Ein Unternehmen stellt Drittanbieter-Firewall-Appliances für die Traffic-Inspektion und NAT innerhalb seiner VPC bereit, die sowohl öffentliche als auch private Subnetze hat. Die Firewalls müssen hinter einem Load Balancer platziert werden. Welches Design ist am kostengünstigsten und erfüllt gleichzeitig diese Anforderungen?

Die korrekte Antwort ist die Bereitstellung eines Gateway Load Balancers (GWLB) mit den Firewall-Appliances als Zielen, wobei jede Appliance zwei Netzwerkschnittstellen (ENIs) hat – eine in einem privaten und eine in einem öffentlichen Subnetz. Der GWLB ist speziell für die transparente Integration von Drittanbieter-Netzwerk-Appliances konzipiert und leitet den gesamten Traffic durch die Appliances, bevor er sein Ziel erreicht. Die zwei ENIs ermöglichen es den Firewalls, sowohl den eingehenden als auch den ausgehenden Traffic zu verarbeiten und die NAT-Funktion der Firewall-Appliances selbst zu nutzen, was zusätzliche NAT-Gateways überflüssig macht und Kosten spart. Ein Network Load Balancer (NLB) ist für diesen Anwendungsfall weniger geeignet, da er keine transparente Integration wie der GWLB bietet und komplexere Routing-Konfigurationen erfordert, um den Traffic durch die Firewalls zu schleusen. Die Verwendung eines separaten NAT-Gateways, wie in einigen Optionen vorgeschlagen, würde zusätzliche Kosten verursachen und die Architektur unnötig komplex machen, wenn die Firewalls bereits NAT-Fähigkeiten besitzen.