Ein Unternehmen verwendet CloudFront mit einem Application Load Balancer (ALB) als Origin. Der Netzwerktechniker muss sicherstellen, dass der gesamte eingehende Datenverkehr zum ALB von CloudFront stammt, und die Durchsetzung muss auf der Netzwerkebene und nicht in der Anwendung erfolgen. Welche Lösung ist die betrieblich effizienteste Methode, um diese Anforderung zu erfüllen?

Die effizienteste Methode ist das Hinzufügen einer Eingangsregel zur Sicherheitsgruppe des ALB, die die von AWS verwaltete Präfixliste für CloudFront zulässt. Diese Präfixliste enthält alle IP-Adressbereiche von CloudFront und wird automatisch von AWS aktualisiert, was den Wartungsaufwand minimiert. Da Sicherheitsgruppen auf Instanzebene agieren, wird der gesamte Datenverkehr, der nicht von CloudFront stammt, bereits vor Erreichen des ALB blockiert, was die Anforderung der Durchsetzung auf Netzwerkebene erfüllt. Das Hinzufügen einer Regel zu Netzwerk-ACLs ist weniger effizient, da diese zustandslos sind und sowohl Eingangs- als auch Ausgangsregeln für die Portbereiche konfiguriert werden müssten, was komplexer ist. Das Konfigurieren eines benutzerdefinierten HTTP-Headers ist eine Anwendungsschicht-Lösung und erfüllt nicht die Anforderung der Durchsetzung auf Netzwerkebene. Die Verwendung von AWS WAF mit einer Lambda-Funktion ist ebenfalls eine Anwendungsschicht-Lösung und zudem wartungsintensiver, da die IP-Adressen manuell synchronisiert werden müssten.