Ein Unternehmen betreibt eine Webanwendung auf Amazon EC2-Instances in mehreren Availability Zones. Die EC2-Instances befinden sich in privaten Subnetzen. Ein Lösungsarchitekt hat einen internetorientierten Application Load Balancer (ALB) erstellt und die EC2-Instances als Zielgruppe angegeben, aber der Internet-Traffic erreicht die Instances nicht. Wie sollte der Architekt die Architektur neu konfigurieren, um dies zu beheben?

Der Application Load Balancer (ALB) muss in öffentlichen Subnetzen bereitgestellt werden, um Internet-Traffic empfangen zu können. Wenn der ALB in privaten Subnetzen bereitgestellt wird, kann er keine externen Anfragen empfangen. Durch das Erstellen öffentlicher Subnetze in jeder Availability Zone und die Zuordnung dieser Subnetze zum ALB wird sichergestellt, dass der ALB öffentlich zugänglich ist. Die Routing-Tabellen der öffentlichen Subnetze müssen dann so konfiguriert werden, dass sie den Traffic an die privaten Subnetze der EC2-Instances weiterleiten. Die EC2-Instances selbst bleiben in privaten Subnetzen, was eine bewährte Sicherheitspraxis ist. Die Option, den ALB durch einen Network Load Balancer zu ersetzen und ein NAT Gateway zu konfigurieren, ist falsch, da ein NAT Gateway für ausgehenden Traffic von privaten Subnetzen ins Internet verwendet wird, nicht für eingehenden Internet-Traffic zu einem Load Balancer. Das Verschieben der EC2-Instances in öffentliche Subnetze ist eine schlechte Sicherheitspraxis. Das Aktualisieren der Routing-Tabellen der EC2-Instances