzt die privaten IP-Adressen der Instanzen in seine eigene private IP-Adresse. Da das lokale Rechenzentrum eine Stateful Firewall verwendet, die eine einzelne IP-Adresse für den gesamten EC2-Datenverkehr zulassen soll, kann die IP-Adresse des NAT Gateways auf der Firewall zugelassen werden. Dies erfüllt die Anforderung, dass externe Ressourcen keine Verbindungen zu den EC2-Instanzen initiieren können, da das NAT Gateway nur ausgehende Verbindungen zulässt. Die anderen Optionen sind weniger geeignet: Eine VPN-Verbindung über Direct Connect ist unnötig, da Direct Connect bereits eine private Verbindung bietet. Das Filtern aller Anfragen vom lokalen Netzwerk an die EC2-Instanzen durch die lokale Firewall löst nicht das Problem der Initiierung von Verbindungen von den EC2-Instanzen. Eine NAT-Instanz erfordert mehr Betriebsaufwand und ist weniger skalierbar und hochverfügbar als ein NAT Gateway.