Ein Unternehmen hat eine Sicherheitsanforderung eingeführt, um den gesamten Datenverkehr von den AWS-Instanzen des Unternehmens in seiner VPC auf Richtlinienverstöße zu überprüfen und bestimmte IP-Adressen zu blockieren. Um dies zu erfüllen, hat das Unternehmen EC2-Instanzen mit zugelassener Proxy-Software in privaten Subnetzen als transparente Proxys bereitgestellt, die Subnetz-Routing-Tabellen aktualisiert, um die Proxy-Instanzen als Standardroute zu verwenden, und Sicherheitsgruppen angehängt, die der Richtlinie entsprechen. Trotz dieser Änderungen wird der Datenverkehr von Instanzen in privaten Subnetzen nicht über die Proxys ins Internet weitergeleitet. Was sollte ein Solutions Architect tun, um dies zu beheben?

Wenn eine EC2-Instanz als Router, NAT-Gerät oder Proxy fungiert, muss die Quell-/Zielprüfung deaktiviert werden. Standardmäßig prüft AWS, ob der Quell- oder Ziel-IP-Header eines Pakets mit der primären IP-Adresse der Instanz übereinstimmt. Da die Proxy-Instanzen Pakete für andere Instanzen weiterleiten, müssen diese Prüfungen deaktiviert werden, damit der Datenverkehr korrekt durch die Proxys geleitet wird. Das Hinzufügen einer Sicherheitsgruppenregel oder das Ändern des DHCP-Optionssatzes würde das Routing-Problem nicht beheben. Das Anhängen einer zusätzlichen ENI ist für dieses Szenario nicht erforderlich, da die Routing-Tabelle bereits so konfiguriert ist, dass der Datenverkehr über die Proxy-Instanzen geleitet wird.